Rusky mluvící broker prodával přístupy k sítím pro ransomware i špionáž proti Ukrajině

Nezabezpečený server: Útočníkův manuál ponechaný napospas

CloudSEK objevil na serveru vlastněném rusky napojeným aktérem otevřený adresář, který sloužil jako detailní záznam činnosti operátora na úrovni příkazů . Adresář obsahoval:

• Exploitovací nástroje roztříděné podle CVE
• Seznamy cílů rozdělené podle zemí
• Výstupy skenování rozdělené do kategorií zranitelný, nezranitelný a nedosažitelný
• Mechanismus kontrolních bodů sledující průběh u statisíců cílů

Server byl v podstatě manuálem a záznamem stisků kláves operátora, viditelným pro každého, kdo věděl, kde hledat.

Zneužitá zranitelnosti a cílená odvětví

Broker si připravil explotty pro nejméně 12 různých CVE, které cílí na široce rozšířená síťová zařízení a webové aplikace připojené k internetu . Dotčenými dodavateli jsou Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin a Hikvision . Zatímco většina kódu exploitů byla veřejně dostupným důkazem konceptu, klíčové explotty pro Fortinet a Citrix byly upraveny do modulárních frameworků s ruskojazyčnými obálkami, které automatizovaly vkládání SSH klíčů, vytváření VPN uživatelů, zřizování administrátorských zadních vrátek a hromadné skenování . Operátor si také udržoval lokální kopii repozitáře šablon nuclei a více než 100 vlastních šablon pro detekci čerstvých zranitelností a panelů C2 (řízení a ovládání) a stealerských panelů .

Cílená odvětví zahrnují školství, zdravotnictví, finance, telekomunikace a vládní sektor – ve více než tuctu zemí v Severní Americe, Evropě a dalších regionech .

Důkazy o úplném ovládnutí Active Directory

Post-exploitační řetězec operátora poskytuje jasné důkazy o úplném ovládnutí Active Directory :

• Laterální pohyb: Web shelly Neo-reGeorg a tunely SOCKS zajistily počáteční vnitřní přístup, který byl dále využit pro laterální pohyb založený na NTLM pomocí nástroje Evil-WinRM .
• Krádež přihlašovacích údajů: Z řadičů domény byly extrahovány záložní klíče DPAPI; byla získána data z databází SAM a LSA; sklizeny byly i přihlašovací údaje uložené v prohlížečích .
• Kompromitace krbtgt a vytvoření zlatých lístků (golden tickets): Útočník extrahoval hash účtu krbtgt a vytvořil Kerberosovy lístky s platností na deset let, což umožnilo neomezený opětovný vstup nezávisle na změnách hesel a opravách koncových zařízení .
• Potvrzení reálným incidentem: Americké zdravotnické zařízení Greater Pittsburgh Orthopaedic Associates (GPOA) se objevilo v adresáři s potvrzenou kompromitací domény (sklizeny administrátorské přihlašovací údaje, extrahován záložní klíč DPAPI z řadiče domény). GPOA se později objevilo na únikové stránce ransomwarové skupiny RansomHouse po incidentu v roce 2025 – časový odstup odpovídá typické lhůtě mezi prodejem přístupu brokerem a útokem ransomwaru .

Metody sběru zpravodajských informací proti Ukrajině

V pozdější fázi sledovaného období se aktivita odchýlila od čistě komerčního zprostředkování přístupu :

• Nasazení C2 frameworku Sliver: Operátor nasadil framework Sliver (command-and-control) proti ukrajinským obranným a leteckým cílům .
• Krádež zdrojového kódu: Broker získal a ukradl zdrojové repozitáře prostřednictvím odhalených systémů pro správu verzí patřících obranným projektům .
• Sledování přes IP kamery: Operátor stahoval snímky z tisíců odhalených IP kamer a pořizoval screenshoty z odhalených relací vzdálené plochy (RDP) – tedy zpravodajství užitečné pro geolokaci ukrajinského vojenského vybavení .
• Sekundární cíle: V rámci artefaktů se jako sekundární zpravodajské cíle objevily USA, Evropa a Jižní Korea .

CloudSEK poznamenává, že tento postup přesně odpovídá varování nizozemské zpravodajské služby AIVD/MIVD o ruském státem řízeném sledování pomocí kamer používaném k lokalizaci ukrajinských vojenských pozic .

Jak tento dvojí profil zapadá do zdokumentované ruské praxe

CloudSEK s vysokou mírou jistoty hodnotí, že operátor je rusky mluvící broker počátečního přístupu, jehož činnost zaměřená na Ukrajinu je nejlépe vysvětlitelná jako kriminální dodavatel prodávající přístup – včetně zpravodajství z kamer – státním odběratelům .

To odpovídá dobře zdokumentovanému vzorci ruských zpravodajských služeb: státem sponzorovaní aktéři (např. SVR, GRU, FSB) rutinně získávají počáteční přístup do sítí z kriminálního ekosystému, místo aby sami prováděli prvotní průnik . Kriminální broker se stará o objemnou a hlučnou práci skenování a zneužívání perimetrových zařízení; státní klienti platí za předpřipravený přístup k vysoce hodnotným cílům (zejména obranným, leteckým a vládním subjektům), aniž by při prvotním průniku odhalili státem kontrolovanou infrastrukturu.

Stejný přístup, který broker prodával ransomwarovým skupinám za účelem zisku proti komerčním cílům, byl zároveň prodáván jako sledovací kanál proti ukrajinským vojenským cílům – model dvojího užití, kde stejná technická schopnost generuje jak kriminální příjem, tak strategickou zpravodajskou hodnotu pro ruský stát .