Den eksponerede server: En operatørs spillebog efterladt åben

CloudSEK opdagede en åben mappe på en server ejet af en trusselsaktør med tilknytning til Rusland. Mappen fungerede som en kommandolog og indeholdt :

• Udnyttelsesværktøjer sorteret efter CVE
• Mållister opdelt efter land
• Scanningsresultater opdelt i sårbare, ikke-sårbare og utilgængelige systemer
• En checkpoint-mekanisme, der sporede fremskridt på tværs af hundredtusindvis af mål

Serveren var i realiteten operatørens spillebog og tastetrykslog, efterladt synlig for alle, der vidste, hvor de skulle kigge.

Udnyttede sårbarheder og målrettede sektorer

Adgangsmægleren havde iscenesat udnyttelseskode for mindst 12 forskellige CVEs rettet mod bredt installerede netværksapparater og webapplikationer . Berørte leverandører inkluderer Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin og Hikvision . Mens størstedelen af udnyttelseskoden var offentlig proof-of-concept-kode, var centrale Fortinet- og Citrix-udnyttelser modificeret til modulære rammeværker med russisksprogede wrappers, der automatiserede SSH-nøgleinjektion, oprettelse af VPN-brugere, etablering af admin-bagdøre og massescanning . Operatøren havde også en lokal kopi af nuclei-skabelonrepositoryet samt over 100 specialbyggede skabeloner til at detektere nye sårbarheder og C2/stealer-paneler .

Målrettede sektorer omfatter uddannelse, sundhedspleje, finans, telekommunikation og regeringer – på tværs af over et dusin lande i Nordamerika, Europa og andre regioner .

Bevis for komplet Active Directory-kompromittering

Operatørens post-eksploiteringskæde giver klare beviser for fuld dominans over Active Directory :

• Lateral bevægelse: Neo-reGeorg web shells og SOCKS-tunneler etablerede indledende intern adgang, bevæbnet gennem NTLM-baseret lateral bevægelse via Evil-WinRM .
• Tyveri af legitimationsoplysninger: DPAPI-sikkerhedskopieringsnøgler blev udtrukket fra domænecontrollere; SAM- og LSA-hemmeligheder blev dumpet; browserlagrede legitimationsoplysninger blev høstet .
• krbtgt-kompromittering og golden tickets: Angriberen udtrak krbtgt-hash'en og forfalskede Kerberos-billetter med årtier lange levetider, hvilket muliggjorde ubegrænset genindtrængen uafhængigt af adgangskodeskift og afhjælpning af slutpunkter .
• Bekræftelse via virkelig hændelse: Greater Pittsburgh Orthopaedic Associates (GPOA), en amerikansk sundhedsudbyder, dukkede op i mappen med bekræftet domænekompromittering (administratorlegitimationsoplysninger høstet, DPAPI-sikkerhedskopieringsnøgle udtrukket fra domænecontrolleren). GPOA dukkede senere op på RansomHouses lækageside efter en hændelse i 2025 – med en forsinkelse, der stemmer overens med typiske kriminelle adgangsmægler-til-ransomware-tidslinjer .

Efterretningsindsamlingsmetoder mod Ukraine

Sent i den operationelle tidslinje afveg aktiviteten fra rent kommerciel adgangsformidling :

• Sliver C2-udrulning: Operatøren implementerede Sliver command-and-control-rammeværket mod ukrainske forsvars- og rumfartsmål .
• Kildetyveri: Adgangsmægleren fik adgang til og stjal kildekode fra eksponerede versionskontrolsystemer tilhørende forsvarsrelaterede projekter .
• IP-kameraovervågning: Operatøren høstede billeder fra tusindvis af eksponerede IP-kameraer og tog skærmbilleder fra eksponerede RDP-sessioner (Remote Desktop Protocol) – efterretninger, der er nyttige til at geolokalisere ukrainske militære aktiver .
• Sekundær målretning: USA, Europa og Sydkorea dukkede op som sekundære efterretningsmål i artefakterne .

CloudSEK bemærker, at denne fremgangsmåde tæt matcher AIVD/MIVD's (hollandsk efterretningstjeneste) rådgivning om russisk statsforbundet kameraovervågning brugt til at lokalisere ukrainske militære positioner .

Hvordan denne dobbelte profil passer til dokumenteret russisk praksis

CloudSEK vurderer med høj sandsynlighed, at operatøren er en russisk-talende adgangsmægler, hvis Ukraine-fokuserede aktivitet bedst forklares som en kriminel kontraktør, der sælger adgang – inklusive kameraafledt efterretning – til statslige købere .

Dette stemmer overens med et veldokumenteret russisk efterretningsmønster: Statssponsorerede aktører (f.eks. SVR, GRU, FSB) henter rutinemæssigt indledende netværksadgang fra det kriminelle økosystem i stedet for selv at udføre de første indbrud . Den kriminelle mægler håndterer det højvolumen, støjende arbejde med at scanne og udnytte netværksapparater; statslige klienter betaler for præ-positioneret adgang til højværdimål (især forsvar, rumfart og offentlige myndigheder) uden at blotlægge statsstyret infrastruktur under det indledende brud.

Den samme adgang, som mægleren solgte til ransomware-grupper for profit mod kommercielle mål, blev også solgt som en overvågningspipeline mod ukrainske militærmål – en dobbeltbrugsmodel, hvor den samme tekniske kapacitet genererer både kriminel indtægt og strategisk efterretningsværdi for den russiske stat .

Den eksponerede server: En operatørs spillebog efterladt åben

CloudSEK opdagede en åben mappe på en server ejet af en trusselsaktør med tilknytning til Rusland. Mappen fungerede som en kommandolog og indeholdt :

• Udnyttelsesværktøjer sorteret efter CVE
• Mållister opdelt efter land
• Scanningsresultater opdelt i sårbare, ikke-sårbare og utilgængelige systemer
• En checkpoint-mekanisme, der sporede fremskridt på tværs af hundredtusindvis af mål

Serveren var i realiteten operatørens spillebog og tastetrykslog, efterladt synlig for alle, der vidste, hvor de skulle kigge.

Udnyttede sårbarheder og målrettede sektorer

Adgangsmægleren havde iscenesat udnyttelseskode for mindst 12 forskellige CVEs rettet mod bredt installerede netværksapparater og webapplikationer . Berørte leverandører inkluderer Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin og Hikvision . Mens størstedelen af udnyttelseskoden var offentlig proof-of-concept-kode, var centrale Fortinet- og Citrix-udnyttelser modificeret til modulære rammeværker med russisksprogede wrappers, der automatiserede SSH-nøgleinjektion, oprettelse af VPN-brugere, etablering af admin-bagdøre og massescanning . Operatøren havde også en lokal kopi af nuclei-skabelonrepositoryet samt over 100 specialbyggede skabeloner til at detektere nye sårbarheder og C2/stealer-paneler .

Målrettede sektorer omfatter uddannelse, sundhedspleje, finans, telekommunikation og regeringer – på tværs af over et dusin lande i Nordamerika, Europa og andre regioner .

Bevis for komplet Active Directory-kompromittering

Operatørens post-eksploiteringskæde giver klare beviser for fuld dominans over Active Directory :

• Lateral bevægelse: Neo-reGeorg web shells og SOCKS-tunneler etablerede indledende intern adgang, bevæbnet gennem NTLM-baseret lateral bevægelse via Evil-WinRM .
• Tyveri af legitimationsoplysninger: DPAPI-sikkerhedskopieringsnøgler blev udtrukket fra domænecontrollere; SAM- og LSA-hemmeligheder blev dumpet; browserlagrede legitimationsoplysninger blev høstet .
• krbtgt-kompromittering og golden tickets: Angriberen udtrak krbtgt-hash'en og forfalskede Kerberos-billetter med årtier lange levetider, hvilket muliggjorde ubegrænset genindtrængen uafhængigt af adgangskodeskift og afhjælpning af slutpunkter .
• Bekræftelse via virkelig hændelse: Greater Pittsburgh Orthopaedic Associates (GPOA), en amerikansk sundhedsudbyder, dukkede op i mappen med bekræftet domænekompromittering (administratorlegitimationsoplysninger høstet, DPAPI-sikkerhedskopieringsnøgle udtrukket fra domænecontrolleren). GPOA dukkede senere op på RansomHouses lækageside efter en hændelse i 2025 – med en forsinkelse, der stemmer overens med typiske kriminelle adgangsmægler-til-ransomware-tidslinjer .

Efterretningsindsamlingsmetoder mod Ukraine

Sent i den operationelle tidslinje afveg aktiviteten fra rent kommerciel adgangsformidling :

• Sliver C2-udrulning: Operatøren implementerede Sliver command-and-control-rammeværket mod ukrainske forsvars- og rumfartsmål .
• Kildetyveri: Adgangsmægleren fik adgang til og stjal kildekode fra eksponerede versionskontrolsystemer tilhørende forsvarsrelaterede projekter .
• IP-kameraovervågning: Operatøren høstede billeder fra tusindvis af eksponerede IP-kameraer og tog skærmbilleder fra eksponerede RDP-sessioner (Remote Desktop Protocol) – efterretninger, der er nyttige til at geolokalisere ukrainske militære aktiver .
• Sekundær målretning: USA, Europa og Sydkorea dukkede op som sekundære efterretningsmål i artefakterne .

CloudSEK bemærker, at denne fremgangsmåde tæt matcher AIVD/MIVD's (hollandsk efterretningstjeneste) rådgivning om russisk statsforbundet kameraovervågning brugt til at lokalisere ukrainske militære positioner .

Hvordan denne dobbelte profil passer til dokumenteret russisk praksis

CloudSEK vurderer med høj sandsynlighed, at operatøren er en russisk-talende adgangsmægler, hvis Ukraine-fokuserede aktivitet bedst forklares som en kriminel kontraktør, der sælger adgang – inklusive kameraafledt efterretning – til statslige købere .

Dette stemmer overens med et veldokumenteret russisk efterretningsmønster: Statssponsorerede aktører (f.eks. SVR, GRU, FSB) henter rutinemæssigt indledende netværksadgang fra det kriminelle økosystem i stedet for selv at udføre de første indbrud . Den kriminelle mægler håndterer det højvolumen, støjende arbejde med at scanne og udnytte netværksapparater; statslige klienter betaler for præ-positioneret adgang til højværdimål (især forsvar, rumfart og offentlige myndigheder) uden at blotlægge statsstyret infrastruktur under det indledende brud.

Den samme adgang, som mægleren solgte til ransomware-grupper for profit mod kommercielle mål, blev også solgt som en overvågningspipeline mod ukrainske militærmål – en dobbeltbrugsmodel, hvor den samme tekniske kapacitet genererer både kriminel indtægt og strategisk efterretningsværdi for den russiske stat .