Venäjänkielinen pääsynvälittäjä paljastui – sama hakkeri myi pääsyä kiristyshyökkäyksiin ja vakoili Ukrainan puolustusta

Paljastunut palvelin: Hakkeroijan pelikirja auki

CloudSEK löysi avoimen hakemiston Venäjään kytkeytyvän uhan toimijan palvelimelta, joka toimi operaattorin toiminnan komentotason tallenteena . Hakemisto sisälsi:

• Hyökkäystyökaluja CVE-haavoittuvuuksien mukaan lajiteltuina
• Kohdelistoja maittain jaoteltuina
• Skannaustuloksia kolmeen luokkaan lajiteltuina: haavoittuvat, ei-haavoittuvat ja tavoittamattomat
• Tarkistuspistemenetelmän, joka seurasi edistymistä satojen tuhansien kohteiden yli

Palvelin oli siis käytännössä operaattorin pelikirja ja näppäinlogi, joka oli näkyvillä kaikille, jotka tiesivät mistä etsiä.

Hyödynnetyt haavoittuvuudet ja kohdesektorit

Välittäjä oli varastoinut hyökkäysvälineet vähintään 12:een eri CVE-haavoittuvuuteen, jotka kohdistuivat laajalti käytössä oleviin internet-rajapintalaitteisiin ja verkkosovelluksiin . Haavoittuvuuksien kohteena olleita valmistajia olivat Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin ja Hikvision . Vaikka suurin osa hyökkäyskoodista oli julkista konseptitodistetta (PoC), keskeiset Fortinet- ja Citrix-haavoittuvuuksien hyödykkeet oli muokattu modulaarisiksi viitekehyksiksi, joissa oli venäjänkielisiä kääreitä. Nämä automatisoivat SSH-avainten injektion, VPN-käyttäjien luonnin, admin-takaovien tarjoilun ja massaskannauksen . Operaattori ylläpiti myös paikallista kopiota nuclei-mallien arkistosta sekä yli 100:a omaa mallia uusien haavoittuvuuksien ja C2-ohjauspaneelien havaitsemiseksi .

Kohdesektoreita olivat koulutus, terveydenhuolto, rahoitus, televiestintä ja hallinto – yli kymmenessä maassa Pohjois-Amerikassa, Euroopassa ja muualla .

Todisteita täydellisestä Active Directory -kompromisoinnista

Operaattorin hyökkäysketju tarjoaa selviä todisteita täydellisestä Active Directory -hallinnasta :

• Sivuttaisliikkuminen: Neo-reGeorg-verkkokuoret ja SOCKS-tunnelit loivat ensisijaisen sisäisen pääsyn, jota aseistettiin NTLM-pohjaisella sivuttaisliikkumisella Evil-WinRM:n kautta .
• Tunnusten varastaminen: DPAPI-varmuuskopiointiavaimet poistettiin toimialueen ohjaimista; SAM- ja LSA-salaisuudet kaivettiin esiin; selaimessa tallennetut tunnukset kerättiin .
• krbtgt-kompromisointi ja kultaiset liput: Hyökkääjä poimi krbtgt-tiivisteen ja väärensi Kerberos-lippuja, joiden elinikä oli jopa kymmenen vuotta. Tämä mahdollisti rajoittamattoman uudelleenpääsyn salasanojen vaihdosta ja päätepisteiden korjaustoimenpiteistä riippumatta .
• Vahvistus reaalimaailman tapauksella: Yhdysvaltalainen terveydenhuollon tarjoaja Greater Pittsburgh Orthopaedic Associates (GPOA) esiintyi hakemistossa vahvistetulla toimialuekompromisoinnilla (admin-tunnukset kaivettu, DPAPI-varmuuskopiointiavain poistettu toimialueen ohjaimesta). GPOA ilmestyi myöhemmin RansomHousen vuotopaikalle vuoden 2025 tapauksen jälkeen – viiveellä, joka vastaa tyypillistä rikollisen pääsynvälittäjän ja kiristysohjelman välistä aikajanaa .

Tiedustelumenetelmät Ukrainaa vastaan

Myöhemmin toiminta erosi puhtaasti kaupallisesta pääsynvälityksestä :

• Sliver C2-ohjausjärjestelmä: Operaattori otti käyttöön Sliver-komentojärjestelmän Ukrainan puolustus- ja ilmailualan kohteita vastaan .
• Lähdekoodin varastaminen: Välittäjä pääsi käsiksi ja varasti lähdekoodia puolustukseen liittyvistä projekteista avoimien versionhallintajärjestelmien kautta .
• IP-kameravalvonta: Operaattori keräsi kuvamateriaalia tuhansista paljaana olevista IP-kameroista ja otti kuvakaappauksia paljaana olevista etätyöpöytäistunnoista (RDP) – tiedustelua, jota voitiin hyödyntää Ukrainan sotilaallisten kohteiden paikantamiseen .
• Toissijaiset kohteet: Yhdysvallat, Eurooppa ja Etelä-Korea esiintyivät toissijaisina tiedustelukohteina artefakteissa .

CloudSEK huomauttaa, että nämä menetelmät vastaavat läheisesti Alankomaiden tiedustelupalvelujen (AIVD/MIVD) varoitusta Venäjän valtion kameravalvonnasta, jota käytetään Ukrainan sotilaallisten asemien paikantamiseen .

Miten tämä kaksoisprofiili sopii tunnettuun Venäjän toimintamalliin

CloudSEK arvioi korkealla luottamuksella, että operaattori on venäjänkielinen alkuperäisen pääsynvälittäjä, jonka Ukraina-keskeinen toiminta voidaan parhaiten selittää rikollisena urakoitsijana, joka myy pääsyä – mukaan lukien kamerapohjaista tiedustelua – valtiollisille ostajille .

Tämä sopii yhteen hyvin dokumentoidun Venäjän tiedustelumallin kanssa: valtiolliset toimijat (kuten SVR, GRU, FSB) hankkivat alkuperäisen verkkopääsyn rutiininomaisesti rikolliselta ekosysteemiltä sen sijaan, että ne tekisivät alkuperäisen kompromisoinnin itse . Rikollinen välittäjä hoitaa suuren volyymin meluisan työn – skannaamisen ja rajapintalaitteiden hyödyntämisen –, kun taas valtion asiakkaat maksavat valmiiksi sijoitetusta pääsystä korkean arvon kohteisiin (erityisesti puolustus-, ilmailu- ja hallintoelimiin) ilman, että valtion valvoma infrastruktuuri paljastuu alkuperäisen murron aikana.

Samaa pääsyä, jota välittäjä myi kiristysryhmille rahasta kaupallisia kohteita vastaan, myytiin myös valvontaputkena Ukrainan sotilaallisia kohteita kohtaan – kaksikäyttömalli, jossa sama tekninen kyvykkyys tuottaa sekä rikollista tuloa että strategista tiedusteluvoittoa Venäjän valtiolle .