Il doppio volto di un broker di accesso russo: ransomware per profitto, spionaggio per lo Stato

Il server esposto: il manuale di un operatore lasciato aperto

CloudSEK ha scoperto una directory aperta su un server di proprietà di un attore di minaccia legato alla Russia che fungeva da registro a livello di comando dell'attività dell'operatore . La directory conteneva:

• Strumenti di exploit ordinati per CVE
• Elenchi di obiettivi segmentati per paese
• Output di scansione suddivisi in set vulnerabili, non vulnerabili e irraggiungibili
• Un meccanismo di checkpoint per tracciare i progressi su centinaia di migliaia di obiettivi

In pratica, il server era il manuale e il registro delle sequenze di tasti dell'operatore, lasciato visibile a chiunque sapesse dove guardare.

Vulnerabilità sfruttate e settori presi di mira

Il broker ha messo in scena exploit per almeno 12 distinte CVE che prendono di mira appliance perimetrali e applicazioni web ampiamente distribuite ed esposte su Internet . I vendor interessati includono Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin e Hikvision . Mentre la maggior parte del codice di exploit era proof-of-concept pubblico, gli exploit chiave per Fortinet e Citrix sono stati modificati in framework modulari con wrapper in lingua russa che automatizzavano l'iniezione di chiavi SSH, la creazione di utenti VPN, il provisioning di backdoor admin e la scansione di massa . L'operatore manteneva anche una copia locale del repository di modelli nuclei e oltre 100 modelli personalizzati per rilevare vulnerabilità recenti e pannelli C2/stealer .

I settori presi di mira includono istruzione, sanità, finanza, telecomunicazioni e governo—in più di una dozzina di paesi in Nord America, Europa e oltre .

Prove di compromissione completa di Active Directory

La catena di post-sfruttamento dell'operatore fornisce prove chiare del dominio completo di Active Directory :

• Movimento laterale: Web shell Neo-reGeorg e tunnel SOCKS hanno stabilito l'accesso interno iniziale, weaponizzati attraverso il movimento laterale basato su NTLM tramite Evil-WinRM .
• Furto di credenziali: Le chiavi di backup DPAPI sono state estratte dai controller di dominio; i segreti SAM e LSA sono stati scaricati; le credenziali memorizzate nel browser sono state raccolte .
• Compromissione di krbtgt e golden ticket: L'aggressore ha estratto l'hash krbtgt e ha falsificato ticket Kerberos con una durata di un decennio, consentendo un rientro indefinito indipendentemente dai reset delle password e dalla correzione degli endpoint .
• Conferma tramite incidente reale: Greater Pittsburgh Orthopaedic Associates (GPOA), un operatore sanitario statunitense, è apparso nella directory con conferma di compromissione del dominio (credenziali admin raccolte, chiave di backup DPAPI estratta dal controller di dominio). GPOA è successivamente apparso sul sito di leak di RansomHouse a seguito di un incidente del 2025—con il ritardo temporale in linea con le tipiche tempistiche criminali da broker di accesso a ransomware .

Metodi di raccolta di intelligence contro l'Ucraina

In una fase avanzata della timeline operativa, l'attività si è discostata dalla pura intermediazione di accesso commerciale :

• Implementazione di Sliver C2: L'operatore ha implementato il framework di comando e controllo Sliver contro bersagli ucraini della difesa e aerospaziali .
• Furto di codice sorgente: Il broker ha avuto accesso e rubato repository di codice sorgente tramite sistemi di controllo versione esposti appartenenti a progetti legati alla difesa .
• Sorveglianza tramite telecamere IP: L'operatore ha raccolto immagini da migliaia di telecamere IP esposte e catturato screenshot da sessioni RDP (Remote Desktop) esposte—intelligence utile per geolocalizzare le risorse militari ucraine .
• Targeting secondario: Stati Uniti, Europa e Corea del Sud sono apparsi come obiettivi di intelligence secondari all'interno degli artefatti .

CloudSEK nota che questo modus operandi corrisponde strettamente all'avviso AIVD/MIVD (intelligence olandese) sulla sorveglianza tramite telecamere legata allo Stato russo utilizzata per localizzare le posizioni militari ucraine .

Come questo doppio profilo si inserisce nella pratica russa documentata

CloudSEK valuta con alta fiducia che l'operatore sia un broker di accesso iniziale di lingua russa la cui attività focalizzata sull'Ucraina è meglio spiegata come un contraente criminale che vende accesso—comprese le informazioni derivate dalle telecamere—agli acquirenti statali .

Questo si allinea con un modello ben documentato dell'intelligence russa: gli attori sponsorizzati dallo Stato (ad esempio SVR, GRU, FSB) ottengono regolarmente l'accesso iniziale alla rete dall'ecosistema criminale piuttosto che condurre essi stessi la compromissione iniziale . Il broker criminale gestisce il lavoro ad alto volume e rumoroso di scansione e sfruttamento delle appliance perimetrali; i clienti statali pagano per l'accesso pre-posizionato a obiettivi di alto valore (specialmente entità della difesa, aerospaziali e governative) senza esporre le infrastrutture controllate dallo Stato durante la violazione iniziale.

Lo stesso accesso che il broker vendeva ai gruppi ransomware per profitto contro bersagli commerciali veniva anche venduto come pipeline di sorveglianza contro bersagli militari ucraini—un modello a duplice uso in cui la stessa capacità tecnica genera sia entrate criminali che valore strategico di intelligence per lo Stato russo .