Den eksponerte serveren: Operatørens spillebok lå åpen

CloudSEK oppdaget en åpen mappe på en server eid av en trusselaktør med tilknytning til Russland. Den fungerte som et kommandonivå-register over operatørens aktivitet . Mappen inneholdt:

• Utnyttelsesverktøy sortert etter CVE
• Mållister segmentert etter land
• Skanneresultater sortert i sårbare, ikke-sårbare og utilgjengelige sett
• En sjekkpunktsmekanisme som sporet fremdrift på tvers av hundretusenvis av mål

Serveren var med andre ord operatørens spillebok og tastetrykklogg, etterlatt synlig for alle som visste hvor de skulle lete.

Utnyttede sårbarheter og målrettede sektorer

Megleren hadde klargjort utnyttelser for minst 12 forskjellige CVE-er som retter seg mot mye brukte nettverksapparater og webapplikasjoner . Berørte leverandører inkluderer Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin og Hikvision . Selv om mesteparten av utnyttelseskoden var offentlig tilgjengelig bevis-på-konsept, var sentrale Fortinet- og Citrix-utnyttelser modifisert til modulære rammeverk med russiskspråklige skall som automatiserte SSH-nøkkelinjeksjon, VPN-brukeropprettelse, admin-bakdører og masseskanning . Operatøren hadde også en lokal kopi av nuclei templates-repositoriet samt over 100 egne maler for å oppdage nye sårbarheter og C2-/stealer-paneler .

Målrettede sektorer inkluderer utdanning, helsevesen, finans, telekommunikasjon og myndigheter – på tvers av over et dusin land i Nord-Amerika, Europa og andre regioner .

Bevis for fullstendig Active Directory-kompromittering

Operatørens etter-utnyttelseskjede gir klare bevis for fullstendig kontroll over Active Directory :

• Lateral bevegelse: Neo-reGeorg web shells og SOCKS-tunneler etablerte først intern tilgang, bevæpnet gjennom NTLM-basert lateral bevegelse via Evil-WinRM .
• Tyveri av legitimasjon: DPAPI-sikkerhetskopieringsnøkler ble hentet fra domenekontrollere; SAM- og LSA-hemmeligheter ble dumpet; legitimasjon lagret i nettlesere ble høstet .
• krbtgt-kompromittering og golden tickets: Angriperen hentet ut krbtgt-hashen og forfalsket Kerberos-billetter med tiår lange levetider, noe som muliggjorde ubegrenset gjeninntreden uavhengig av passordendringer og opprydding på enheter .
• Bekreftelse gjennom virkelig hendelse: Greater Pittsburgh Orthopaedic Associates (GPOA), en amerikansk helseaktør, dukket opp i mappen med bekreftet domenekompromittering (administratorlegitimasjon høstet, DPAPI-nøkkel hentet fra domenekontrolleren). GPOA dukket senere opp på RansomHouses lekkasjeside etter en hendelse i 2025 – med tidsforsinkelsen som samsvarer med typiske kriminelle tilgangsmegler-til-løsepengevare-tidslinjer .

Etterretningsinnsamlingsmetoder mot Ukraina

Sent i den operative tidslinjen skilte aktiviteten seg fra ren kommersiell tilgangsmegling :

• Sliver C2-distribusjon: Operatøren brukte Sliver kommandokontroll-rammeverket mot ukrainske forsvars- og romfartsmål .
• Kildekodetyveri: Megleren fikk tilgang til og stjal kildekode fra eksponerte versjonskontrollsystemer tilhørende forsvarsrelaterte prosjekter .
• IP-kameraovervåking: Operatøren høstet bilder fra tusenvis av eksponerte IP-kameraer og tok skjermbilder fra eksponerte eksterne skrivebordsøkter (RDP) – etterretning nyttig for å geolokalisere ukrainske militære eiendeler .
• Sekundær målretting: USA, Europa og Sør-Korea dukket opp som sekundære etterretningsmål i artefaktene .

CloudSEK bemerker at denne fremgangsmåten nært samsvarer med AIVD/MIVD (nederlandsk etterretning) sin advarsel om russisk statsrelatert kameraovervåking brukt til å lokalisere ukrainske militære posisjoner .

Hvordan denne dobbeltprofilen passer inn i dokumentert russisk praksis

CloudSEK vurderer med høy grad av sikkerhet at operatøren er en russisktalende tilgangsmegler hvis Ukraina-fokuserte aktivitet best forklares som en kriminell kontraktør som selger tilgang – inkludert kameraavledet etterretning – til statlige kjøpere .

Dette samsvarer med et veldokumentert russisk etterretningsmønster: Statsstøttede aktører (f.eks. SVR, GRU, FSB) henter rutinemessig innledende nettverkstilgang fra det kriminelle økosystemet i stedet for å gjennomføre innledende kompromittering selv . Den kriminelle megleren håndterer det høyvolum, støyende arbeidet med å skanne og utnytte nettverksapparater; statlige kunder betaler for forhåndsposisjonert tilgang til høyverdige mål (spesielt forsvars-, romfarts- og myndighetsenheter) uten å eksponere statsstyrt infrastruktur under det innledende bruddet.

Den samme tilgangen som megleren solgte til løsepengegjenger for profitt mot kommersielle mål, ble også solgt som en overvåkingspipeline mot ukrainske militære mål – en dobbeltbruksmodell der den samme tekniske kapasiteten genererer både kriminelle inntekter og strategisk etterretningsverdi for den russiske staten .

Den eksponerte serveren: Operatørens spillebok lå åpen

CloudSEK oppdaget en åpen mappe på en server eid av en trusselaktør med tilknytning til Russland. Den fungerte som et kommandonivå-register over operatørens aktivitet . Mappen inneholdt:

• Utnyttelsesverktøy sortert etter CVE
• Mållister segmentert etter land
• Skanneresultater sortert i sårbare, ikke-sårbare og utilgjengelige sett
• En sjekkpunktsmekanisme som sporet fremdrift på tvers av hundretusenvis av mål

Serveren var med andre ord operatørens spillebok og tastetrykklogg, etterlatt synlig for alle som visste hvor de skulle lete.

Utnyttede sårbarheter og målrettede sektorer

Megleren hadde klargjort utnyttelser for minst 12 forskjellige CVE-er som retter seg mot mye brukte nettverksapparater og webapplikasjoner . Berørte leverandører inkluderer Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin og Hikvision . Selv om mesteparten av utnyttelseskoden var offentlig tilgjengelig bevis-på-konsept, var sentrale Fortinet- og Citrix-utnyttelser modifisert til modulære rammeverk med russiskspråklige skall som automatiserte SSH-nøkkelinjeksjon, VPN-brukeropprettelse, admin-bakdører og masseskanning . Operatøren hadde også en lokal kopi av nuclei templates-repositoriet samt over 100 egne maler for å oppdage nye sårbarheter og C2-/stealer-paneler .

Målrettede sektorer inkluderer utdanning, helsevesen, finans, telekommunikasjon og myndigheter – på tvers av over et dusin land i Nord-Amerika, Europa og andre regioner .

Bevis for fullstendig Active Directory-kompromittering

Operatørens etter-utnyttelseskjede gir klare bevis for fullstendig kontroll over Active Directory :

• Lateral bevegelse: Neo-reGeorg web shells og SOCKS-tunneler etablerte først intern tilgang, bevæpnet gjennom NTLM-basert lateral bevegelse via Evil-WinRM .
• Tyveri av legitimasjon: DPAPI-sikkerhetskopieringsnøkler ble hentet fra domenekontrollere; SAM- og LSA-hemmeligheter ble dumpet; legitimasjon lagret i nettlesere ble høstet .
• krbtgt-kompromittering og golden tickets: Angriperen hentet ut krbtgt-hashen og forfalsket Kerberos-billetter med tiår lange levetider, noe som muliggjorde ubegrenset gjeninntreden uavhengig av passordendringer og opprydding på enheter .
• Bekreftelse gjennom virkelig hendelse: Greater Pittsburgh Orthopaedic Associates (GPOA), en amerikansk helseaktør, dukket opp i mappen med bekreftet domenekompromittering (administratorlegitimasjon høstet, DPAPI-nøkkel hentet fra domenekontrolleren). GPOA dukket senere opp på RansomHouses lekkasjeside etter en hendelse i 2025 – med tidsforsinkelsen som samsvarer med typiske kriminelle tilgangsmegler-til-løsepengevare-tidslinjer .

Etterretningsinnsamlingsmetoder mot Ukraina

Sent i den operative tidslinjen skilte aktiviteten seg fra ren kommersiell tilgangsmegling :

• Sliver C2-distribusjon: Operatøren brukte Sliver kommandokontroll-rammeverket mot ukrainske forsvars- og romfartsmål .
• Kildekodetyveri: Megleren fikk tilgang til og stjal kildekode fra eksponerte versjonskontrollsystemer tilhørende forsvarsrelaterte prosjekter .
• IP-kameraovervåking: Operatøren høstet bilder fra tusenvis av eksponerte IP-kameraer og tok skjermbilder fra eksponerte eksterne skrivebordsøkter (RDP) – etterretning nyttig for å geolokalisere ukrainske militære eiendeler .
• Sekundær målretting: USA, Europa og Sør-Korea dukket opp som sekundære etterretningsmål i artefaktene .

CloudSEK bemerker at denne fremgangsmåten nært samsvarer med AIVD/MIVD (nederlandsk etterretning) sin advarsel om russisk statsrelatert kameraovervåking brukt til å lokalisere ukrainske militære posisjoner .

Hvordan denne dobbeltprofilen passer inn i dokumentert russisk praksis

CloudSEK vurderer med høy grad av sikkerhet at operatøren er en russisktalende tilgangsmegler hvis Ukraina-fokuserte aktivitet best forklares som en kriminell kontraktør som selger tilgang – inkludert kameraavledet etterretning – til statlige kjøpere .

Dette samsvarer med et veldokumentert russisk etterretningsmønster: Statsstøttede aktører (f.eks. SVR, GRU, FSB) henter rutinemessig innledende nettverkstilgang fra det kriminelle økosystemet i stedet for å gjennomføre innledende kompromittering selv . Den kriminelle megleren håndterer det høyvolum, støyende arbeidet med å skanne og utnytte nettverksapparater; statlige kunder betaler for forhåndsposisjonert tilgang til høyverdige mål (spesielt forsvars-, romfarts- og myndighetsenheter) uten å eksponere statsstyrt infrastruktur under det innledende bruddet.

Den samme tilgangen som megleren solgte til løsepengegjenger for profitt mot kommersielle mål, ble også solgt som en overvåkingspipeline mot ukrainske militære mål – en dobbeltbruksmodell der den samme tekniske kapasiteten genererer både kriminelle inntekter og strategisk etterretningsverdi for den russiske staten .