Odsłonięty serwer: podręcznik operatora pozostawiony otwarty

CloudSEK odkrył otwarty katalog na serwerze należącym do rosyjskiego aktora zagrożeń, który służył jako rejestr poleceń operatora, zawierający :

• Narzędzia exploitacji posegregowane według CVE
• Listy celów podzielone według krajów
• Wyniki skanowania podzielone na zestawy: podatne, niepodatne i nieosiągalne
• Mechanizm punktów kontrolnych śledzący postępy w setkach tysięcy celów

W praktyce serwer był podręcznikiem i dziennikiem klawiszy operatora, pozostawionym widocznym dla każdego, kto wiedział, gdzie szukać.

Wykorzystane luki i atakowane sektory

Broker przygotował exploity dla co najmniej 12 różnych luk CVE, atakujących powszechnie używane urządzenia brzegowe i aplikacje internetowe . Dotknięci producenci to m.in. Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin i Hikvision . Większość kodu exploitów była publicznie dostępnym dowodem koncepcji, ale kluczowe exploity dla Fortinet i Citrix zostały zmodyfikowane w modularne frameworki z rosyjskojęzycznymi nakładkami, automatyzujące wstrzykiwanie kluczy SSH, tworzenie użytkowników VPN, konfigurację backdoorów administracyjnych i masowe skanowanie . Operator utrzymywał również lokalną kopię repozytorium szablonów nuclei oraz ponad 100 własnych szablonów do wykrywania świeżych luk i paneli C2/stealer .

Atakowane sektory to edukacja, opieka zdrowotna, finanse, telekomunikacja i administracja państwowa — w kilkunastu krajach Ameryki Północnej, Europy i innych regionach .

Dowody pełnej kompromitacji Active Directory

Łańcuch działań poeksploatacyjnych operatora dostarcza wyraźnych dowodów pełnego przejęcia kontroli nad Active Directory :

• Ruch boczny: Web shell Neo-reGeorg i tunele SOCKS zapewniły początkowy dostęp wewnętrzny, a następnie wykorzystano ruch boczny oparty na NTLM za pomocą narzędzia Evil-WinRM .
• Kradzież poświadczeń: Wyodrębniono klucze kopii zapasowej DPAPI z kontrolerów domeny; zrzucono sekrety SAM i LSA; zebrano poświadczenia przechowywane w przeglądarkach .
• Kompromitacja krbtgt i złote bilety: Atakujący wydobył hash krbtgt i sfałszował bilety Kerberos z okresem ważności wynoszącym dekadę, co umożliwiło nieograniczony ponowny dostęp niezależnie od resetowania haseł i naprawy punktów końcowych .
• Potwierdzenie poprzez realny incydent: Greater Pittsburgh Orthopaedic Associates (GPOA), amerykański dostawca usług medycznych, pojawił się w katalogu z potwierdzoną kompromitacją domeny (skradzione poświadczenia administracyjne, wyodrębniony klucz kopii zapasowej DPAPI z kontrolera domeny). GPOA później pojawił się na stronie wyciekowej grupy RansomHouse po incydencie w 2025 roku – opóźnienie odpowiada typowym ramom czasowym między sprzedażą dostępu a atakiem ransomware .

Metody zbierania informacji wywiadowczych przeciwko Ukrainie

Później w harmonogramie operacyjnym aktywność odbiegła od czysto komercyjnego pośrednictwa w dostępie :

• Wdrożenie C2 Sliver: Operator wdrożył framework Sliver do dowodzenia i kontroli przeciwko ukraińskim celom obronnym i zbrojeniowym .
• Kradzież kodu źródłowego: Broker uzyskał dostęp i ukradł repozytoria kodu źródłowego poprzez odsłonięte systemy kontroli wersji należące do projektów związanych z obronnością .
• Nadzór przez kamery IP: Operator zbierał obrazy z tysięcy odsłoniętych kamer IP oraz przechwytywał zrzuty ekranu z odsłoniętych sesji pulpitu zdalnego (RDP) – informacje przydatne do geolokalizacji ukraińskich zasobów wojskowych .
• Cele drugorzędne: USA, Europa i Korea Południowa pojawiły się jako drugorzędne cele wywiadowcze w artefaktach .

CloudSEK zauważa, że ten sposób działania ściśle odpowiada zaleceniom holenderskiego wywiadu AIVD/MIVD dotyczącym rosyjskiego nadzoru przez kamery IP wykorzystywanego do lokalizowania ukraińskich pozycji wojskowych .

Jak ten dualny profil wpisuje się w udokumentowane rosyjskie praktyki

CloudSEK ocenia z wysokim stopniem pewności, że operator jest rosyjskojęzycznym brokerem początkowego dostępu, którego działalność skoncentrowana na Ukrainie najlepiej wyjaśniać jako kontrakt kryminalny, sprzedający dostęp – w tym informacje z kamer – państwowym nabywcom .

Jest to zgodne z dobrze udokumentowanym wzorcem rosyjskiego wywiadu: aktorzy sponsorowani przez państwo (np. SVR, GRU, FSB) rutynowo pozyskują początkowy dostęp do sieci z ekosystemu przestępczego, zamiast samodzielnie przeprowadzać początkową kompromitację . Broker kryminalny zajmuje się głośną pracą skanowania i wykorzystywania urządzeń brzegowych; klienci państwowi płacą za przygotowany dostęp do wysokowartościowych celów (zwłaszcza obronnych, zbrojeniowych i rządowych) bez narażania infrastruktury państwowej podczas początkowego włamania.

Ten sam dostęp, który broker sprzedawał grupom ransomware dla zysku przeciwko celom komercyjnym, był również sprzedawany jako rurociąg nadzoru przeciwko ukraińskim celom wojskowym – model podwójnego zastosowania, w którym ta sama techniczna zdolność generuje zarówno przychód kryminalny, jak i wartość strategiczną dla rosyjskiego państwa .

Odsłonięty serwer: podręcznik operatora pozostawiony otwarty

CloudSEK odkrył otwarty katalog na serwerze należącym do rosyjskiego aktora zagrożeń, który służył jako rejestr poleceń operatora, zawierający :

• Narzędzia exploitacji posegregowane według CVE
• Listy celów podzielone według krajów
• Wyniki skanowania podzielone na zestawy: podatne, niepodatne i nieosiągalne
• Mechanizm punktów kontrolnych śledzący postępy w setkach tysięcy celów

W praktyce serwer był podręcznikiem i dziennikiem klawiszy operatora, pozostawionym widocznym dla każdego, kto wiedział, gdzie szukać.

Wykorzystane luki i atakowane sektory

Broker przygotował exploity dla co najmniej 12 różnych luk CVE, atakujących powszechnie używane urządzenia brzegowe i aplikacje internetowe . Dotknięci producenci to m.in. Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin i Hikvision . Większość kodu exploitów była publicznie dostępnym dowodem koncepcji, ale kluczowe exploity dla Fortinet i Citrix zostały zmodyfikowane w modularne frameworki z rosyjskojęzycznymi nakładkami, automatyzujące wstrzykiwanie kluczy SSH, tworzenie użytkowników VPN, konfigurację backdoorów administracyjnych i masowe skanowanie . Operator utrzymywał również lokalną kopię repozytorium szablonów nuclei oraz ponad 100 własnych szablonów do wykrywania świeżych luk i paneli C2/stealer .

Atakowane sektory to edukacja, opieka zdrowotna, finanse, telekomunikacja i administracja państwowa — w kilkunastu krajach Ameryki Północnej, Europy i innych regionach .

Dowody pełnej kompromitacji Active Directory

Łańcuch działań poeksploatacyjnych operatora dostarcza wyraźnych dowodów pełnego przejęcia kontroli nad Active Directory :

• Ruch boczny: Web shell Neo-reGeorg i tunele SOCKS zapewniły początkowy dostęp wewnętrzny, a następnie wykorzystano ruch boczny oparty na NTLM za pomocą narzędzia Evil-WinRM .
• Kradzież poświadczeń: Wyodrębniono klucze kopii zapasowej DPAPI z kontrolerów domeny; zrzucono sekrety SAM i LSA; zebrano poświadczenia przechowywane w przeglądarkach .
• Kompromitacja krbtgt i złote bilety: Atakujący wydobył hash krbtgt i sfałszował bilety Kerberos z okresem ważności wynoszącym dekadę, co umożliwiło nieograniczony ponowny dostęp niezależnie od resetowania haseł i naprawy punktów końcowych .
• Potwierdzenie poprzez realny incydent: Greater Pittsburgh Orthopaedic Associates (GPOA), amerykański dostawca usług medycznych, pojawił się w katalogu z potwierdzoną kompromitacją domeny (skradzione poświadczenia administracyjne, wyodrębniony klucz kopii zapasowej DPAPI z kontrolera domeny). GPOA później pojawił się na stronie wyciekowej grupy RansomHouse po incydencie w 2025 roku – opóźnienie odpowiada typowym ramom czasowym między sprzedażą dostępu a atakiem ransomware .

Metody zbierania informacji wywiadowczych przeciwko Ukrainie

Później w harmonogramie operacyjnym aktywność odbiegła od czysto komercyjnego pośrednictwa w dostępie :

• Wdrożenie C2 Sliver: Operator wdrożył framework Sliver do dowodzenia i kontroli przeciwko ukraińskim celom obronnym i zbrojeniowym .
• Kradzież kodu źródłowego: Broker uzyskał dostęp i ukradł repozytoria kodu źródłowego poprzez odsłonięte systemy kontroli wersji należące do projektów związanych z obronnością .
• Nadzór przez kamery IP: Operator zbierał obrazy z tysięcy odsłoniętych kamer IP oraz przechwytywał zrzuty ekranu z odsłoniętych sesji pulpitu zdalnego (RDP) – informacje przydatne do geolokalizacji ukraińskich zasobów wojskowych .
• Cele drugorzędne: USA, Europa i Korea Południowa pojawiły się jako drugorzędne cele wywiadowcze w artefaktach .

CloudSEK zauważa, że ten sposób działania ściśle odpowiada zaleceniom holenderskiego wywiadu AIVD/MIVD dotyczącym rosyjskiego nadzoru przez kamery IP wykorzystywanego do lokalizowania ukraińskich pozycji wojskowych .

Jak ten dualny profil wpisuje się w udokumentowane rosyjskie praktyki

CloudSEK ocenia z wysokim stopniem pewności, że operator jest rosyjskojęzycznym brokerem początkowego dostępu, którego działalność skoncentrowana na Ukrainie najlepiej wyjaśniać jako kontrakt kryminalny, sprzedający dostęp – w tym informacje z kamer – państwowym nabywcom .

Jest to zgodne z dobrze udokumentowanym wzorcem rosyjskiego wywiadu: aktorzy sponsorowani przez państwo (np. SVR, GRU, FSB) rutynowo pozyskują początkowy dostęp do sieci z ekosystemu przestępczego, zamiast samodzielnie przeprowadzać początkową kompromitację . Broker kryminalny zajmuje się głośną pracą skanowania i wykorzystywania urządzeń brzegowych; klienci państwowi płacą za przygotowany dostęp do wysokowartościowych celów (zwłaszcza obronnych, zbrojeniowych i rządowych) bez narażania infrastruktury państwowej podczas początkowego włamania.

Ten sam dostęp, który broker sprzedawał grupom ransomware dla zysku przeciwko celom komercyjnym, był również sprzedawany jako rurociąg nadzoru przeciwko ukraińskim celom wojskowym – model podwójnego zastosowania, w którym ta sama techniczna zdolność generuje zarówno przychód kryminalny, jak i wartość strategiczną dla rosyjskiego państwa .