Westerse diplomaten en overheidsdiensten moeten het momenteel ontgelden. Russische hackers hebben phishingcampagnes gelanceerd. Daarin doen de daders zich voor als ambassadepersoneel en dringen ze er bij de ontvangers -Westerse overheidsdiensten- op aan om zo snel mogelijk, via een malafide URL, ‘belangrijke beleidsupdates’ door te nemen. Of ze proberen de ontvangers te overtuigen om communicatie via een command and control server te laten verlopen
Dat schrijft cybersecuritybedrijf Mandiant.
Zo gingen de hackers te werk
Tussen januari en maart van dit jaar hebben de beveiligingsonderzoekers van Mandiant meerdere phishingcampagnes waargenomen. In alle gevallen waren de e-mails zogenaamd afkomstig van een medewerker van de ambassade. In werkelijkheid was het een Russische hacker die toegang had weten te krijgen tot het e-mailaccount. Op deze manier probeerden de aanvallers het vertrouwen te winnen van de ontvangers.
De gecompromitteerde e-mailadressen werden genoemd als contactpunten op de websites van ambassades, zo ontdekte Mandiant. De hackers maakten gebruik van een HTML-smokkeltechniek om een afbeelding of ISO-bestand af te leveren. Deze bestanden bevatten een Windows-snelkoppelingsbestand (LNK) dat een kwaadaardig DLL-bestand uitvoerde wanneer de ontvanger er op klikte. Om dat te verhullen, werd het LNK-bestand vermomd als een tekstdocument.
Eenmaal geactiveerd maakt de malware verbinding met Trello via een command and control server om te communiceren. Als deze verbinding eenmaal tot stand is gekomen, kunnen hackers ongemerkt hun doelwit bespioneren. Op deze manier kunnen ze onder meer schermafbeeldingen maken, inloggegevens achterhalen door middel van keylogging, netwerkactiviteiten monitoren en een proxy modus server modus inschakelen.
APT 29 verantwoordelijk voor cyberaanval
Als de hackers eenmaal een systeem hebben geïnfiltreerd, weten ze binnen 12 uur toegang te krijgen tot bestanden en accounts die normaliter buiten hun bereik liggen. Dit noemen we ook wel privilege escalatie. Ze verkennen het netwerk en gaan op zoek naar wachtwoorden van hooggeplaatste medewerkers. Door middel van Cobalt Strike beacons bewegen de hackers zich lateraal voort.
Deze werkwijze is volgens beveiligingsonderzoekers kenmerkend voor APT29, Russische hackers die ook wel bekend staan onder de noemer Cozy Bear of Nobelium.
Gelijkenissen met aanval op SolarWinds
Dezelfde aanvalstechniek werd ook gebruikt bij de cyberaanval op SolarWinds. De Russische geheime dienst SVR zou APT29 de opdracht hebben gegeven om een backdoor toe te voegen aan software genaamd Orion Network Management Tools. Zodoende was het mogelijk om politieke instanties, lokale overheden en bedrijven af te luisteren.
Rusland ontkende van meet af aan de aanval. Volgens het Russische ministerie van Buitenlandse Zaken was de beschuldiging niets meer dan een “ongegronde poging van de Amerikaanse media om de schuld van de cyberaanvallen in de schoenen te schuiven van Rusland”, en het land in een kwaad daglicht te plaatsen.
