Агентства Five Eyes раскрывают эволюционирующую тактику облачных атак APT29

[Teacher]

Службы кибербезопасности и разведки стран Five Eyes выпустили совместную консультацию, в которой подробно описывается эволюционирующая тактика спонсируемого российским государством субъекта угроз, известного как APT29.

Хакерская организация, также известная как BlueBravo, Cloaked Ursa, Cozy Bear, Midnight Blizzard (ранее Nobelium) и The Dukes, предположительно связана со Службой внешней разведки (СВР) Российской Федерации.

Группа кибершпионажа, которую ранее приписывали компрометации цепочки поставок программного обеспечения SolarWinds, в последние месяцы привлекла внимание тем, что нацелилась на Microsoft, Hewlett Packard Enterprise (HPE) и другие организации с целью достижения их стратегических целей.

"Поскольку организации продолжают модернизировать свои системы и переходят на облачную инфраструктуру, SVR адаптировалась к этим изменениям в операционной среде", - говорится в бюллетене по безопасности.

К ним относятся -

• Получение доступа к облачной инфраструктуре через сервис и неактивные учетные записи с помощью атак методом перебора и использования паролей, отказываясь от использования уязвимостей программного обеспечения в локальных сетях
• Использование токенов для доступа к учетным записям жертв без необходимости ввода пароля
• Использование методов распыления паролей и повторного использования учетных данных для захвата контроля над личными учетными записями, использование оперативной бомбардировки для обхода требований многофакторной аутентификации (MFA), а затем регистрация собственного устройства для получения доступа к сети
• Затрудняется распознавание вредоносных подключений от обычных пользователей за счет использования локальных прокси-серверов, чтобы создать видимость вредоносного трафика, исходящего с IP-адресов в диапазонах интернет-провайдера (ISP), используемых для абонентов широкополосного доступа в Интернет, и скрыть их истинное происхождение.

"Для организаций, которые перешли на облачную инфраструктуру, первой линией защиты от такого субъекта, как SVR, должна быть защита от TTP'ов SVR для первоначального доступа", - заявили агентства. "Как только SVR получает первоначальный доступ, субъект способен развертывать высокоразвитые средства посткомпрометации, такие как MagicWeb".