Francuski CERT opublikował raport z aktywności grupy Turla – rosyjskiego APT powiązanego z FSB

Francuskie służby opublikowały raport z wieloletnich analiz prowadzonych przez Centrum Koordynacji Kryzysów Cybernetycznych (C4) zrzeszającego kluczowe agencje wywiadowcze oraz obronne (National Agency for the Security of Information Systems – ANSSI, COMCYBER – Cyber Command, Directorate General for Armaments – DGA, Directorate General for External Security – DGSE, Directorate General for Internal Security – DGSI).

TLDR:

• Francuski CERT opublikował raport z analiz prowadzonych przez Centrum Koordynacji Kryzysów Cybernetycznych (C4).
• Długoletnia kampania cyberszpiegowska (prowadzona co najmniej od 2010 roku) została oficjalnie przypisana Turla, powiązanej z 16 Centrum rosyjskiego FSB.
• Atakujący obierają za cel kluczowe resorty rządowe, placówki dyplomatyczne, sektor obronny oraz firmy technologiczne współpracujące z instytucjami państwowymi.
• Operatorzy stosują szereg dedykowanych narzędzi oraz wykorzystują podatności typu zero-day, aby skutecznie eksfiltrować dane i maksymalnie zamaskować swoją obecność.

Autorzy publicznie przypisali wieloletnią, niezwykle zaawansowaną kampanię cyberszpiegowską rosyjskiej grupie APT – Turla (znanej również pod nazwami Secret Blizzard, Venomous Bear, Pensive Ursa, Pacifier, Waterbug). Grupa ta jest bezpośrednio powiązana z FSB (Federalną Służbą Bezpieczeństwa – jednostką wojskową o numerze 71330).

Zgodnie z raportem, rosyjska ofensywa trwa nieprzerwanie od 2010 roku. Atakujący skupili się przede wszystkim na strategicznych zasobach państwa. Ich celem były kluczowe resorty rządowe, placówki dyplomatyczne, instytucje sektora obronnego oraz firmy technologiczne współpracujące z organami państwowymi. Kampanie nie były ukierunkowane na zakłócanie działania systemów ani na wymuszanie okupu. Cyberprzestępcy realizowali długofalowe operacje cyberszpiegowskie, nastawione na skryte wykradanie informacji przy jak najdłuższym utrzymaniu się w zainfekowanych systemach (persistence). Jak pokazała analiza, rosyjskie grupy APT potrafiły skrycie operować w zainfekowanych sieciach przez miesiące, a nawet lata (np. kampania SolarWinds przeprowadzona przez APT-29).

I choć rosyjskie APT przyzwyczaiły nas do stosowania strategii “spalonej ziemi” i natychmiastowego uruchamiania wiperów po wykryciu (np. grupy powiązane z GRU), to w przypadku Turla priorytetem pozostaje dyskrecja. Zamiast kasowania danych skupiają się na czyszczeniu logów oraz zatarciu wszelkich śladów swojej obecności, które mogłyby doprowadzić analityków do bezpośredniej atrybucji oraz powiązania ich infrastrukturą FSB.

Atak najczęściej rozpoczyna się od ukierunkowanego phishingu (spearphishing). Cyberprzestępcy przeprowadzają szereg operacji z zakresu OSINT-u, aby precyzyjnie ustalić dane celu oraz przygotować wiadomość idealnie imitującą oficjalną korespondencję. 

Wśród innych wektorów wejścia badacze wymieniają ataki na łańcuchy dostaw, wykorzystanie podatności w urządzeniach sieciowych, aplikacjach biznesowych, a także exploity typu zero-day. W niektórych przypadkach, zwłaszcza w celach o strategicznym znaczeniu analitycy zaobserwowali łączenie kilku podatności oraz różnorodne techniki, byle tylko utrzymać się w sieci i osiągnąć zamierzony cel.

Grupa jest znana z łączenia autorskich implantów (często implementowanych pod konkretne operacje) z powszechnie dostępnymi narzędziami ofensywnymi. Dysponują szeregiem wariantów złośliwego oprogramowania przeznaczonego na różne systemy operacyjne (Windows, Linux, macOS). W szczególności ich arsenał stanowią:

• Kazuar – wieloplatformowy backdoor, aktualizowany i modyfikowany na bieżąco pod konkretne kampanie,
• Uroburos (Snake) – zaawansowane oprogramowanie szpiegujące typu rootkit,
• ComRAT i Carbon – narzędzia umożliwiające utrzymanie stałego dostępu oraz eksfiltrację danych, komunikacja z serwerem C2,
• Epic, Mosquito, Penquin, Gazer, Crutch, TinyTurla, LightNeuron oraz Capibar. 

Szczegółowe opisy techniczne poszczególnych narzędzi można znaleźć tutaj.

Warto dodać, że operatorzy grupy wykorzystują przejęte lub wynajęte serwery, zainfekowane strony internetowe (w tym instalację WordPressa) oraz rozproszone węzły P2P, aby maksymalnie zanonimizować ruch oraz utrudnić atrybucję. Co więcej, w niektórych operacjach komunikacja z serwerami C2 oraz eksfiltracja danych odbywały się przy wykorzystaniu łączności satelitarnej.

CERT-FR ocenia, że Turla należy do elitarnego kręgu najbardziej niebezpiecznych grup działających z ramienia Federacji Rosyjskiej. Organizacje przetwarzające informacje o znaczeniu strategicznym dla bezpieczeństwa państwa powinny zakładać możliwość długotrwałych prób infekcji. W odpowiedzi kluczowe jest zatem stosowanie zasady minimalnych uprawnień, segmentacja sieci oraz ciągłe prowadzenie działań z zakresu threat hunting wewnątrz własnych zasobów. 

Należy jednak mieć na uwadze, że choć wdrożenie powyższych zaleceń znacznie utrudni działania napastnikom, to w starciu z grupami sponsorowanymi przez państwo mogą okazać się niewystarczające.

Źródło: CERT-FR, Turla

~_secmike