Russische APT-Gruppe Gamaredon attackiert die Ukraine  

Russische APT-Gruppe Gamaredon attackiert die Ukraine  

Beitrag teilen

Russische Cyberkriegsoperationen von Trident Ursa bzw. APT Gamaredon sind seit der Ukraine-Invasion weiterhin aktiv. Zusätzlich gab es eine versuchte Attacke auf ein großes Erdölraffinerieunternehmen in einem NATO-Mitgliedsstaat.

Seit Anfang Februar, als Unit 42 von Palo Alto Networks ausführlich über die APT-Gruppe Trident Ursa (auch bekannt als Gamaredon, UAC-0010, Primitive Bear, Shuckworm) berichtet hatte, sieht sich die Ukraine immer stärkeren Cyberbedrohungen aus Russland ausgesetzt. Trident Ursa ist eine Gruppe, die dem russischen Inlandsgeheimdienst FSB zugerechnet wird. Während sich der Konflikt vor Ort und im Cyberspace fortsetzt, ist Trident Ursa nach wie vor eine der am weitesten verbreiteten, kontinuierlich aktiven und zielgerichteten APTs, die auf die Ukraine abzielen.

500 neue Domains als Angriffsplattform

In Anbetracht der aktuellen geopolitischen Lage und des spezifischen Zielfokus dieser APT-Gruppe suchen die Forscher von Unit 42 weiterhin aktiv nach Indikatoren für Operationen. Dabei haben sie in den letzten zehn Monaten über 500 neue Domains, 200 Samples und andere IoCs (Indicators of Compromise) identifiziert, die die verschiedenen Phishing- und Malware-Ziele von Trident Ursa unterstützen. Bei der Überwachung dieser Domains sowie von Open-Source-Informationen haben die Forscher mehrere bemerkenswerte Aktivitäten festgestellt:

  •  Ein erfolgloser Versuch am 30. August 2022, ein großes Raffinerieunternehmen in einem NATO-Mitgliedsstaat zu kompromittieren.
  • Eine Person, die anscheinend mit Trident Ursa zu tun hat, drohte einem ukrainischen Cybersicherheitsforscher unmittelbar nach der ersten Invasion.
  • Mehrere Änderungen der Taktiken, Techniken und Verfahren (TTPs).

Erkenntnisse der Untersuchung

Trident Ursa bleibt eine agile und anpassungsfähige APT, die bei ihren Operationen keine übermäßig ausgefeilten oder komplexen Techniken einsetzt. In den meisten Fällen stützt sich die Gruppe auf öffentlich verfügbare Tools und Skripte – zusammen mit einem erheblichen Maß an Verschleierung – sowie auf routinemäßige Phishing-Versuche, um Operationen erfolgreich durchzuführen.

Diese werden regelmäßig von Forschern und Regierungsorganisationen entdeckt, wovon sich die Gruppe offenbar unbeeindruckt zeigt. Sie fügt einfach zusätzliche Verschleierungen, neue Domains und neue Techniken hinzu und versucht es erneut – oft sogar unter Wiederverwendung früherer Muster. Trident Ursa operiert auf diese Weise seit mindestens 2014 und hat in dieser Zeit des Konflikts keine Anzeichen einer Verlangsamung gezeigt. Aus all diesen Gründen stellt sie nach wie vor eine erhebliche Bedrohung für die Ukraine und ihre Verbündeten dar.

Schutz- und Abhilfemaßnahmen

Die beste Verteidigung gegen Trident Ursa ist eine Sicherheitsposition, die die Prävention begünstigt. Unit 42 empfiehlt, dass Unternehmen die folgenden Maßnahmen ergreifen:

  • Durchsuchung der Netzwerk- und Endpunktprotokolle nach Hinweisen auf Kompromittierungsindikatoren, die mit dieser Bedrohungsgruppe in Verbindung gebracht werden.
  • Sicherstellen, dass Cybersicherheitslösungen die aktiven IoCs der Infrastruktur wirksam blockieren.
  • Implementierung einer DNS-Sicherheitslösung, um DNS-Anfragen für bekannte C2-Infrastrukturen zu erkennen und zu entschärfen. Wenn ein Unternehmen keinen spezifischen Anwendungsfall für Dienste wie Telegram Messaging und Domain-Look-up-Tools in ihrer Geschäftsumgebung hat, sollten diese Domains in die Blockierliste aufgenommen werden. Im Falle von Zero-Trust-Netzwerken sollten die Domains nicht in die Liste der zugelassenen Domains enthalten sein.
  • Anwenden einer zusätzlichen Prüfung auf den gesamten Netzwerkverkehr an, der mit AS 197695(Reg[.]ru) kommuniziert.
Mehr bei PaloAltoNetworks.com

 


Über Palo Alto Networks

Palo Alto Networks, der weltweit führende Anbieter von Cybersicherheitslösungen, gestaltet die cloudbasierte Zukunft mit Technologien, die die Arbeitsweise von Menschen und Unternehmen verändern. Unsere Mission ist es, der bevorzugte Cybersicherheitspartner zu sein und unsere digitale Lebensweise zu schützen. Wir helfen Ihnen, die größten Sicherheitsherausforderungen der Welt mit kontinuierlichen Innovationen anzugehen, die die neuesten Durchbrüche in den Bereichen künstliche Intelligenz, Analytik, Automatisierung und Orchestrierung nutzen. Durch die Bereitstellung einer integrierten Plattform und die Stärkung eines wachsenden Ökosystems von Partnern sind wir führend beim Schutz von Zehntausenden von Unternehmen über Clouds, Netzwerke und mobile Geräte hinweg. Unsere Vision ist eine Welt, in der jeder Tag sicherer ist als der vorherige.


 

Passende Artikel zum Thema

NIS2-Direktive: 6 Tipps zur Umsetzung in Unternehmen

Die EU-NIS2-Direktive verpflichtet bald viele Unternehmen dazu, höhere Cybersicherheitsstandards zu erfüllen - im Oktober 2024 soll das Gesetz schon fertig ➡ Weiterlesen

Cybersecurity: Mangelnde Abstimmung zwischen CEOs und CISOs

87 Prozent der befragten CISOs gaben im Dynatrace CISO-Report 2024 an, dass CEOs für Anwendersicherheit blind seien. 70 Prozent der ➡ Weiterlesen

Cyberversicherungen: Was hilft gegen steigende Kosten?

Cyberversicherungen sichern Unternehmen finanziell bei Cyberangriffen ab. Mit der Zunahme der Bedrohungslage erhöhen die Versicherungen die Kosten für Jahresprämien. Unternehmen, ➡ Weiterlesen

IT-Sicherheit: Mangelnde Kenntnisse in deutschen Unternehmen

Rund 25 Prozent aller Geschäftsleitungen wissen zu wenig über IT-Sicherheit und 42 Prozent der Arbeitnehmenden informieren sich nicht regelmäßig über ➡ Weiterlesen

Unternehmen entdecken Cyberangreifer schneller

Cyberangreifer nutzen bevorzugt Zero-Day-Schwachstellen aus, so der M-Trends Report 2024. Die durchschnittliche Verweildauer bis zu ihrer Entdeckung ist aber deutlich ➡ Weiterlesen

Überwachung dank Abschnitt 702

Das in den USA verabschiedete Gesetz zur Wiederzulassung von Abschnitt 702 bewirkt eine erhebliche Ausweitung der inländischen Überwachung, die die ➡ Weiterlesen

Phishing-Angriffe: Weltweite Zunahme um 60 Prozent

2023 war die Finanzbranche am häufigsten von Phishing-Angriffen betroffen. Kriminelle nutzen für Voice-Phishing (Vishing) und Deepfake-Phishing zunehmend generative KI um ➡ Weiterlesen

Ransomware: der Hauptbedrohungstrend 2023

Im Jahr 2023 wurde die Bedrohungslandschaft von Big-Game-Ransomware und Zero-Day-Ransomware geprägt. Auch Mac-Systeme geraten zunehmend ins Visier der Angreifer, so ➡ Weiterlesen