Russische APT-Gruppe Gamaredon attackiert die Ukraine  

Russische APT-Gruppe Gamaredon attackiert die Ukraine  

Beitrag teilen

Russische Cyberkriegsoperationen von Trident Ursa bzw. APT Gamaredon sind seit der Ukraine-Invasion weiterhin aktiv. Zusätzlich gab es eine versuchte Attacke auf ein großes Erdölraffinerieunternehmen in einem NATO-Mitgliedsstaat.

Seit Anfang Februar, als Unit 42 von Palo Alto Networks ausführlich über die APT-Gruppe Trident Ursa (auch bekannt als Gamaredon, UAC-0010, Primitive Bear, Shuckworm) berichtet hatte, sieht sich die Ukraine immer stärkeren Cyberbedrohungen aus Russland ausgesetzt. Trident Ursa ist eine Gruppe, die dem russischen Inlandsgeheimdienst FSB zugerechnet wird. Während sich der Konflikt vor Ort und im Cyberspace fortsetzt, ist Trident Ursa nach wie vor eine der am weitesten verbreiteten, kontinuierlich aktiven und zielgerichteten APTs, die auf die Ukraine abzielen.

500 neue Domains als Angriffsplattform

In Anbetracht der aktuellen geopolitischen Lage und des spezifischen Zielfokus dieser APT-Gruppe suchen die Forscher von Unit 42 weiterhin aktiv nach Indikatoren für Operationen. Dabei haben sie in den letzten zehn Monaten über 500 neue Domains, 200 Samples und andere IoCs (Indicators of Compromise) identifiziert, die die verschiedenen Phishing- und Malware-Ziele von Trident Ursa unterstützen. Bei der Überwachung dieser Domains sowie von Open-Source-Informationen haben die Forscher mehrere bemerkenswerte Aktivitäten festgestellt:

  •  Ein erfolgloser Versuch am 30. August 2022, ein großes Raffinerieunternehmen in einem NATO-Mitgliedsstaat zu kompromittieren.
  • Eine Person, die anscheinend mit Trident Ursa zu tun hat, drohte einem ukrainischen Cybersicherheitsforscher unmittelbar nach der ersten Invasion.
  • Mehrere Änderungen der Taktiken, Techniken und Verfahren (TTPs).

Erkenntnisse der Untersuchung

Trident Ursa bleibt eine agile und anpassungsfähige APT, die bei ihren Operationen keine übermäßig ausgefeilten oder komplexen Techniken einsetzt. In den meisten Fällen stützt sich die Gruppe auf öffentlich verfügbare Tools und Skripte – zusammen mit einem erheblichen Maß an Verschleierung – sowie auf routinemäßige Phishing-Versuche, um Operationen erfolgreich durchzuführen.

Diese werden regelmäßig von Forschern und Regierungsorganisationen entdeckt, wovon sich die Gruppe offenbar unbeeindruckt zeigt. Sie fügt einfach zusätzliche Verschleierungen, neue Domains und neue Techniken hinzu und versucht es erneut – oft sogar unter Wiederverwendung früherer Muster. Trident Ursa operiert auf diese Weise seit mindestens 2014 und hat in dieser Zeit des Konflikts keine Anzeichen einer Verlangsamung gezeigt. Aus all diesen Gründen stellt sie nach wie vor eine erhebliche Bedrohung für die Ukraine und ihre Verbündeten dar.

Schutz- und Abhilfemaßnahmen

Die beste Verteidigung gegen Trident Ursa ist eine Sicherheitsposition, die die Prävention begünstigt. Unit 42 empfiehlt, dass Unternehmen die folgenden Maßnahmen ergreifen:

  • Durchsuchung der Netzwerk- und Endpunktprotokolle nach Hinweisen auf Kompromittierungsindikatoren, die mit dieser Bedrohungsgruppe in Verbindung gebracht werden.
  • Sicherstellen, dass Cybersicherheitslösungen die aktiven IoCs der Infrastruktur wirksam blockieren.
  • Implementierung einer DNS-Sicherheitslösung, um DNS-Anfragen für bekannte C2-Infrastrukturen zu erkennen und zu entschärfen. Wenn ein Unternehmen keinen spezifischen Anwendungsfall für Dienste wie Telegram Messaging und Domain-Look-up-Tools in ihrer Geschäftsumgebung hat, sollten diese Domains in die Blockierliste aufgenommen werden. Im Falle von Zero-Trust-Netzwerken sollten die Domains nicht in die Liste der zugelassenen Domains enthalten sein.
  • Anwenden einer zusätzlichen Prüfung auf den gesamten Netzwerkverkehr an, der mit AS 197695(Reg[.]ru) kommuniziert.
Mehr bei PaloAltoNetworks.com

 


Über Palo Alto Networks

Palo Alto Networks, der weltweit führende Anbieter von Cybersicherheitslösungen, gestaltet die cloudbasierte Zukunft mit Technologien, die die Arbeitsweise von Menschen und Unternehmen verändern. Unsere Mission ist es, der bevorzugte Cybersicherheitspartner zu sein und unsere digitale Lebensweise zu schützen. Wir helfen Ihnen, die größten Sicherheitsherausforderungen der Welt mit kontinuierlichen Innovationen anzugehen, die die neuesten Durchbrüche in den Bereichen künstliche Intelligenz, Analytik, Automatisierung und Orchestrierung nutzen. Durch die Bereitstellung einer integrierten Plattform und die Stärkung eines wachsenden Ökosystems von Partnern sind wir führend beim Schutz von Zehntausenden von Unternehmen über Clouds, Netzwerke und mobile Geräte hinweg. Unsere Vision ist eine Welt, in der jeder Tag sicherer ist als der vorherige.


 

Passende Artikel zum Thema

EU-NIS2-Direktive: Wie bereiten sich Unternehmen am besten vor?

Von der Neuauflage der EU-NIS2-Direktive sind viele Unternehmen betroffen. Mit ihr erhöhen sich die Mindestanforderungen an die Cybersicherheit kritischer Infrastrukturen. ➡ Weiterlesen

EU-NATO-Papier: KRITIS vor Cyberangriffen schützen

EU-NATO-Taskforce über die Resilienz der Kritischen Infrastruktur (KRITIS) in Europa erklärt Energie, Verkehr, digitale Infrastruktur und Weltraum als besonders schützenswerte ➡ Weiterlesen

Cyber-Risiko: Ladestationen für Elektrofahrzeuge

Ladestationen und Anwendungen für Elektrofahrzeuge sind oft nur unzureichend gegenüber Sicherheitsrisiken geschützt. Erfolgreiche Cyberangriffe auf solche Anwendungen ermöglichen Aktionen von ➡ Weiterlesen

Drastische Zunahme von Malware-Bedrohungen

Sicherheitsbedrohungen in OT- und IoT-Umgebungen nehmen stark zu. Das Gesundheitswesen, der Energiesektor und die Fertigung sind besonders davon betroffen. Die ➡ Weiterlesen

E-Mail-Erpressung auf dem Vormarsch

Bei Erpressungs-E-Mails drohen Cyberkriminelle damit, kompromittierende Informationen ihrer Opfer zu veröffentlichen, etwa ein peinliches Foto, und fordern eine Zahlung in ➡ Weiterlesen

Risiken des Quantencomputings in der Automobilbranche

Auswirkungen der Quantencomputer-Technologie auf die Automobilindustrie, die potenziellen Cybersicherheitsrisiken der neuen Technologie und die Möglichkeiten der Risikominderung für die Automobilhersteller. ➡ Weiterlesen

Mobile Geräte: Hohe Gefährdung durch KI-generierte Angriffe

Bei mobilen Geräten ist die Gefahr einer Cyber-Attacke durch verseuchte Apps, gefälschte KI-Websites, Fake-Proxy-Server und Phishing hoch. Tools der generativen ➡ Weiterlesen

Erneuerbare Energiesysteme unzureichend gesichert

Im April 2022, wenige Monate nach Beginn des russischen Angriffs auf die Ukraine, wurden drei Windenergieunternehmen in Deutschland von Cyberkriminellen ➡ Weiterlesen