Russische Cyberkriegsoperationen von Trident Ursa bzw. APT Gamaredon sind seit der Ukraine-Invasion weiterhin aktiv. Zusätzlich gab es eine versuchte Attacke auf ein großes Erdölraffinerieunternehmen in einem NATO-Mitgliedsstaat.
Seit Anfang Februar, als Unit 42 von Palo Alto Networks ausführlich über die APT-Gruppe Trident Ursa (auch bekannt als Gamaredon, UAC-0010, Primitive Bear, Shuckworm) berichtet hatte, sieht sich die Ukraine immer stärkeren Cyberbedrohungen aus Russland ausgesetzt. Trident Ursa ist eine Gruppe, die dem russischen Inlandsgeheimdienst FSB zugerechnet wird. Während sich der Konflikt vor Ort und im Cyberspace fortsetzt, ist Trident Ursa nach wie vor eine der am weitesten verbreiteten, kontinuierlich aktiven und zielgerichteten APTs, die auf die Ukraine abzielen.
500 neue Domains als Angriffsplattform
In Anbetracht der aktuellen geopolitischen Lage und des spezifischen Zielfokus dieser APT-Gruppe suchen die Forscher von Unit 42 weiterhin aktiv nach Indikatoren für Operationen. Dabei haben sie in den letzten zehn Monaten über 500 neue Domains, 200 Samples und andere IoCs (Indicators of Compromise) identifiziert, die die verschiedenen Phishing- und Malware-Ziele von Trident Ursa unterstützen. Bei der Überwachung dieser Domains sowie von Open-Source-Informationen haben die Forscher mehrere bemerkenswerte Aktivitäten festgestellt:
- Ein erfolgloser Versuch am 30. August 2022, ein großes Raffinerieunternehmen in einem NATO-Mitgliedsstaat zu kompromittieren.
- Eine Person, die anscheinend mit Trident Ursa zu tun hat, drohte einem ukrainischen Cybersicherheitsforscher unmittelbar nach der ersten Invasion.
- Mehrere Änderungen der Taktiken, Techniken und Verfahren (TTPs).
Erkenntnisse der Untersuchung
Trident Ursa bleibt eine agile und anpassungsfähige APT, die bei ihren Operationen keine übermäßig ausgefeilten oder komplexen Techniken einsetzt. In den meisten Fällen stützt sich die Gruppe auf öffentlich verfügbare Tools und Skripte – zusammen mit einem erheblichen Maß an Verschleierung – sowie auf routinemäßige Phishing-Versuche, um Operationen erfolgreich durchzuführen.
Diese werden regelmäßig von Forschern und Regierungsorganisationen entdeckt, wovon sich die Gruppe offenbar unbeeindruckt zeigt. Sie fügt einfach zusätzliche Verschleierungen, neue Domains und neue Techniken hinzu und versucht es erneut – oft sogar unter Wiederverwendung früherer Muster. Trident Ursa operiert auf diese Weise seit mindestens 2014 und hat in dieser Zeit des Konflikts keine Anzeichen einer Verlangsamung gezeigt. Aus all diesen Gründen stellt sie nach wie vor eine erhebliche Bedrohung für die Ukraine und ihre Verbündeten dar.
Schutz- und Abhilfemaßnahmen
Die beste Verteidigung gegen Trident Ursa ist eine Sicherheitsposition, die die Prävention begünstigt. Unit 42 empfiehlt, dass Unternehmen die folgenden Maßnahmen ergreifen:
- Durchsuchung der Netzwerk- und Endpunktprotokolle nach Hinweisen auf Kompromittierungsindikatoren, die mit dieser Bedrohungsgruppe in Verbindung gebracht werden.
- Sicherstellen, dass Cybersicherheitslösungen die aktiven IoCs der Infrastruktur wirksam blockieren.
- Implementierung einer DNS-Sicherheitslösung, um DNS-Anfragen für bekannte C2-Infrastrukturen zu erkennen und zu entschärfen. Wenn ein Unternehmen keinen spezifischen Anwendungsfall für Dienste wie Telegram Messaging und Domain-Look-up-Tools in ihrer Geschäftsumgebung hat, sollten diese Domains in die Blockierliste aufgenommen werden. Im Falle von Zero-Trust-Netzwerken sollten die Domains nicht in die Liste der zugelassenen Domains enthalten sein.
- Anwenden einer zusätzlichen Prüfung auf den gesamten Netzwerkverkehr an, der mit AS 197695(Reg[.]ru) kommuniziert.
Über Palo Alto Networks Palo Alto Networks, der weltweit führende Anbieter von Cybersicherheitslösungen, gestaltet die cloudbasierte Zukunft mit Technologien, die die Arbeitsweise von Menschen und Unternehmen verändern. Unsere Mission ist es, der bevorzugte Cybersicherheitspartner zu sein und unsere digitale Lebensweise zu schützen. Wir helfen Ihnen, die größten Sicherheitsherausforderungen der Welt mit kontinuierlichen Innovationen anzugehen, die die neuesten Durchbrüche in den Bereichen künstliche Intelligenz, Analytik, Automatisierung und Orchestrierung nutzen. Durch die Bereitstellung einer integrierten Plattform und die Stärkung eines wachsenden Ökosystems von Partnern sind wir führend beim Schutz von Zehntausenden von Unternehmen über Clouds, Netzwerke und mobile Geräte hinweg. Unsere Vision ist eine Welt, in der jeder Tag sicherer ist als der vorherige.