Діяльність американської компанії, назву якої не розкривають, була пов’язана з Україною. Щоб дістатися до цих даних, хакери російського Головного розвідувального управління (ГРУ) зламали компанію через її корпоративну мережу WiFi, використовуючи нову техніку під назвою «атака найближчого сусіда».
Діяльність американської компанії, назву якої не розкривають, була пов’язана з Україною. Щоб дістатися до цих даних, хакери російського Головного розвідувального управління (ГРУ) зламали компанію через її корпоративну мережу WiFi, використовуючи нову техніку під назвою «атака найближчого сусіда».
Компанія з кібербезпеки Volexity виявила компрометацію сервера на сайті клієнта у Вашингтоні, округ Колумбія, який виконував роботи, пов’язані з Україною, повідомляє BleepingComputer.
Хакери APT28 входять до складу російської військової частини 26165 Головного розвідувального управління Генерального штабу (ГРУ) і проводить кібероперації щонайменше з 2004 року.
Спочатку вони отримали облікові дані до корпоративної мережі WiFi жертви за допомогою атак із розпиленням паролів, спрямованих на публічні сервіси жертви.
Однак наявність багатофакторної автентифікації (MFA) унеможливила використання облікових даних через загальнодоступну мережу. Хоча підключення через корпоративний Wi-Fi не вимагало MFA, перебування «за тисячі миль і океан від жертви» було проблемою.
Тож хакери підійшли до справи творчо і почали шукати організації в сусідніх будинках, які могли б слугувати основою для цільової бездротової мережі.
Ідея полягала в тому, щоб скомпрометувати іншу організацію і знайти в її мережі пристрої з подвійним доступом, які мають дротовий і бездротовий зв’язок. Такий пристрій (наприклад, ноутбук, роутер) дозволив би хакерам використати його бездротовий адаптер і під'єднатися до корпоративної мережі Wi-Fi.
Volexity виявив, що APT28 скомпрометував кілька організацій у рамках цієї атаки, увімкнувши їх з’єднання за допомогою дійсних облікових даних доступу. Зрештою, вони знайшли пристрій у належному діапазоні, який міг приєднатися до трьох бездротових точок доступу біля вікон конференц-залу жертви.
Використовуючи підключення до віддаленого робочого столу (RDP) з непривілейованого облікового запису, зловмисник зміг переміщатися цільовою мережею в пошуках систем, що його цікавлять, і викрадати дані.
Хакери запустили файл servtask.bat, щоб створити дамп розділів реєстру Windows (SAM, Security і System), стиснувши його в ZIP-архів для подальшої ексфільтрації.
Зловмисники покладалися на вбудовані інструменти Windows, щоб звести до мінімуму свій слід під час збору даних.
«Volexity також встановила, що GruesomeLarch активно націлювався на Організацію А з метою збору даних від осіб, які мають досвід роботи з Україною та проєктами, що активно залучають Україну», — повідомила компанія з кібербезпеки.
«Атака сусідів» APT28 показує, що операція з близького доступу, яка зазвичай вимагає близькості до цілі (наприклад, автостоянка), також може бути проведена здалеку і виключає ризик бути фізично ідентифікованим або спійманим.
