O rețea de routere compromise, utilizată de serviciul de informații militare ruse (GRU) pentru operațiuni cibernetice, a fost destructurată recent de Departamentul de Justiție al SUA și FBI, potrivit unui comunicat oficial.
Anchetatorii au stabilit că dispozitive de tip SOHO (small-office/home-office) erau infectate și folosite pentru atacuri de tip DNS hijacking, prin care traficul utilizatorilor era redirecționat către infrastructuri controlate de atacatori. Scopul era interceptarea și colectarea de informații sensibile, inclusiv parole, emailuri și date de navigare.
„Actorii GRU au modificat setările DNS ale dispozitivelor pentru a introduce rezolutoare controlate de ei, permițând interceptarea și capturarea traficului de date”, se arată în comunicatul FBI.
Potrivit autorităților, atacurile au vizat o gamă largă de victime la nivel global, fiind ulterior selectate ținte de interes, în special din domeniile militar, guvernamental și infrastructurilor critice.
La operațiune au participat structuri de securitate din mai multe țări, printre care și Serviciul Român de Informații.
„Serviciul Român de Informații, prin intermediul Centrului Național Cyberint, a participat alături de comunitatea internațională de intelligence la operațiunea Masquerade, prin care s-a reușit disruperea unei infrastructuri de atac formate din dispozitive de comunicații (routere), utilizate de actorul cibernetic rus APT28/FANCY BEAR, atribuit GRU.
Prin intermediul rețelei de atac, actorul cibernetic a colectat parole, tokenuri de autentificare și date sensibile, inclusiv e-mailuri și istoricul căutărilor pe internet, informații care în mod normal sunt protejate de protocoale SSL (secure socket layer) și TLS (transport layer security). În acest mod, GRU a compromis o gamă largă de entități de la nivel global, inclusiv din România, vizând în special infrastructuri critice și informații din domeniile militar și guvernamental”, se arată într-un comunicat de presă al SRI.
Modul de operare al actorului cibernetic evidențiază necesitatea adoptării unor măsuri de protecție din partea tuturor utilizatorilor de dispozitive SOHO (small-office home-office – echipamente pentru lucru de acasă sau birouri mici), precum:
- înlocuirea dispozitivelor End-of-Life și End-of-Support, pentru care producătorii nu mai emit actualizări;
- realizarea actualizărilor de firmware;
- verificarea autenticității conexiunilor realizate de dispozitivele de rețea;
- revizuirea regulilor firewall pentru a limita expunerea conexiunilor neautorizate de la distanță.
Operațiunea de disrupere a afectat operațiunile cibernetice derulate în prezent de APT28 prin exploatarea echipamentelor de tip router și limitează semnificativ capabilitățile atacatorului de a derula atacuri cibernetice viitoare utilizând această infrastructură de atac.
