GRU: Ρωσικές κυβερνοεπιθέσεις σε κάμερες και εταιρείες στην Ελλάδα

Στο στόχαστρο της ρωσικής στρατιωτικής υπηρεσίας πληροφοριών GRU φέρονται να βρέθηκαν εταιρείες μεταφορών, τεχνολογικές υποδομές, λογαριασμοί χρηστών και κάμερες συνδεδεμένες στο διαδίκτυο σε 13 χώρες, μεταξύ των οποίων περιλαμβάνεται και η Ελλάδα.

Η εκστρατεία κυβερνοκατασκοπείας αποδίδεται στη στρατιωτική μονάδα 26165 της GRU, η οποία είναι γνωστή στη διεθνή κοινότητα κυβερνοασφάλειας με τις ονομασίες APT28, Fancy Bear, Forest Blizzard και BlueDelta.

Σύμφωνα με κοινή προειδοποίηση δυτικών υπηρεσιών ασφαλείας, η συγκεκριμένη δραστηριότητα βρίσκεται σε εξέλιξη από το 2022, όταν η Ρωσία άρχισε να διευρύνει τις επιχειρήσεις ψηφιακής κατασκοπείας μετά την εισβολή στην Ουκρανία.

Βασικός στόχος ήταν η συλλογή πληροφοριών για τις διαδρομές μέσω των οποίων μεταφέρονται όπλα, στρατιωτικός εξοπλισμός και άλλες μορφές δυτικής βοήθειας προς το Κίεβο. Οι επιτιθέμενοι φέρονται επίσης να αναζητούσαν στοιχεία για τις κινήσεις στελεχών και προσώπων που συμμετείχαν στον συντονισμό αυτών των αποστολών.

Ιδιαίτερη βαρύτητα δόθηκε σε διαδικτυακές κάμερες κοντά σε ουκρανικά συνοριακά περάσματα, στρατιωτικές εγκαταστάσεις και κρίσιμες διαδρομές μεταφοράς. Μέσω του οπτικού υλικού, οι ρωσικές υπηρεσίες μπορούσαν δυνητικά να παρακολουθούν οχήματα, φορτία και μετακινήσεις σε πραγματικό χρόνο.

Οι μέθοδοι που χρησιμοποιεί η μονάδα 26165

Για την αρχική διείσδυση στα συστήματα, οι χάκερ χρησιμοποιούν συνδυασμό τεχνικών. Μία από τις βασικές είναι το password spraying, κατά το οποίο δοκιμάζονται συνηθισμένοι ή προβλέψιμοι κωδικοί πρόσβασης σε μεγάλο αριθμό λογαριασμών.

Η μέθοδος διαφέρει από την κλασική επίθεση εξαντλητικών δοκιμών, καθώς οι δράστες δεν επιχειρούν συνεχώς πολλούς κωδικούς σε έναν λογαριασμό. Δοκιμάζουν λίγες δημοφιλείς επιλογές σε πολλούς χρήστες, περιορίζοντας έτσι την πιθανότητα να ενεργοποιηθούν οι μηχανισμοί ασφαλείας.

Παράλληλα, καταγράφονται στοχευμένες επιθέσεις ηλεκτρονικού «ψαρέματος», γνωστές ως spearphishing. Τα μηνύματα αποστέλλονται σε συγκεκριμένα πρόσωπα και συχνά εμφανίζονται ως επικοινωνίες κρατικών φορέων, εταιρειών τεχνολογίας ή γνωστών παρόχων ηλεκτρονικού ταχυδρομείου.

Οι σύνδεσμοι οδηγούν σε παραποιημένες σελίδες εισόδου, όπου οι χρήστες καλούνται να καταχωρίσουν τα στοιχεία σύνδεσής τους. Σε άλλες περιπτώσεις, τα μηνύματα περιέχουν κακόβουλα αρχεία ή εκμεταλλεύονται γνωστά κενά ασφαλείας σε εφαρμογές ηλεκτρονικού ταχυδρομείου.

Οι ρωσικοί παράγοντες έχουν χρησιμοποιήσει ακόμη τεχνικές τροποποίησης των δικαιωμάτων πρόσβασης σε γραμματοκιβώτια Microsoft Exchange, αποκτώντας τη δυνατότητα να παρακολουθούν επικοινωνίες, επαγγελματικές επαφές και πληροφορίες για τον συντονισμό των μεταφορών.

Στην επίσημη προειδοποίηση αναφέρονται επίσης επιθέσεις σε εταιρικά VPN, υποδομές εκτεθειμένες στο διαδίκτυο και συσκευές μικρών επιχειρήσεων ή οικιακών δικτύων. Οι δράστες αξιοποιούν ευπάθειες σε δρομολογητές και άλλον εξοπλισμό, ώστε να αποκρύπτουν την πραγματική προέλευση της δραστηριότητάς τους.

Στο στόχαστρο έχουν βρεθεί εταιρείες logistics και τεχνολογίας, κρατικοί οργανισμοί και επιχειρήσεις που δραστηριοποιούνται στις αεροπορικές, θαλάσσιες και σιδηροδρομικές μεταφορές.

Οι επιθέσεις επεκτάθηκαν ακόμη σε λιμάνια, αεροδρόμια, συστήματα διαχείρισης εναέριας κυκλοφορίας, ναυτιλιακές δραστηριότητες, την αμυντική βιομηχανία και παρόχους υπηρεσιών πληροφορικής.

Σε ορισμένες περιπτώσεις, η GRU φέρεται να στοχοποιούσε αρχικά μία εταιρεία και στη συνέχεια να αναζητούσε πρόσβαση σε συνεργάτες, προμηθευτές και άλλους οργανισμούς με τους οποίους αυτή διατηρούσε επαγγελματικές σχέσεις.

Η τακτική αυτή αξιοποιεί την εμπιστοσύνη που υπάρχει ανάμεσα σε επιχειρήσεις της ίδιας αλυσίδας εφοδιασμού. Ένας οργανισμός με ισχυρή κυβερνοπροστασία μπορεί να προσεγγιστεί έμμεσα μέσω ενός μικρότερου συνεργάτη με χαμηλότερο επίπεδο ασφάλειας.

Ιδιαίτερη ανησυχία προκαλεί η στόχευση καμερών IP και άλλων «έξυπνων» συσκευών. Πολλές κάμερες ασφαλείας, οικιακά συστήματα παρακολούθησης και ηλεκτρονικά κουδούνια παραμένουν συνδεδεμένα στο διαδίκτυο με εργοστασιακούς κωδικούς, παλιό λογισμικό ή μη ασφαλείς ρυθμίσεις απομακρυσμένης πρόσβασης.

Οι ιδιοκτήτες μπορεί να μην αντιληφθούν την παραβίαση, καθώς η συσκευή συνεχίζει να λειτουργεί κανονικά. Ο εισβολέας μπορεί όμως να παρακολουθεί την εικόνα, να συλλέγει στοιχεία για την τοποθεσία ή να χρησιμοποιεί τη συσκευή ως ενδιάμεσο σταθμό για άλλες κυβερνοεπιθέσεις.

Η Ελλάδα ανάμεσα στις χώρες με στοχευόμενες οντότητες

Η κοινή προειδοποίηση αναφέρει ότι οντότητες που συνδέονται με την εκστρατεία εντοπίστηκαν στη Βουλγαρία, την Τσεχία, τη Γαλλία, τη Γερμανία, την Ελλάδα, την Ιταλία, τη Μολδαβία, την Ολλανδία, την Πολωνία, τη Ρουμανία, τη Σλοβακία, την Ουκρανία και τις Ηνωμένες Πολιτείες.

Η παρουσία της Ελλάδας στη λίστα συνδέεται με τη στρατηγική θέση της χώρας, τις υποδομές μεταφορών και τη συμμετοχή επιχειρήσεων και οργανισμών σε διεθνείς αλυσίδες εφοδιασμού. Η επίσημη έκθεση δεν δημοσιοποιεί τα ονόματα των ελληνικών φορέων που φέρονται να στοχοποιήθηκαν.

Οι ολλανδικές υπηρεσίες πληροφοριών AIVD και MIVD έχουν αναφερθεί ειδικά στη ρωσική προσπάθεια πρόσβασης σε κάμερες IP κατά μήκος ευρωπαϊκών διαδρομών μεταφοράς στρατιωτικού υλικού.

Η Ολλανδία αποτελεί κρίσιμο κόμβο για τη δυτική στρατιωτική υποστήριξη προς την Ουκρανία, λόγω των λιμανιών, των υποδομών logistics και της συμμετοχής της στις αποστολές εξοπλισμού. Η παρακολούθηση καμερών κατά μήκος αυτών των διαδρομών μπορεί να αποκαλύψει χρόνους, συχνότητα και είδος φορτίων.

Οι δυτικές αρχές καλούν επιχειρήσεις και οργανισμούς να εφαρμόζουν πολυπαραγοντικό έλεγχο ταυτότητας, να εγκαθιστούν άμεσα τις ενημερώσεις ασφαλείας και να παρακολουθούν τις απόπειρες σύνδεσης στους λογαριασμούς τους.

Για τις κάμερες και τις συσκευές του λεγόμενου Διαδικτύου των Πραγμάτων θεωρείται κρίσιμη η αλλαγή των εργοστασιακών κωδικών, η απενεργοποίηση της απομακρυσμένης πρόσβασης όταν δεν χρησιμοποιείται και η τακτική αναβάθμιση του λογισμικού.

Σε ξεχωριστό σκέλος των αποκαλύψεων για το ρωσόφωνο κυβερνοέγκλημα γίνεται αναφορά και στη συμμορία ransomware Conti, η οποία είχε ταχθεί δημόσια υπέρ της Ρωσίας μετά την εισβολή στην Ουκρανία και είχε επιτεθεί σε οργανισμούς, επιχειρήσεις και νοσοκομεία.

Η διαρροή εκατοντάδων χιλιάδων εσωτερικών μηνυμάτων της ομάδας αποκάλυψε τον τρόπο λειτουργίας της, τις συζητήσεις των μελών της και τον όγκο των προσωπικών δεδομένων που είχαν αποκτήσει από τα θύματα.

Μετά την επίθεση στον οίκο διαμαντιών Graff, η ομάδα φέρεται να απέκτησε στοιχεία πελατών υψηλού προφίλ, ανάμεσα στους οποίους αναφέρονταν πολιτικά πρόσωπα, μέλη βασιλικών οικογενειών, επιχειρηματίες και γνωστές προσωπικότητες.

Τα δεδομένα που αποκτούν τέτοιες ομάδες μπορεί να περιλαμβάνουν διευθύνσεις, στοιχεία επικοινωνίας, συναλλαγές, ιστορικά αγορών και πληροφορίες πιστωτικών καρτών. Το υλικό χρησιμοποιείται για εκβιασμούς, οικονομικές απάτες ή πώληση σε άλλους εγκληματικούς μηχανισμούς.

Η υπόθεση της GRU και οι διαρροές από τη Conti αποτυπώνουν δύο διαφορετικές, αλλά παράλληλες απειλές: την κρατική κυβερνοκατασκοπεία με στρατιωτικούς στόχους και το οργανωμένο κυβερνοέγκλημα που μετατρέπει προσωπικά δεδομένα σε εργαλείο εκβιασμού και οικονομικού κέρδους.