Кибератаки против Украины в 2022г осуществляли связанные с российскими ФСБ, ГУР и СВР группы — Госспецсвязи

Киев. 9 марта. ИНТЕРФАКС-УКРАИНА – Хакерские атаки против Украины осуществляли группы, ассоциированные с российскими Федеральной службой безопасности (ФСБ), Главным управлением разведки (ГУР) и Службой внешней разведки (СВР), их целью было кибершпионаж и кража данных, сообщила правительственная команда реагирования на компьютерные чрезвычайные события Украины CERT-UA в отчете о киберагрессии России против Украины в 2022 году.

Специалисты CERT-UA пришли к соответствующим выводам благодаря обработанным вручную 2,2 тыс. кибератак на украинские структуры в 2022 году, из которых 1,1 тыс. содержали высокий и критический уровень угрозы, указывается в документе.

Согласно отчету, наиболее активной во второй половине 2022 года была ассоциированная с ФСБ группа Gamaredon. Только за второе полугодие от них было зафиксировано 74 атаки. Основной целью их деятельности было кибершпионаж, но CERT-UA расследует и случаи, когда сеть была заражена из-за вредоносного программного обеспечения. Ключевыми целями были государственные организации и предприятия сектора безопасности и обороны, говорится в тексте отчета.

Специалисты CERT-UA отметили, что Gamaredon действует, распространяя вредоносные программы с помощью электронных писем. Секрет их успеха в том, что они используют темы, непосредственно относящиеся к компетенции пострадавших организаций. Также Gamaredon ведут рассылку от аккаунтов электронной почты, скомпрометированных в результате атак. Группа работает с помощью телеком/хостинг-провайдера оккупированного Крыма CrymCom.

Активное участие в кибератаках против Украины принимала группа ГРУ Sandworm (UAC-0082). Во втором полугодии CERT-UA проанализировал 14 инцидентов, которые с высоким уровнем уверенности можно отнести к Sandworm. Группа специализируется в первую очередь на кибершпионаже и деструктивной деятельности. Среди их целей – критически важные инфраструктурные организации, объекты энергетики и логистические компании, популярные СМИ, государственные ресурсы, сообщили Госспецсвязи.

Согласно отчету, в основном атаки осуществлялись группами хакеров, подконтрольных ГРУ, ФСБ, СВР. Во втором квартале прошло года было зафиксировано участие в четырех киберинцидентах и белорусской группе GhostWriter.

«Уменьшение случаев киберинцидентов в летний период можно объяснить как активным поиском новых целей/возможностей, так и предположением, что это вызвано внутренним изменением приоритетов и процессами согласования с высшим российским военным командованием. Другим объяснением может быть влияние отпуска, подтверждающего предположение, что злоумышленники – преимущественно «хакеры в погонах», – отмечается в отчете.

Согласно ему, вспышка кибератак высокого и критического уровня против Украины фиксировалась в начале и конце 2022 года. Согласно данным в отчете Госспецсвязи, в январе-феврале специалисты зафиксировали около 130 кибератак критического уровня. Также вспышка атак была зафиксирована в декабре, когда специалисты обнаружили около 30 критических кибератак.

Основной мишенью российских киберпреступников оставалась гражданская инфраструктура, но приоритеты хакеров на протяжении полномасштабного вторжения изменялись в соответствии с военными потребностями.

Во второй половине 2022 года фиксировалось смещение фокуса российских хакеров со СМИ и телекоммуникационной отрасли, являвшихся одними из главных целей в начале войны, на энергетический сектор, который также стал мишенью для ракетных атак с октября прошлого года. Причем цели российских хакерских атак также изменились: от целенаправленных атак они перешли к шпионажу и краже данных.

«Во второй половине 2022 года ФСБ/ГРУ/СВР в основном стремились к сбору разведданных. Наиболее агрессивные операции кибершпионажа осуществлялись по отношению к гражданской инфраструктуре, включая правительство, учреждения критической инфраструктуры (энергетические компании, коммерческие организации, логистические предприятия), а также Минэнерго, Минфин, МИД, Минобороны, Госпогранслужба», — говорится в тексте отчета.

Вражеские кибератаки были нацелены на разные сектора, в том числе 556 атак совершено на правительственный сектор, 113 — на военный, 43 — на телеком и IT сектора, 19 — на транспортный, по 29 — на медиа и энергетический секторы, 12 — на банковский сектор.

Наиболее распространенным приемом остается фишинг, но также российские хакерские группы начали сосредотачиваться на использовании технических уязвимостей организаций. Применялся вредоносный код, заражение вредоносным программным обеспечением. Воры используют для доступа к внутренним сетям VPN без 2 FA, компрометацию аккаунта из-за заражения вредоносным программным обеспечением или CobaltStrike имплантаты, доставляемые по уязвимости.

Злоумышленники активно использовали электронную почту и доверие между получателями для распространения вредоносного программного обеспечения.

В инцидентах второй половины 2022 года 157 случаев были случаями с использованием выявленных уязвимостей, 151 – фишинга, 141 – распространения вредных программ.