APT29 (ang. Advanced Persistent Threat 29), znana także jako Cozy Bear, The Dukes, NOBELIUM i Midnight Blizzard – grupa hakerska typu APT przypisywana przez zachodnie agencje wywiadowcze i firmy bezpieczeństwa rosyjskiemu wywiadowi, przede wszystkim Służbie Wywiadu Zagranicznego (SWR); aktywna co najmniej od 2008 roku, wyspecjalizowana w cyberszpiegostwie wymierzonym w rządy, dyplomację, ośrodki analityczne i sektor prywatny państw NATO i Unii Europejskiej. Grupie przypisywane są jedne z najgłośniejszych operacji cyberszpiegowskich XXI wieku, w tym włamanie do Partii Demokratycznej w 2016 roku oraz atak na łańcuch dostaw oprogramowania SolarWinds ujawniony w 2020 roku.
Nazewnictwo i atrybucja Poszczególne firmy analityczne nadały grupie własne oznaczenia: nazwę Cozy Bear wprowadziła firma CrowdStrike (zgodnie ze swoją konwencją oznaczania grup rosyjskich jako „niedźwiedzi”), fińskie F-Secure opisywało ją jako The Dukes, Microsoft używał nazwy NOBELIUM, zastąpionej w 2023 roku – po zmianie taksonomii na „pogodową” – nazwą Midnight Blizzard, a Mandiant po analizie ataku na SolarWinds włączył śledzony przez siebie klaster UNC2452 do APT29.
Kluczowy dowód atrybucji pochodzi z operacji holenderskiego wywiadu: latem 2014 roku służba AIVD przejęła kontrolę nad kamerami monitoringu w budynku, z którego działała grupa, co pozwoliło powiązać ją ze Służbą Wywiadu Zagranicznego Federacji Rosyjskiej, a zebrane materiały miały zostać wykorzystane w amerykańskim śledztwie w sprawie rosyjskiej ingerencji w wybory z 2016 roku. W kwietniu 2021 roku rząd Stanów Zjednoczonych oficjalnie przypisał SWR atak na SolarWinds; CrowdStrike i wywiad estoński wskazywały wcześniej także na możliwe związki grupy z FSB.
Metody działania Grupa przez lata rozwijała rodzinę złośliwego oprogramowania „Duke”. Jej najstarszy wariant, MiniDuke, wykryty przez Kaspersky Lab w 2013 roku, atakował instytucje rządowe w kilkudziesięciu krajach; kolejne odmiany (CozyDuke, CosmicDuke, SeaDuke, OnionDuke – ten ostatni ukrywający komunikację w sieci Tor) otrzymywały coraz lepsze zabezpieczenia przed analizą. Typowy schemat ataku zaczyna się od wiadomości phishingowej ze złośliwym załącznikiem, który instaluje trojana utrzymującego stały dostęp i komunikującego się z serwerem sterującym. Opisany w 2015 roku trojan HAMMERTOSS maskował tę komunikację, odbierając polecenia przez konta w serwisach Twitter i GitHub.
W 2019 roku ESET udokumentował kampanię „Operation Ghost” z nowymi narzędziami PolyglotDuke, RegDuke i FatDuke. Późniejsze techniki grupy obejmowały ataki na infrastrukturę uwierzytelniania – narzędzia FoggyWeb i MagicWeb pozwalały podszywać się pod dowolnych użytkowników przejętych środowisk Active Directory – oraz proste, masowe zgadywanie haseł (, odmiana ataku siłowego).
Znane operacje Instytucje rządowe USA (2014–2015) Od 2014 roku grupa penetrowała sieci amerykańskiej administracji, w tym Departamentu Stanu i Białego Domu; w 2015 roku kampania spear phishingowa wymierzona w Pentagon doprowadziła do czasowego wyłączenia jawnego systemu poczty elektronicznej Kolegium Połączonych Szefów Sztabów.
Partia Demokratyczna (2016) Grupa została wskazana – obok APT28, wiązanej z wywiadem wojskowym GRU – jako sprawca włamania do Komitetu Krajowego Partii Demokratycznej przed wyborami prezydenckimi w 2016 roku. Obie grupy działały w sieci ofiary niezależnie od siebie, przy czym APT29 utrzymywała dostęp przez ponad rok. Na początku 2017 roku norweska służba PST poinformowała o kampanii spear phishingowej grupy przeciwko tamtejszym ministerstwom obrony i spraw zagranicznych oraz Partii Pracy, a władze Holandii – o próbach włamań do ministerstw, po których zdecydowano o ręcznym liczeniu głosów w wyborach parlamentarnych.
Badania nad szczepionkami COVID-19 (2020) W lipcu 2020 roku agencje Stanów Zjednoczonych, Wielkiej Brytanii i Kanady poinformowały wspólnie, że APT29 prowadziła ataki na ośrodki pracujące nad szczepionkami przeciw COVID-19, używając m.in. złośliwego oprogramowania WellMess.
SolarWinds (2020) W grudniu 2020 roku wyszło na jaw, że napastnicy umieścili backdoora SUNBURST w aktualizacjach oprogramowania Orion firmy SolarWinds, trafiających do około 18 tysięcy klientów, w tym amerykańskich agencji federalnych; CISA wydała dyrektywę nadzwyczajną nakazującą odłączenie zainfekowanych systemów, a amerykańskie agencje wywiadowcze wskazały na Rosję, przypisując ostatecznie operację SWR. Atak, określany w mediach mianem „hacku dekady”, uderzył także w firmy prywatne, m.in. FireEye i Microsoft; pół roku później grupa wykorzystała przejęte konto usługi mailingowej amerykańskiej agencji USAID do ataków phishingowych na około 150 kolejnych organizacji.
Kampania przeciwko dyplomacji (2023) W kwietniu 2023 roku Służba Kontrwywiadu Wojskowego i CERT Polska (CSIRT NASK) ujawniły szeroko zakrojoną kampanię szpiegowską wiązaną z rosyjskimi służbami specjalnymi, wymierzoną w ministerstwa spraw zagranicznych i placówki dyplomatyczne państw NATO i Unii Europejskiej; jej infrastruktura, techniki i narzędzia pokrywały się z aktywnością opisywaną jako NOBELIUM/APT29.
Microsoft, HPE i TeamViewer (2024) W styczniu 2024 roku Microsoft ujawnił, że grupa – działająca pod nazwą Midnight Blizzard – uzyskała metodą password sprayingu dostęp do skrzynek pocztowych członków ścisłego kierownictwa firmy oraz pracowników działów prawnego i cyberbezpieczeństwa; podobne włamanie do poczty działu bezpieczeństwa ujawniła firma Hewlett Packard Enterprise. W czerwcu 2024 roku włamanie grupy do swojej firmowej sieci IT ogłosił także producent oprogramowania TeamViewer.
Zobacz też APT1 Lazarus Group
Przypisy
Kategoria:Grupy hakerskie