21 мая 2025 года международная группа кибербезопасности (CISA, NSA, FBI, NCSC-UK, BND и другие) опубликовала отчёт о кампании российской хакерской группы APT28 (также известной как Fancy Bear, Forest Blizzard). Целями атак стали западные логистические компании и IT-организации, участвующие в поставках помощи Украине.
Описание
Злоумышленники из Fancy Bear (APT28) нацелились на десятки компаний в сфере транспорта, обороны и IT в странах НАТО, включая США, Германию, Польшу, Францию и Украину. Среди жертв — порты, аэропорты, железнодорожные операторы и производители систем управления движением поездов.
Методы взлома
Для проникновения в системы хакеры использовали:
- Подбор паролей и атаки методом "грубой силы" через Tor и VPN.
- Фишинговые письма с поддельными страницами входа в облачные сервисы.
- Эксплуатацию уязвимостей в Outlook (CVE-2023-23397), Roundcube (CVE-2020-12641) и WinRAR (CVE-2023-38831).
- Взлом IP-камер на границах Украины для слежения за грузами.
Действия после взлома
После получения доступа злоумышленники:
- Крали данные Active Directory с помощью инструментов Certipy и ADExplorer.
- Устанавливали вредоносные программы HEADLACE и MASEPIE.
- Перехватывали расписания поставок, номера контейнеров и маршруты доставки.
- Использовали голосовой фишинг, выдавая себя за IT-специалистов.
Связь с предыдущими атаками
APT28 также массово атаковала IP-камеры в Украине и приграничных странах, используя уязвимости в протоколе RTSP. Более 80% атак пришлось на украинские камеры, что указывает на стратегический интерес к логистике военных грузов.
Индикаторы компрометации
