Tag: APT

Wprowadzenie do problemu / definicja

Fancy Bear, znana również jako APT28, Sofacy, Pawn Storm czy Forest Blizzard, pozostaje jedną z najbardziej rozpoznawalnych grup zagrożeń powiązanych z rosyjskim wywiadem wojskowym GRU. Najnowsze analizy pokazują, że ugrupowanie nie ogranicza się do pojedynczych kampanii, lecz prowadzi długofalowe operacje wymierzone w administrację publiczną, sektor obronny, infrastrukturę krytyczną oraz organizacje należące do łańcuchów dostaw.

Skala aktywności tej grupy wskazuje, że mamy do czynienia z trwałą i adaptacyjną ofensywą cybernetyczną. Ataki łączą klasyczne techniki socjotechniczne z nowoczesnym wykorzystaniem podatności, przejmowaniem poświadczeń oraz nadużywaniem urządzeń sieciowych.

W skrócie

Fancy Bear pozostaje aktywnym aktorem państwowym, który skutecznie łączy phishing, eksploatację luk bezpieczeństwa, kradzież danych uwierzytelniających i operacje z użyciem skompromitowanych routerów. Ostatnie raporty wskazują szczególnie na kampanie wykorzystujące zestaw malware Prismex oraz techniki relay NTLMv2 i przechwytywania poświadczeń.

• Grupa celuje w podmioty rządowe, wojskowe i strategiczne.
• Wykorzystuje zarówno nowe podatności, jak i znane, lecz nadal niezałatane luki.
• Łączy cyberwywiad z możliwościami sabotażowymi, w tym z funkcjami typu wiper.
• Nadużywa routerów i infrastruktury DNS do przechwytywania ruchu i poświadczeń.

Kontekst / historia

APT28 działa co najmniej od połowy lat 2000 i od lat pozostaje kojarzona z operacjami wymierzonymi w cele rządowe, wojskowe i polityczne. W przeszłości grupa była wiązana z kampaniami phishingowymi, kradzieżą poświadczeń, wykorzystaniem podatności typu zero-day oraz działaniami wspierającymi szersze cele geopolityczne Rosji.

W ostatnim czasie grupa ponownie znalazła się w centrum uwagi po serii publikacji analitycznych i ostrzeżeń instytucji rządowych. Szczególne znaczenie ma aktywność ukierunkowana na kraje Europy Środkowo-Wschodniej oraz środowiska powiązane z bezpieczeństwem regionalnym i wsparciem dla Ukrainy. Taki profil ofiar potwierdza, że celem operacji jest nie tylko pozyskanie informacji, ale także budowanie długoterminowej przewagi operacyjnej.

Analiza techniczna

Jednym z najważniejszych elementów ostatnich kampanii jest wykorzystanie zestawu narzędzi określanego jako Prismex. Malware ten miał wykorzystywać wiele podatności w systemie Windows i pakiecie Microsoft Office, łącząc techniki steganografii, przejęcia komponentów COM oraz komunikację z infrastrukturą dowodzenia przez legalne usługi chmurowe. Taki model utrudnia wykrycie, ponieważ część ruchu może przypominać zwykłą aktywność użytkownika lub administratora.

Istotne jest także to, że Prismex nie pełni wyłącznie funkcji wywiadowczych. Analizy wskazują, że narzędzie może zawierać komendy wspierające działania destrukcyjne, w tym wycieranie danych. Oznacza to, że pozornie klasyczna kompromitacja może w praktyce przygotowywać grunt pod późniejszy sabotaż.

Drugim istotnym wektorem są ataki relay NTLMv2 oraz przechwytywanie hashy uwierzytelniających. W tym scenariuszu napastnicy wykorzystywali podatność CVE-2023-23397 w Microsoft Outlook, dzięki której ofiara mogła nieświadomie zainicjować połączenie do kontrolowanego przez atakującego serwera SMB. To pozwalało na pozyskanie Net-NTLMv2 hash i dalsze próby uwierzytelnienia w innych systemach bez znajomości hasła w postaci jawnej.

Dodatkowo operatorzy Fancy Bear mieli wykorzystywać skompromitowane routery, zwłaszcza urządzenia SOHO, do przejmowania ustawień DNS i prowadzenia operacji pośredniczących. Taki mechanizm umożliwia przekierowywanie ofiar do kontrolowanej infrastruktury, zbieranie poświadczeń, przechwytywanie tokenów oraz realizację ataków typu adversary-in-the-middle. W praktyce jest to połączenie kompromitacji warstwy sieciowej i ataku na tożsamość, co znacząco zwiększa skuteczność obejścia tradycyjnych zabezpieczeń.

Warto podkreślić, że skuteczność grupy nie wynika wyłącznie z użycia zaawansowanych exploitów. Fancy Bear stale korzysta także z metod dobrze znanych obrońcom, takich jak phishing, słabe hasła, nieaktualne oprogramowanie, błędne konfiguracje oraz starsze protokoły uwierzytelniania. To właśnie umiejętne łączenie prostszych i bardziej zaawansowanych technik pozostaje jedną z największych sił tego ugrupowania.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem aktywności Fancy Bear jest połączenie ryzyka wywiadowczego i destrukcyjnego. Organizacje mogą utracić poufne informacje strategiczne, dane operacyjne, korespondencję kierownictwa, dostęp do systemów pocztowych oraz zasobów katalogowych. W sektorach o znaczeniu strategicznym przekłada się to bezpośrednio na bezpieczeństwo państwa, ciągłość działania i odporność łańcucha dostaw.

Zagrożone są nie tylko duże instytucje. Mniejsze organizacje, samorządy oraz firmy usługowe mogą zostać wykorzystane jako punkt pośredni do dalszych ataków. W praktyce oznacza to, że nawet podmioty spoza pierwszej linii geopolitycznego konfliktu mogą zostać wciągnięte w operacje APT jako źródło danych lub kanał dostępu do bardziej wartościowych celów.

Szczególnie wysokie ryzyko dotyczy warstwy tożsamości i urządzeń sieciowych. Przejęcie poświadczeń, sesji lub tokenów często pozwala ominąć klasyczne zabezpieczenia. Z kolei kompromitacja routerów i DNS bywa trudna do zauważenia, ponieważ wiele organizacji skupia monitoring na stacjach roboczych i serwerach, pomijając małe urządzenia brzegowe.

Rekomendacje

Podstawowym działaniem ochronnym pozostaje sprawne zarządzanie podatnościami. Organizacje powinny priorytetowo wdrażać poprawki dla systemów Windows, Office, Outlook oraz firmware’u routerów i innych urządzeń brzegowych. Równie ważne jest ograniczanie użycia starszych protokołów uwierzytelniania oraz monitorowanie wszelkich prób nadużyć związanych z NTLM.

Kolejnym filarem obrony jest ochrona tożsamości. W praktyce oznacza to wymuszenie MFA dla poczty, VPN, dostępu administracyjnego i usług chmurowych, wdrożenie zasady najmniejszych uprawnień, ograniczenie trwałych uprawnień administracyjnych oraz stosowanie założeń architektury zero trust.

Istotne jest również objęcie routerów i urządzeń sieciowych pełnym procesem bezpieczeństwa. Należy prowadzić ich inwentaryzację, regularnie aktualizować oprogramowanie, zmieniać domyślne hasła, wyłączać zbędne usługi zdalnego zarządzania, kontrolować konfigurację DNS i analizować logi administracyjne.

Po stronie detekcji kluczowe jest korelowanie sygnałów z wielu warstw środowiska. Szczególną uwagę warto zwracać na nietypowe połączenia SMB, próby relay NTLM, zmiany konfiguracji DNS, ostrzeżenia o błędach certyfikatów, nietypowe logowania oraz użycie rzadko spotykanych ścieżek uwierzytelniania.

• Priorytetowe łatanie systemów i urządzeń brzegowych.
• Wyłączenie lub ograniczenie NTLM tam, gdzie to możliwe.
• Wdrożenie MFA i segmentacji dostępu uprzywilejowanego.
• Stały monitoring zmian DNS i konfiguracji routerów.
• Szkolenia użytkowników z phishingu i podejrzanych zaproszeń kalendarzowych.

Podsumowanie

Fancy Bear pozostaje jednym z najgroźniejszych aktorów państwowych w cyberprzestrzeni. Najnowsze kampanie pokazują, że grupa nadal skutecznie łączy eksploatację podatności, kradzież poświadczeń, nadużycia infrastruktury sieciowej i zdolności sabotażowe.

Dla obrońców najważniejszy wniosek jest jednoznaczny: skuteczna ochrona przed APT28 nie wymaga wyłącznie zaawansowanych narzędzi, ale przede wszystkim konsekwentnego usuwania podstawowych słabości. Terminowe aktualizacje, silna ochrona tożsamości, zabezpieczenie routerów i podejście zero trust powinny dziś stanowić minimalny standard bezpieczeństwa.

Źródła

1. https://www.darkreading.com/threat-intelligence/russias-fancy-bear-apt-continues-global-onslaught
2. https://www.ncsc.gov.uk/news/uk-exposes-russian-military-intelligence-hijacking-vulnerable-routers-for-cyber-attacks
3. https://www.ncsc.gov.uk/news/apt28-exploit-routers-to-enable-dns-hijacking-operations
4. https://www.ic3.gov/PSA/2026/PSA260320
5. https://documents.trendmicro.com/assets/rpt/rpt_a_rising_tide.pdf

Wprowadzenie do problemu / definicja

APT28, znana również jako Fancy Bear, Forest Blizzard lub Pawn Storm, pozostaje jedną z najbardziej rozpoznawalnych grup cyberszpiegowskich powiązanych z rosyjskim wywiadem wojskowym. Najnowsze kampanie pokazują, że ugrupowanie nadal prowadzi szeroko zakrojone operacje przeciwko administracji publicznej, sektorowi obronnemu, infrastrukturze krytycznej oraz organizacjom wspierającym Ukrainę i państwa sojusznicze.

Na szczególną uwagę zasługuje fakt, że APT28 nie opiera swoich działań wyłącznie na zaawansowanych exploitach. Grupa skutecznie łączy nowe komponenty malware, techniki obejścia zabezpieczeń i klasyczne metody, takie jak spear phishing, kradzież poświadczeń czy nadużycia słabiej chronionych urządzeń sieciowych.

W skrócie

• Fancy Bear kontynuuje globalne działania ofensywne wymierzone w cele rządowe, wojskowe i strategiczne.
• W ostatnich kampaniach wykorzystywano zestaw malware PRISMEX, ataki na poświadczenia NTLMv2 oraz podatności w Microsoft Outlook i środowisku Windows.
• Istotnym elementem operacji stały się również przejęcia routerów SOHO i scenariusze DNS hijacking.
• Skuteczność grupy wynika z połączenia zaawansowanych narzędzi z dobrze znanymi, nadal efektywnymi technikami ataku.

Kontekst / historia

APT28 od lat jest kojarzona z operacjami cyberszpiegowskimi i działaniami zgodnymi z interesami geopolitycznymi Federacji Rosyjskiej. Grupa funkcjonuje co najmniej od połowy pierwszej dekady XXI wieku i była wielokrotnie łączona z atakami na instytucje rządowe, wojsko, organizacje międzynarodowe, sektor obronny oraz podmioty infrastruktury krytycznej.

Obecna fala aktywności potwierdza trwałość i zdolność adaptacji tego aktora. Z jednej strony obserwowane są nowe łańcuchy infekcji oraz malware wspierające szpiegostwo i potencjalny sabotaż. Z drugiej strony APT28 nadal skutecznie wykorzystuje klasyczne wektory wejścia, takie jak phishing, przejęcia poświadczeń, utrzymywanie starszych mechanizmów uwierzytelniania czy kompromitacja brzegowych urządzeń sieciowych.

Taka strategia sprawia, że zagrożone pozostają nie tylko największe instytucje państwowe. Ryzyko dotyczy również mniejszych organizacji, które mogą stanowić pośredni cel w łańcuchu dostaw i zostać wykorzystane do dotarcia do bardziej wartościowych zasobów.

Analiza techniczna

Jednym z kluczowych elementów ostatnich ustaleń jest kampania oparta na zestawie PRISMEX. Narzędzie to powiązano z atakami wymierzonymi w podmioty związane z obronnością Ukrainy oraz państw wspierających w Europie Środkowo-Wschodniej i w regionie NATO. Technicznie kampania obejmuje wieloetapowy łańcuch infekcji, łączący uruchamianie złośliwego kodu, obchodzenie zabezpieczeń, nadużycia komponentów COM oraz komunikację przez legalne usługi chmurowe wykorzystywane jako kanały C2.

Takie podejście znacząco utrudnia detekcję. Część ruchu sieciowego i artefaktów może wyglądać jak zwykła aktywność systemowa lub biznesowa, co pozwala napastnikom dłużej pozostawać niezauważonymi w środowisku ofiary. Dodatkowo PRISMEX nie ogranicza się wyłącznie do rozpoznania i eksfiltracji danych. W analizach wskazano również komponenty o charakterze sabotażowym, w tym polecenia mogące pełnić funkcję wipera.

Drugim ważnym obszarem aktywności były ataki relay związane z poświadczeniami NTLMv2. W scenariuszu tym wykorzystywano podatność Outlooka CVE-2023-23397. Odpowiednio spreparowane wiadomości lub pliki kalendarza mogły inicjować połączenie z serwerem SMB kontrolowanym przez napastnika, co umożliwiało pozyskanie wartości Net-NTLMv2 i ich dalsze użycie wobec systemów akceptujących NTLM. To szczególnie niebezpieczne w organizacjach, które nadal utrzymują starsze modele uwierzytelniania.

Uzupełnieniem tych operacji były kampanie phishingowe, kradzież poświadczeń oraz wykorzystanie infrastruktury maskującej, takiej jak VPN, Tor, adresy centrów danych i przejęte routery. Takie warstwowe podejście pokazuje, że APT28 nie opiera się na jednej technice, lecz elastycznie dobiera metody do charakteru celu i spodziewanego efektu operacyjnego.

Szczególnie istotny jest wątek kompromitacji routerów SOHO. Z opublikowanych ostrzeżeń wynika, że operatorzy Fancy Bear przejmowali podatne urządzenia brzegowe i modyfikowali ich ustawienia DNS oraz DHCP. Umożliwiało to przekierowywanie ruchu ofiar przez infrastrukturę kontrolowaną przez atakujących, realizację scenariuszy DNS hijacking oraz ataki typu adversary-in-the-middle. W praktyce oznacza to możliwość przechwytywania poświadczeń, tokenów sesyjnych oraz manipulowania ruchem do usług webowych i pocztowych.

Konsekwencje / ryzyko

Najważniejszy wniosek z obecnych kampanii jest prosty: do skutecznego działania APT28 nie są potrzebne wyłącznie najbardziej zaawansowane luki typu zero-day. Równie groźne okazują się zaniedbania w podstawowej higienie bezpieczeństwa, takie jak niezałatane systemy, brak wieloskładnikowego uwierzytelniania, utrzymywanie NTLM, słabe hasła administracyjne czy niewystarczająca segmentacja dostępu.

Ryzyko dla organizacji ma charakter wielowymiarowy. Po pierwsze, istnieje zagrożenie klasycznym cyberszpiegostwem, czyli kradzieżą dokumentacji, planów logistycznych, danych operacyjnych i informacji o łańcuchu dostaw. Po drugie, w środowiskach o wysokim znaczeniu strategicznym należy liczyć się z możliwością działań zakłócających, w tym niszczenia danych lub przygotowania gruntu pod późniejsze operacje destrukcyjne. Po trzecie, przejęcie urządzeń SOHO rozszerza powierzchnię ataku na pracę zdalną i infrastrukturę znajdującą się poza centralnie zarządzaną siecią korporacyjną.

Warto też podkreślić, że celem nie muszą być wyłącznie największe instytucje. Mniejsze firmy, lokalna administracja czy partnerzy technologiczni również mogą zostać wykorzystani jako słabsze ogniwa prowadzące do właściwego celu. To klasyczny model ataku na łańcuch dostaw, który pozostaje wyjątkowo skuteczny wobec rozproszonych ekosystemów współpracy.

Rekomendacje

Organizacje powinny potraktować opisane kampanie jako wyraźny sygnał do przeglądu zarówno podstawowych, jak i bardziej zaawansowanych mechanizmów ochrony. W pierwszej kolejności konieczne jest szybkie wdrażanie poprawek bezpieczeństwa dla systemów Windows, Microsoft Office, Outlooka oraz urządzeń sieciowych, w tym routerów wykorzystywanych w pracy zdalnej i małych oddziałach.

• Regularnie aktualizować systemy operacyjne, aplikacje biurowe i firmware urządzeń brzegowych.
• Usunąć domyślne poświadczenia na routerach oraz kontrolować zmiany ustawień DNS i DHCP.
• Wymusić MFA dla dostępu do usług krytycznych i administracyjnych.
• Ograniczać lub wyłączać NTLM tam, gdzie to możliwe, oraz wdrażać zasadę najmniejszych uprawnień.
• Segmentować sieć i ograniczać zaufanie do urządzeń spoza środowiska zarządzanego.
• Monitorować nietypowe połączenia SMB, anomalie DNS, użycie usług chmurowych jako potencjalnych kanałów C2 oraz zmiany konfiguracji routerów.
• Prowadzić szkolenia z rozpoznawania spear phishingu i innych technik socjotechnicznych.

Mniejsze organizacje powinny dodatkowo rozważyć wsparcie zewnętrzne, takie jak usługi MDR, współpracę z branżowymi centrami wymiany informacji o zagrożeniach oraz integrację z krajowymi strukturami reagowania. W przypadku działań prowadzonych przez zaawansowanego aktora państwowego szybka detekcja i odpowiedź mają kluczowe znaczenie.

Podsumowanie

Najnowsze kampanie Fancy Bear potwierdzają, że siła tej grupy nie wynika wyłącznie z dostępu do zaawansowanych narzędzi, lecz przede wszystkim z umiejętnego łączenia klasycznych technik z nowoczesnym malware i elastyczną infrastrukturą operacyjną. PRISMEX, ataki na NTLMv2, nadużycia podatności Outlooka oraz kompromitacja routerów SOHO tworzą obraz przeciwnika, który skutecznie działa zarówno na poziomie endpointów, jak i warstwy sieciowej.

Dla obrońców najważniejszy wniosek jest praktyczny: szybkie łatanie systemów, silna kontrola tożsamości, segmentacja sieci oraz konsekwentne wdrażanie zasad zero trust pozostają najskuteczniejszą odpowiedzią na działania APT28. W starciu z takim przeciwnikiem przewagę daje nie spektakularna technologia, lecz dobrze realizowane podstawy bezpieczeństwa.

Źródła

1. Dark Reading — Russia’s 'Fancy Bear’ APT Continues Its Global Onslaught
2. NCSC — APT28 exploit routers to enable DNS hijacking operations
3. Microsoft Security Blog — SOHO router compromise leads to DNS hijacking and adversary-in-the-middle attacks
4. NSA — NSA Supports FBI in Highlighting Russian GRU Threats Against Routers