Het Symantec Threat Hunter Team, onderdeel van Broadcom, schrijft een reeks inbraken bij een politiedienst, een marinescheepsbouwer en een fabrikant van militaire vliegtuigmotoren toe aan de Russische, aan de staat gelieerde groep APT28, ook bekend als BlueDelta, Fancy Bear en Forest Blizzard. De doelwitten bevinden zich in twee NAVO-lidstaten; Symantec noemt in het met The Hacker News gedeelde onderzoek geen namen van de landen of de getroffen bedrijven zelf.
Bij de aanvallen zette de groep een voorheen onbekende loader in met de bestandsnaam ld.exe. Die loader ontsleutelt een versleutelde lading en voert die rechtstreeks in het geheugen uit, met een cryptografische sleutel die pas tijdens de uitvoering wordt aangeleverd. De aanvallers plaatsten de loader via SSH en een curl-commando op het systeem; wat de uiteindelijke lading precies doet, is niet vastgesteld. De operators keerden gedurende ruim een week meerdere keren terug naar een al gecompromitteerde host om zelf handmatig commando’s uit te voeren.
Voor het stelen van inloggegevens gebruikte de groep twee technieken naast elkaar. Bij de eerste werd een SSH-privésleutel op het systeem geplaatst en ingezet voor een permanente, op de achtergrond draaiende tunnel naar de interne netwerken van de organisatie. Bij de tweede opende een PowerShell-script een listener op de loopback-interface, waarmee de machine zich authenticeerde en de NTLM-handshake kon worden onderschept. Op 24 september werd nog een VBS-launcher van de HOOKEDGE-malwarefamilie gezien; of er daadwerkelijk data is buitgemaakt, is onbekend.
Symantec volgt het cluster onder de naam Swallowtail en koppelt de HOOKEDGE-malware aan eerder onderzoek van de Recorded Future Insikt Group, dat dezelfde tooling eerder documenteerde bij spionage tegen overheids- en diplomatieke doelen in Roemenië, Spanje en Turkije. Volgens Symantec vertoont HOOKEDGE veel overlap in code en werkwijze met HEADLACE, een modulair Windows-implantaat dat APT28 sinds april 2023 tegen diplomaten inzet. Symantec stelt dat de gekozen doelwitten informatie in bezit hebben die waardevol kan zijn voor een buitenlandse inlichtingendienst.
Dit onderzoek onderstreept dat Russische statelijke actoren gericht industriële en militaire toeleveranciers binnen NAVO-landen blijven aanvallen, niet alleen overheidsinstellingen zelf. Voor Nederlandse organisaties in diezelfde toeleveringsketen is het een aansporing om SSH- en PowerShell-activiteit op kritieke systemen net zo serieus te monitoren als verkeer op de rand van het netwerk.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Werkt uw organisatie als toeleverancier voor defensie of de maritieme sector binnen een NAVO-land? Monitor uitgaande SSH-tunnels en onverwachte loopback-listeners, en wees extra alert op curl-commando's die uitvoerbare bestanden ophalen op servers die normaal geen directe internettoegang nodig hebben.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.