Sąd Okręgowy Stanów Zjednoczonych dla Dystryktu Kolumbii odpieczętował dziś (3 października) pozew cywilny wniesiony przez Jednostka Microsoftu ds. przestępstw cyfrowych (DCU), w tym nakaz pozwalający na przejęcie 66 unikalnych domen wykorzystywanych przez rosyjskiego państwowego ugrupowania zagrażającego, znanego pod różnymi nazwami: Star Blizzard, Coldriver i Callisto.
Zarzuca się, iż firma Star Blizzard wykorzystywała te domeny do szpiegowania klientów firmy Microsoft na całym świecie w ramach długiej kampanii prowadzonej poprzez ukierunkowane próby phishingu typu spear. Ofiarami są liczne organizacje społeczeństwa obywatelskiego, takie jak dziennikarze i media, organizacje pozarządowe (NGO) i zespoły doradców.
Pozew składany jest wspólnie z Centrum Wymiany i Analiz Informacji dla Organizacji Pozarządowych (NGOISAC) we współpracy z Departamentem Sprawiedliwości Stanów Zjednoczonych (DOJ), który sam przejął już dziś 41 dodatkowych domen przypisanych Star Blizzardowi. W sumie oznacza to, iż usuniętych zostanie ponad 100 złośliwych stron internetowych, co zwiększy zakres zakłóceń w działalności Star Blizzard.
„Chociaż spodziewamy się, iż Star Blizzard zawsze będzie tworzył nową infrastrukturę, dzisiejsze działania mają wpływ na ich działalność w krytycznym momencie, kiedy zagraniczna ingerencja w procesy demokratyczne w USA budzi ogromne obawy” – powiedział Steven Masada, zastępca głównego radcy prawnego Microsoft DCU.
„Umożliwi nam to również szybkie zakłócenie nowej infrastruktury, którą zidentyfikujemy w toku istniejącego postępowania sądowego. Co więcej, dzięki tym działaniom cywilnym i odkryciom, działy DCU i Microsoft Threat Intelligence firmy Microsoft zgromadzą dodatkowe cenne informacje na temat tego podmiotu i zakresu jego działań, które będziemy mogli wykorzystać do poprawy bezpieczeństwa naszych produktów, udostępnić partnerom międzysektorowym, aby pomóc w ich własnych dochodzeniach oraz identyfikować ofiary i pomagać im w wysiłkach zaradczych” – powiedział.
Opisane przez Microsoft jako „nieustępliwe”, działania Star Blizzard sięgają 2017 roku, chociaż w ciągu ostatnich dwóch lat grupa znacznie rozszerzyła swoje możliwości, które zostały rozmieszczone przeciwko celom nie tylko w USA, ale w całym bloku NATO.
W ubiegłym roku Wielka Brytania oficjalnie powiązał Star Blizzard z rosyjską agencją FSB oraz nałożył sankcje na dwie osoby, Andrey Stanislavovich Korinets i Ruslan Aleksandrovich Peretyatko, powiązane z pracą operacji przeciwko celom w Wielkiej Brytanii, która obejmowała ataki hakerskie i wycieki przed wyborami powszechnymi w 2019 r.
Najbardziej znany jak wynika z raportów śledczych „Computer Weekly”.grupa zaatakowała także byłego szefa MI6 oraz ukradła i opublikowała tysiące e-maili od sieci zwolenników twardego brexitu, rzekomo w ramach zemsty za wsparcie byłego premiera Borisa Johnsona dla Ukrainy.
Masada powiedział, iż pomimo niepowodzeń i sankcji nałożonych już wcześniej na Star Blizzard, operacja ta pozostaje niezwykle trwała. Jej agenci skrupulatnie badają swoje cele i fałszują tożsamość zaufanych kontaktów, aby zdobyć ich zaufanie i osiągnąć swoje cele.
Obecnie uważa, iż od stycznia 2023 r. celem ataków było 82 jej klientów, przy częstotliwości około jednego ataku tygodniowo.
„Ta częstotliwość podkreśla staranność grupy w identyfikowaniu celów o dużej wartości, tworzeniu spersonalizowanych wiadomości e-mail phishingowych i rozwijaniu infrastruktury niezbędnej do kradzieży danych uwierzytelniających. Ich ofiary, często nieświadome złośliwych zamiarów, nieświadomie korzystają z tych wiadomości, co prowadzi do ujawnienia ich danych uwierzytelniających. Ataki te obciążają zasoby, utrudniają działania i wzmagają strach u ofiar, a wszystko to utrudnia uczestnictwo w demokracji” – powiedział Masada.
Dodatkowym wyzwaniem na drodze do osiągnięcia tego punktu była zdolność Star Blizzard do dostosowywania i ukrywania swojej działalności i tożsamości. Za każdym razem, gdy zostanie ujawniony, gwałtownie przenosi swoją infrastrukturę do nowych domen i później zaobserwowano, iż robi to ponownie publikację sprawozdania ze swojej pracy w sierpniu 2024 r. przez The Citizen Lab w szkole Munk School na Uniwersytecie w Toronto i organ ds. praw cyfrowych Uzyskaj dostęp teraz.
Wspólna misja
Masada kontynuował: „Dzisiejsze działanie jest przykładem wpływu, jaki możemy wywrzeć na walkę z cyberprzestępczością, współpracując. Pochwalamy Departament Sprawiedliwości za współpracę w tej i innych istotnych kwestiach oraz zachęcamy rządy na całym świecie do angażowania i wspierania partnerów branżowych, takich jak Microsoft, we wspólnej misji zwalczania coraz bardziej wyrafinowanych zagrożeń działających w cyberprzestrzeni.
„Dział DCU firmy Microsoft będzie kontynuować wysiłki mające na celu proaktywne zakłócanie infrastruktury cyberprzestępczej i współpracować z innymi podmiotami z sektora prywatnego oraz społeczeństwem obywatelskim, agencjami rządowymi i organami ścigania, aby walczyć z tymi, którzy chcą wyrządzić krzywdę”.
W ramach najlepszej praktyki Microsoft zaleca wszystkim grupom społeczeństwa obywatelskiego wzmocnienie zabezpieczeń, dodanie uwierzytelniania wieloskładnikowego (MFA) do osobistych i służbowych kont e-mail oraz zarejestrowanie konta Microsoft Strażnik konta program oferujący dodatkowe, dostosowane do indywidualnych potrzeb zabezpieczenia.
Jednakże, stwierdził Redmond, wysiłki te muszą być połączone ze stosowaniem międzynarodowych norm w celu ograniczenia cyberataków wspieranych przez państwa narodowe, zwłaszcza tych, których celem są procesy demokratyczne.
Wskazał, iż Star Blizzard, a co za tym idzie Rosja, wyraźnie narusza Ramy ONZ dotyczące odpowiedzialnego zachowania państwa w Internecie.
