Alvos e atribuição da campanha
Pesquisadores da Symantec atribuíram ao APT28, grupo ligado ao GRU, uma campanha contra um construtor naval, um fabricante de motores de aeronaves militares e uma agência de aplicação da lei em dois países da OTAN.
As organizações e os países não foram identificados. A fonte informou apenas que as vítimas estavam localizadas na Europa. O APT28 também é conhecido como Fancy Bear, BlueDelta e Forest Blizzard.
Acesso por documento e atuação na rede
Segundo a Symantec, os invasores usaram o backdoor Hookedge para acessar sistemas, roubar credenciais e levantar informações sobre as redes das vítimas. O malware havia sido documentado em agosto pelo Insikt Group, da Recorded Future.
Em um ataque contra o construtor naval, o acesso ocorreu depois que um funcionário abriu, em julho, um documento malicioso do Microsoft Word recebido como anexo de e-mail. Os invasores exploraram a rede interna e tentaram obter credenciais de login.
Na semana seguinte, os atacantes retornaram repetidamente a um computador comprometido e implantaram uma ferramenta ainda não documentada, criada para descriptografar e executar código malicioso diretamente na memória do equipamento. A finalidade final dessa ferramenta não foi determinada.
Cronologia e pontos de atenção para gestores
A primeira infecção confirmada ocorreu em 24 de julho, e atividades maliciosas relacionadas foram detectadas até 24 de setembro. A cronologia indica uma operação de pelo menos dois meses, embora os pesquisadores não tenham conseguido confirmar se o acesso foi ininterrupto durante todo o período.
Os pesquisadores também não conseguiram determinar se informações sensíveis foram efetivamente roubadas. Um analista da Symantec avaliou que a natureza dos alvos aponta para interesse em informações relacionadas à defesa e que a permanência na rede por algumas semanas pode ter criado oportunidade para obtenção de dados.
Como recomendação editorial, organizações devem tratar anexos recebidos por e-mail como um ponto relevante de controle e investigar sinais de exploração de rede e tentativas de obtenção de credenciais. Essas medidas não comprovam nem atribuem novos incidentes; são precauções alinhadas aos vetores relatados no caso.