Cyber Twierdza gwarantuje zaangażowanie członków zespołów, dzielenie się swoją wiedzą i doświadczeniem, burze mózgów oraz świetną zabawę. W tym roku uruchomiony został 2-gi sezon Cyber Twierdzy. W nowym sezonie scenariusze turniejów oparte zostały m.in. na działaniach rosyjskich grup APT.

Etap I: Ataki mające na celu zakłócenie płynności funkcjonowania sektora bankowo-finansowego

W ostatnich dniach pojawiły się doniesienia o kampaniach ransomware wymierzonych w sektor finansowy. Ofiarami cyberprzestępców padają głównie banki i instytucje finansowe w Polsce. Za atakami prawdopodobnie stoi kilka grup APT wspieranych przez Rosję i Białoruś lecz jak dotąd nie udało się powiązać obserwowanych ataków ze znanymi grupami APT.

Obserwowane kampanie mają charakter kierowany (APT), co oznacza, że zostały zaplanowane z wyprzedzeniem, przygotowane pod kątem konkretnego celu wybranego przez Threat Aktora, a proces szyfrowania danych nie rozpoczyna się natychmiast po udanej fazie Inital Access ataku lecz w dogodnym dla atakującego momencie.

W większości raportów i analiz incydentów powiązanych z przedmiotowymi kampaniami podkreślano, iż sam atak rozpoczął się od wiadomości mailowej spreparowanej prawdopodobnie z wykorzystaniem sztucznej inteligencji, do której załączony był plik z kodem złośliwym.. Treść wiadomości była pozbawiona błędów merytorycznych i gramatycznych.

Sam kod złośliwy umożliwiał atakującemu zestawienie połączenia C&C oraz pobranie kolejnych narzędzi na urządzenia ofiar.

Etap II - Kampanie APT jako narzędzie nacisku politycznego

Badacze cyberbezpieczeństwa ostrzegają o prawdopodobnej kampanii APT, która jest wymierzona w portale i serwisy informacyjne utrzymywane przez instytucje rządowe oraz jednostki administracji publicznej. Kampania ta jest prowadzona prawdopodobnie przez prorosyjskie grupy APT, ponieważ odnotowane ataki skierowane były przeciwko krajom aktywnie angażującym się w pomoc dla Ukrainy w wojnie z Rosją.

Głównym celem kampanii jest dezinformacja. Atakujący z wykorzystaniem rządowych i państwowych portali WWW publikuje nie prawdziwe informacje dot. konfliktu w Ukrainie oraz incydentów wewnętrznych z udziałem uchodźców. Informacje te mogą być następnie powielone i dalej rozpowszechniane przez serwisy i agencje informacyjne, które traktują skompromitowane portale WWW w domenie gov, jako zaufane źródło informacji.

Zidentyfikowane działania atakujących w ramach kampanii powiązane były z wykorzystaniem jako wektora wejścia podatności i błędów w aplikacjach oraz systemach dostępnych z sieci Internet. Następnie atakujący eskalował uprawnienia do administracyjnych, odcinał rzeczywistych administratorów od dostępu do usług i dopiero publikował fałszywe informacje.