Компания Amazon пресекла атаки российских хакеров из ГРУ на периферийные сетевые устройства.

[admin]

Команда Amazon Threat Intelligence пресекла активные операции, предположительно проводимые хакерами, работающими на российское внешнеполитическое разведывательное управление (ГРУ), которые атаковали облачную инфраструктуру клиентов.


Поставщик облачных услуг отметил, что в ходе деятельности, начавшейся в 2021 году, особое внимание уделяется критической инфраструктуре западных стран, особенно энергетическому сектору.


Со временем злоумышленники перешли от использования уязвимостей (нулевого дня и известных) к использованию неправильно настроенных периферийных устройств для получения первоначального доступа.

​

Меньше эксплуатируемых уязвимостей​

Си Джей Мозес, директор по информационной безопасности Amazon Integrated Security, отмечает, что до 2024 года эта «многолетняя» кампания использовала многочисленные уязвимости в WatchGuard, Confluence и Veeam в качестве основного вектора первоначального доступа и была нацелена на неправильно настроенные устройства.


Однако в этом году злоумышленники стали меньше полагаться на уязвимости и больше — на неправильно настроенные устройства на периферии клиентской сети, такие как корпоративные маршрутизаторы, VPN-шлюзы, устройства управления сетью, платформы для совместной работы и облачные решения для управления проектами.

«Нацеливание на наиболее уязвимые места — вероятно, неправильно настроенные устройства клиентов с открытыми интерфейсами управления — позволяет достичь тех же стратегических целей, а именно: постоянного доступа к сетям критической инфраструктуры и сбора учетных данных для доступа к онлайн-сервисам организаций-жертв», — объясняет Мозес .


«Изменение оперативного темпа действий злоумышленников свидетельствует о тревожной эволюции: хотя атаки на клиентов с использованием неправильной конфигурации продолжались как минимум с 2022 года, в 2025 году злоумышленники сохранили устойчивый акцент на этой деятельности, одновременно сократив инвестиции в эксплуатацию уязвимостей нулевого и N-го дня», — добавил он.


Однако тактическая эволюция не отразила никаких изменений в оперативных целях группы: кража учетных данных и перемещение по сети жертвы с минимальным риском и с минимальными ресурсами.


На основе анализа целевых моделей и совпадений в инфраструктуре, наблюдаемых в атаках Sandworm (APT44, Seashell Blizzard) и Curly COMrades, Amazon с высокой степенью уверенности считает, что наблюдаемые атаки были осуществлены хакерами, работающими на российское ГРУ.

Компания Amazon считает, что хакеры из Curly COMRades, о которых впервые сообщила компания Bitdefender , могут заниматься деятельностью после взлома в рамках более масштабной кампании ГРУ, включающей в себя множество специализированных подгрупп.

Распространение в сети​

Хотя компания Amazon напрямую не наблюдала за механизмом извлечения данных, свидетельства в виде задержек между компрометацией устройства и использованием учетных данных, а также злоупотребление учетными данными организации указывают на пассивный захват пакетов и перехват трафика.


Взлому подверглись сетевые устройства, управляемые клиентами и размещенные на экземплярах AWS EC2, при этом Amazon отметила, что атаки не использовали уязвимости в самом сервисе AWS.


После обнаружения атак Amazon незамедлительно приняла меры по защите скомпрометированных экземпляров EC2 и уведомила пострадавших клиентов о взломе. Кроме того, компания поделилась информацией с пострадавшими поставщиками и отраслевыми партнерами.

«Благодаря скоординированным усилиям, предпринятым с момента обнаружения этой активности, мы пресекли действия активных субъектов угроз и уменьшили поверхность атаки, доступную для этого подгруппы угроз», — заявила компания Amazon.


Компания Amazon указала IP-адреса злоумышленников в своем отчете, но предупредила, что не следует блокировать их без предварительного проведения контекстного расследования, поскольку это легитимные серверы, которые злоумышленник скомпрометировал для проксирования трафика.


Компания также рекомендовала ряд «первоочередных мер» на следующий год, таких как аудит сетевых устройств, отслеживание активности повторного использования учетных данных и мониторинг доступа к административным порталам.


В средах AWS рекомендуется изолировать интерфейсы управления, ограничить доступ к группам безопасности и включить CloudTrail, GuardDuty и VPC Flow Logs.