NB65 ukradla data FSB

Uskupení Anonymous Network Battalion 65 se podařil vskutku husarský kousek. Napadli ruskou organizaci CorpMSP, která se oficiálně tváří jako platforma pro malé a střední podnikatele. Její chybou na kráse je to, že fakticky jde o zástěrku pro aktivity ruské státní tajné policie FSB. NB65 veškerá data o činnosti agentů FSB ukradli, na serverech CorpMSP zašifrovali a veškeré zálohy smazali. Třešničkou na dortu je využití ransomwaru Conti pocházejícího od ruským státem sponzorovaných kyberzločinců Conti.

 

NB65

NB65 (Network Battalion 65) je jednou ze skupin, která se aktivně účastní kyberválky vůči Rusku, jíž vyhlásilo decentralizované hnutí Anonymous v den, kdy putinovské Rusko napadlo Ukrajinu. NB65 se od toho momentu podařilo:

• proniknout do systémů ruské státní korporace pro kosmické aktivity Roskosmos a vyřadit kontrolu nad špionážními satelity; 
• vyřadit z provozu státní ruskou televizní a rozhlasovou společnost VGTRK; 
• napadnout společnost pro elektronickou správu dokumentů Tensor; 
• proniknout do sítě vědeckovýzkumných ústavů federálního výzkumného centra ruské akademie věd UFA; 
• ukrást a zveřejnit na 400 GB z ruské cestovní agentury Continent Expres.

Soukromé společnosti nebyly původně cílem aktivit NB65, nicméně po válečných zločinech v Buči skupina přehodnotila cíle: 

„Po Buči jsme se rozhodli zaměřit na jisté společnosti, které sice mohou být v soukromém vlastnictví, nicméně mají výrazný dopad na schopnost Ruska normálně fungovat. Obecná podpora Ruska vůči putinovým válečným zločinům je ohromující. A my jsme od samotného začátku dávali jasně najevo, že podporujeme Ukrajinu. A budeme se držet svého slova. Jestliže Rusko přestane s veškerými nepřátelskými aktivitami vůči Ukrajině a skončí s touto nesmyslnou válkou, NB65 přestane útočit na internetové cíle a společnosti v Rusku. 

Do té doby, k čertu s nimi.“

Ransomware Conti, výnosný produkt skupiny Conti Group

Conti Group patří k ruským APT skupinám. APT označuje pokročilé houževnaté hrozby (Advanced persistent threat), které typicky nepozorovaně a v mnoha krocích pronikají do počítačových sítí, skrytě tam působí a nakonec mizí včetně zametení stop. Conti Group je navíc rozvětvená organizace typu podniku. Má vlastní strukturu, programátory, obchodníky, vyjednávače o výkupném, vlastní HR.

Jedním z nejvýnosnějších produktů Conti Group patří ransomware, jehož prostřednictvím vydírali již spoustu společností po celém světě. Dle všeho ho prodávají jako SaaS, a to za podíl na realizovaných výpalných.

Krasojízda ransomwaru Conti skončila v momentu putinovské invaze na Ukrajinu. Conti Group totiž byla na straně ruských sil a patrně se také účastnila kyberútoku, který měl vyřadit ukrajinskou infrastrukturu. V odvetu na to ukrajinský bezpečnostní expert pod nickem Conti Leaks zveřejnil na Twitteru zdrojový kód ransomwaru Conti v3. A ten si vypůjčili NB65.

Útok na CorpMSP

CorpMSP se oficiálně vydává za státní platformu pro malé a střední podnikatele. Má jim nabízet rozličné služby od zprostředkování půjček přes právní konzultace až po školení v různých oblastech. Ze zcizených dat ovšem vyplývá, že CorpMSP je jen zástěrkou pro aktivity agentů FSB a navíc sama špehuje online aktivity ruských podnikatelů, kterým ukradla identifikační údaje přes SSH a HTTPS pověření. 

NB65 data CorpMSP ukradla, na serverech zašifrovala a vymazala zálohy, a to vše pomocí modifikovaného ransomwaru Conti. Z originálu Conti zbylo jen 66 %. Zbytek byl upraven tak, aby dešifrovací klíče Conti Group byly k ničemu. A k tomu ještě přibalili vzkaz R3ADM3.txt: 

„Teď už jste evidentně zjistili, že vaše prostředí bylo infikováno ransomwarem. Za to poděkujte Conti.

Kód jsme upravili tak, abyste ho nemohli dešifrovat pomoci jejich dešifrovačů.

Získali jsme značné množství dat zahrnující soukromé emaily, kontakty a finanční údaje. 

Nyní, jestliže chcete zabránit permanentnímu zašifrování svých dat, nás kontaktujte na network_battalion_0065@[utajeno]. 

Máme 3 dny na to, abyste nás kontaktovali. Jinak data zůstanou permanentně zašifrovaná. 

I když máme jen minimální pochopení pro situaci, v níž se nacházíte, budeme ctít dohodu o obnovení vašich souborů v zasaženém systému, až nás kontaktujete a zaplatíte. Do té doby nepodnikneme další kroky. Ale mějte na paměti, že jsme pronikli celou vaší sítí. 

Bedlivě vás sledujeme. Váš prezident se neměl dopustit válečných zločinů. Pokud hledáte někoho, koho byste obvinili ze své současné situace, vaše hledání je u konce - je to Vladimír Putin.“

Veškeré finanční prostředky, které takto NB65 získá, budou směřovat na podporu Ukrajiny.

Zdroje

• Twitter
• BleepingComputer.com

 

Daniel Beránek, 27.04.2022 23:33

 

 

 

	Už i NÚKIB varuje před TikTokem Už jste na Netflixu koukali na serjoš Red Rose? Pokud ano, usnadní vám to porozumění strachu těch, kteří se snaží TikTok zakázat. Pokud ne, nevadí, kouknem´ na to v textu. Můžeme ovšem předeslat, že do kampaně proti TikToku se teď pouštějí už...
	DuckDuckGo už i pro Windows Půl roku po uvedení macovské verzi přichází na svět zkušební verze DuckDuckGo i pro Windows. Staví na projektu Chromia, ale využívá i systémová vykreslovací jádra. V rámci vlastní mise přináší uživateli maximalizaci...
	Google Chrome přidává novou předprodukční verzi Vývojáři Chrome chtějí posílit testování uvolňovaných verzí prohlížeče, a proto každou stabilní verzi Chrome uvolní o týden dřív malému procentu uživatelů, aby ti tak otestovali jakékoliv možné zádrhele, se kterými...
	LibreOffice 7.5: krásnější a uhlazenější LibreOffice stále akcentuje interoperabilitu se softwarem Microsoftu MS Office. A krom toho přidává propracovanější temné zobrazení, nové a krásnější ikonky a sjednocení nástrojů do jediné nástrojové lišty. Technologie nově...