Tiha špijunaža u vojnim redovima: Kako je grupa APT28 upala u brodogradilište NATO članice

Sajber-špijunaža usmerena ka odbrambenom sektoru i vojnoj industriji dostigla je novi nivo kompleksnosti. Poslednji izveštaji vodećih svetskih timova za analizu pretnji, na čelu sa kompanijom Symantec, razotkrili su opsežnu i pažljivo koordinisanu kampanju ruske hakerske grupe APT28 (poznate i kao Fancy Bear, Forest Blizzard ili BlueDelta).

Ova operacija obuhvatila je mete u dve zemlje članice NATO saveza, sa posebnim fokusom na vojno-pomorsko brodogradilište, proizvođača avionskih motora za vojne potrebe i agenciju za sprovođenje zakona. Analiza prikazuje kako napadači spajaju proverene tehnike socijalnog inženjeringa sa savremenim, nedokumentovanim metodama za zaobilaženje bezbednosnih sistema.

Anatomija napada: Kako je kompromitovano pomorsko brodogradilište

U fokusu ove kampanje našlo se vojno brodogradilište koje proizvodi i održava plovila od ključnog značaja za pomorske snage NATO alijanse. Hakeri grupe APT28 nisu jurili brzu zaradu kroz zaklanjanje podataka (tzv. ransomware), već im je primarni cilj bio dugoročan i neprimećen pristup povlašćenim informacijama.

Upad u unutrašnju mrežu odvijao se kroz tri ključne faze:

Dvostruka krađa akreditiva (Credential Theft): Napadači su primenili dve potpuno nezavisne tehnike za prikupljanje pristupnih lozinki i naloga zaposlenih. Kombinacijom usmerenih phishing poruka (spear-phishing) i eksploatacijom ranjivosti u aplikacijama koje se koriste za komunikaciju, došli su do legitimnih korisničkih pristupa.

Uspostavljanje trajnog SSH tunela: Nakon inicijalnog ulaska, APT28 je konfigurisao persistentni SSH (Secure Shell) tunel. Ovaj tunel je delovao kao tajna kapija ka unutrašnjim resursima brodogradilišta, omogućavajući napadačima da sa daljine upravljaju sistemima i izvlače podatke bez aktiviranja alarma za neuobičajen saobraćaj.

Ubacivanje novog nedokumentovanog loader-a: Radi trajne prisutnosti i obezbeđivanja pokretanja složenijih malvera, napadači su na mrežu postavili potpuno novi, do tada neidentifikovani loader zasnovan na tehnici refleksivnog učitavanja (reflective loading).

Bekdor HOOKEDGE: Zloupotreba legitimnih servisa

Centralnu ulogu u širem operativnom delovanju ove grupe ima malver nazvan HOOKEDGE. Iako je u svojoj osnovi reč o laganoj Windows batch skripti, HOOKEDGE predstavlja izuzetno lukav primer „životnog stila od legitimnih servisa” (Living off Trusted Services / LOTS).

┌─────────────────────────┐      ┌───────────────────────────┐      ┌────────────────────────────┐

│ Metod početnog ulaza    │ ───► │  HOOKEDGE skripta        │ ───► │ Legitimni C2 kanal         │

│ (Word sa makroima/Phish)│      │  (Učitava se u memoriju)   │      │ (webhook.site & Headless   │

└─────────────────────────┘      └───────────────────────────┘      │  Microsoft Edge)           │

                                                                    └────────────────────────────┘

Ključne karakteristike HOOKEDGE bekdora:

Bez sopstvenih komandnih (C2) servera: Umesto podizanja sopstvene infrastrukture koju bi odbrambeni timovi brzo identifikovali i blokirali, HOOKEDGE za prikupljanje komandi i slanje ukradenih podataka zloupotrebljava besplatne servisne platforme poput webhook.site.

Prikrivanje kroz nevidljivi Microsoft Edge: Kako bi mrežni saobraćaj bio potpuno neupadljiv, bekdor pokreće Microsoft Edge pretraživač u takozvanom headless režimu (bez vidljivog korisničkog interfejsa). Sa tačke gledišta bezbednosnih EDR alata (Endpoint Detection and Response), ovaj saobraćaj deluje kao sasvim uobičajeno surfovanje zaposlenih po internetu.

Evolucija iz alata HEADLACE: Stručnjaci za analizu malvera primetili su da HOOKEDGE deli identične varijable i algoritme kodiranja sa ranijim bekdorom HEADLACE, koji je ista grupa koristila protiv diplomatskih misija širom Evrope.

Tehnologija refleksivnog učitavanja (Reflective Loader)

Najznačajniji tehnički iskorak u napadu na brodogradilište jeste upotreba novog refleksivnog loadera.

Nasuprot tradicionalnom izvršavanju programa, gde se fajl prvo upisuje na hard-disk pa tek onda učitava u sistemsku memoriju (RAM), refleksivni loader ubacuje zlonamerni kod direktno u radnu memoriju procesa.

Zašto je ovo opasno za sigurnosne sisteme?

Većina klasičnih antivirusnih programa oslanja se na skeniranje fajlova smeštenih na disku. Zaoobilazeći disk u potpunosti, zlonamerni kod ne ostavlja standardne forenzika tragove, čime tradicionalne statičke detekcije postaju praktično beskorisne.

Ko stoji iza grupe APT28?

APT28 je jedna od najpoznatijih državno sponzorisanih hakerskih grupa na svetu. Zapadne obaveštajne službe povezuju ovu jedinicu sa 24457 / 26165 vojnom jedinicom Ruske vojno-obaveštajne službe (GRU).

Za razliku od drugih grupa poput Sandworm-a (koje su poznate po destruktivnim napadima i brisanju podataka), APT28 je primarno specijalizovan za prikrivenu geopolitičku i vojnu špijunažu. Njihov cilj nije sabotaža postrojenja, već višemesečno prisanje i analitičko prikupljanje podataka o proizvodnim kapacitetima, vojnim nabavkama i strateškim planovima NATO alijanse.

Naučene lekcije i preporuke za zaštitu

Ovaj napad iznova ukazuje na to da napadači sve više zloupotrebljavaju legitimne servise i oslanjaju se na napredne metode u memoriji kako bi izbegli detekciju. Za zaštitu kritične infrastrukture i vojne industrije preporučuju se sledeće mere:

Detekcija u memoriji (In-Memory Inspection): Implementacija EDR/XDR rešenja koja aktivno nadgledaju pozive sistemskih API funkcija i detektuju učitavanje koda direktno u RAM.

Stroga kontrola SSH i mrežnog tunelisanja: Ograničavanje izlaznog SSH saobraćaja i uvođenje striktnih pravila za detekciju neubičajenih dugotrajnih konekcija ka spoljnim IP adresama.

Nadzor nad legitimnim Webhook i Cloud servisima: Analiza mrežnih zahteva ka javnim servisima za testiranje API-ja (poput webhook.site) i ograničavanje njihovog korišćenja na razvojne segmente mreže.

Višefaktorska autentifikacija (MFA) otporna na phishing: Obavezna primena modernih FIDO2/WebAuthn ključeva kako bi se onemogućila jednostavna krađa korisničkih lozinki i tokena.