Russische Hackergruppe Trident Ursa attackiert Ukraine weiterhin

Seit Anfang Februar, als Unit 42 von Palo Alto Networks ausführlich über die APT-Gruppe Trident Ursa (auch bekannt als Gamaredon, UAC-0010, Primitive Bear, Shuckworm) berichtet hatte, sieht sich die Ukraine immer stärkeren Cyberbedrohungen aus Russland ausgesetzt.

Trident Ursa ist eine Gruppe, die dem russischen Inlandsgeheimdienst FSB zugerechnet wird. Während sich der Konflikt vor Ort und im Cyberspace fortsetzt, ist Trident Ursa nach wie vor eine der am weitesten verbreiteten, kontinuierlich aktiven und zielgerichteten APTs, die auf die Ukraine abzielen.

In Anbetracht der aktuellen geopolitischen Lage und des spezifischen Zielfokus dieser APT-Gruppe suchen die Forscher von Unit 42 weiterhin aktiv nach Indikatoren für Operationen. Dabei haben sie in den letzten zehn Monaten über 500 neue Domains, 200 Samples und andere IoCs (Indicators of Compromise) identifiziert, die die verschiedenen Phishing- und Malware-Ziele von Trident Ursa unterstützen.

Bei der Überwachung dieser Domains sowie von Open-Source-Informationen haben die Forscher mehrere bemerkenswerte Aktivitäten festgestellt:

• Ein erfolgloser Versuch am 30. August 2022, ein großes Raffinerieunternehmen in einem NATO-Mitgliedsstaat zu kompromittieren.

• Eine Person, die anscheinend mit Trident Ursa zu tun hat, drohte einem ukrainischen Cybersicherheitsforscher unmittelbar nach der ersten Invasion.

• Mehrere Änderungen der Taktiken, Techniken und Verfahren (TTPs).

Schlussfolgerung

Trident Ursa bleibt eine agile und anpassungsfähige APT, die bei ihren Operationen keine übermäßig ausgefeilten oder komplexen Techniken einsetzt. In den meisten Fällen stützt sich die Gruppe auf öffentlich verfügbare Tools und Skripte – zusammen mit einem erheblichen Maß an Verschleierung – sowie auf routinemäßige Phishing-Versuche, um Operationen erfolgreich durchzuführen. Diese werden regelmäßig von Forschern und Regierungsorganisationen entdeckt, wovon sich die Gruppe offenbar unbeeindruckt zeigt. Sie fügt einfach zusätzliche Verschleierungen, neue Domains und neue Techniken hinzu und versucht es erneut – oft sogar unter Wiederverwendung früherer Muster. Trident Ursa operiert auf diese Weise seit mindestens 2014 und hat in dieser Zeit des Konflikts keine Anzeichen einer Verlangsamung gezeigt. Aus all diesen Gründen stellt sie nach wie vor eine erhebliche Bedrohung für die Ukraine und ihre Verbündeten dar.

Schutzmaßnahmen und Abhilfemaßnahmen

Die beste Verteidigung gegen Trident Ursa ist eine Sicherheitsposition, die die Prävention begünstigt. Unit 42 empfiehlt, dass Unternehmen die folgenden Maßnahmen ergreifen:

• Durchsuchung der Netzwerk- und Endpunktprotokolle nach Hinweisen auf Kompromittierungsindikatoren, die mit dieser Bedrohungsgruppe in Verbindung gebracht werden.

• Sicherstellen, dass Cybersicherheitslösungen die aktiven IoCs der Infrastruktur wirksam blockieren.

• Implementierung einer DNS-Sicherheitslösung, um DNS-Anfragen für bekannte C2-Infrastrukturen zu erkennen und zu entschärfen. Wenn ein Unternehmen keinen spezifischen Anwendungsfall für Dienste wie Telegram Messaging und Domain-Look-up-Tools in ihrer Geschäftsumgebung hat, sollten diese Domains in die Blockierliste aufgenommen werden. Im Falle von Zero-Trust-Netzwerken sollten die Domains nicht in die Liste der zugelassenen Domains enthalten sein.

• Anwenden einer zusätzlichen Prüfung auf den gesamten Netzwerkverkehr an, der mit AS 197695(Reg[.]ru) kommuniziert.

www.paloaltonetworks.de