V jednom zaznamenaném případě útočník ze skupiny TA453 nepotřeboval posílat e-mail. Podle dokumentu se připojil přímo na živý hovor přes Zoom se svým cílem a škodlivou internetovou adresu vložil do textu chatu uprostřed hovoru. Je to jediný konkrétní detail, který advisory k oběma popsaným kampaním uvádí, a zároveň ten nejvýraznější.
Varování, které se samo nepodepsalo
Dokument nese název „Advisory: SEABORGIUM and TA453 continue their respective spear-phishing campaigns against targets of interest“ (volně: Varování o pokračujících phishingových kampaních skupin SEABORGIUM a TA453 vůči zájmovým cílům). Vyšel 26. ledna 2023 jako verze 1, s doložkou Crown Copyright 2023 (autorská práva britské koruny, obvyklé u oficiálních vládních publikací) a hlavičkou, která úroveň sdílení podle systému TLP (Traffic Light Protocol, označení toho, jak široko smí informace kolovat) uvádí jen jako „COLOUR“, bez konkrétní barvy.
Týká se dvou aktérů: ruské skupiny SEABORGIUM, vystupující i pod jmény Callisto Group, COLDRIVER nebo TAG-53, a íránské skupiny TA453, známé také jako APT42, Charming Kitten nebo Yellow Garuda. Dokument přitom nevychází z vlastního šetření. Je to syntéza dřívějších zjištění: blogu Microsoft Threat Intelligence Center (MSTIC) ze srpna 2022 o narušení phishingových operací SEABORGIUM, zprávy Google Threat Analysis Group o souvisejícím dění ve východní Evropě, analýzy Certfa Lab o technice falešných schůzek na Zoomu a textů Proofpointu o chování TA453. Popsané techniky obou skupin jsou zařazené do rámce MITRE ATT&CK, běžně používaného katalogu technik v oboru kybernetické bezpečnosti.
Kdo advisory sepsal, text sám nejmenuje. Uvádí jen kanály, kam mají ve Spojeném království hlásit podezřelou aktivitu, totiž NCSC (National Cyber Security Centre, Národní centrum pro kybernetickou bezpečnost), organizační součást britské signálové rozvědky GCHQ, kde je dokument také zveřejněn.
Rok budování důvěry
Podle dokumentu útočily obě skupiny po celý rok 2022 na podobné spektrum cílů: akademická pracoviště, instituce spojené s obranou, vládní organizace, nevládní organizace, think-tanky, politiky, novináře a aktivisty, primárně ve Spojeném království a dalších zájmových oblastech.
Metoda byla u obou skupin podobná. Útočníci sbírali veřejně dostupné informace ze sociálních a profesních sítí, podle kterých sestavili věrohodný příběh, vytvářeli falešné profily vydávající se za odborníky nebo napodobovali skutečné kontakty z webmailových adres. Registrovali domény podobné jménům skutečných institucí a přednostně mířili na osobní e-mailové adresy cílů, podle dokumentu nejspíš kvůli obejití firemních bezpečnostních kontrol. Obě skupiny podle zpráv odvětvových partnerů používaly i techniku souběžně vedených falešných identit v jedné komunikaci, v originálních zprávách označovanou jako multi-persona impersonation, která měla zvýšit důvěryhodnost.
Škodlivému odkazu podle záznamu předcházela delší neškodná korespondence. Odkaz pak přišel e-mailem, v dokumentu sdíleném přes OneDrive nebo Google Drive, nebo v popsaném případě u TA453 přímo v chatu živého hovoru na Zoomu. Po kliknutí vedl na stránku napodobující přihlašovací portál, která sbírala hesla. S ukradenými přihlašovacími údaji se útočníci přihlašovali do schránek obětí, stahovali zprávy a přílohy, nastavovali přeposílání pro trvalý přístup a sbírali kontakty pro další cílení.
Dvě kampaně vedle sebe
Advisory nepřináší nové vyšetřování ani neuzavírá jednotlivý případ. Je to přehled technik doplněný doporučením, jak podezřelou aktivitu hlásit NCSC. K otázce vztahu obou skupin dokument odpovídá jasně: navzdory podobným technikám a shodnému výběru cílů jde o oddělené kampaně a SEABORGIUM s TA453 spolu nespolupracují.
Dokument dodává, že spear-phishing (cílený phishing mířený na konkrétní osobu nebo organizaci) je metoda, kterou dlouhodobě používá řada aktérů, ale SEABORGIUM a TA453 ji podle NCSC nadále úspěšně nasazují a dál upravují, aby si úspěšnost udržely.
Stará technika, ne záhada
V tomhle záznamu není co rozplétat jako alternativní verzi. Dokument žádnou hádanku nepředkládá, popisuje spear-phishing, techniku, kterou bezpečnostní komunita dlouhodobě zná a dokumentuje, jen přizpůsobenou dvěma státem spojovaným aktérům. Falešný profil na profesní síti, doména podobná jménu skutečné instituce, trpělivě budovaný kontakt před prvním škodlivým odkazem: postup, který se v odvětvových zprávách objevuje opakovaně, nejen u SEABORGIUM a TA453.
Pozoruhodný na tomto záznamu je spíš rozsah souběhu dvou nezávislých kampaní než jejich metoda. Ruská a íránská skupina mířily ve stejném roce na podobné spektrum cílů podobnými nástroji, aniž by si podle závěru dokumentu navzájem cokoli sdělovaly.
Čím dokument mlčí
Seznam indikátorů kompromitace, který k advisory připojil Microsoft, dokument sám označuje za neúplný, ne za kompletní výčet, podle kterého by šlo kampaně bezpečně odhalit ve všech případech.
Jména obětí dokument neuvádí žádná, stejně jako jejich celkový počet. Nestanovuje ani míru jistoty, se kterou spojuje SEABORGIUM s Ruskem a TA453 s Íránem: jestli je ta atribuce jistá, pravděpodobná, nebo jen pracovní hypotéza, text neříká. O případném diplomatickém nebo právním řešení mlčí úplně.
Advisory z 26. ledna 2023 zůstává ve verzi 1. Novější aktualizace, která by tyhle mezery doplnila, v dostupných pramenech uvedená není.