Google виявила хакерські атаки з Росії, Білорусі та Китаю на Україну та Європу

Безпека в Інтернеті зараз є надзвичайно важливою для людей в Україні та регіоні. Вона необхідна для урядових установ, незалежних газет та постачальників державних послуг для функціонування, а для окремих осіб – для безпечного спілкування. Група аналізу загроз Google (TAG) працює цілодобово, зосереджуючись на безпеці своїх користувачів і платформ, які допомагають їм отримувати доступ до важливої ​​інформації та обмінюватися нею. Ця робота є продовженням багаторічних зусиль щодо вжиття заходів проти зловмисників в цьому регіоні. Протягом останніх 12 місяців за підтримки уряду TAG випустила сотні попереджень українським користувачам про атаки, попереджаючи їх про те, що вони стали мішенню підтриманого урядом хакерства, переважно з Росії.

• Україна успішно відбила найбільшу DDoS-атаку в своїй історії
• Хакери атакували портал Дія

Хакерські атаки з Росії, Білорусі та Китаю

Протягом останніх двох тижнів TAG спостерігала за активністю з боку низки груп зловмисників, які добре відомі правоохоронним органам, зокрема такі хакерські групи як FancyBear і Ghostwriter. Ця діяльність варіюється від шпигунства до фішингових кампаній.

FancyBear/APT28 – хакерська група, яку пов’язують із російським ГРУ, провела кілька великих фішингових кампаній, спрямованих на користувачів української медіакомпанії UkrNet. Фішингові листи надсилаються з великої кількості зламаних облікових записів (не Gmail/Google) і містять посилання на домени, контрольовані зловмисниками.

У двох останніх кампаніях зловмисники використовували нещодавно створені домени Blogspot як початкову цільову сторінку, яка потім переспрямовували цілі на фішингові сторінки з обліковими даними. Усі відомі домени Blogspot, які контролюються зловмисниками, видалено.

Приклад фішингової сторінки облікових даних APT28:

• iid-unconfirmeduser[.]frge[.]io
• hatdfg-rhgreh684[.]frge[.]io
• ua-consumerpanel[.]frge[.]io
• consumerspanel[.]frge[.]io

Ghostwriter/UNC1151 – білоруська група кіберзловмисників, протягом останнього тижня проводила фішингові кампанії проти польських та українських урядових і військових організацій. TAG також визначила кампанії, націлені на користувачів вебпошти від таких провайдерів:

• i.ua
• meta.ua
• rambler.ru
• ukr.net
• wp.pl
• yandex.ru

Приклади фішингових доменів облікових даних, які спостерігалися під час цих кампаній:

• accounts[.]secure-ua[.]website
• i[.]ua-passport[.]top
• login[.]creditals-email[.]space
• post[.]mil-gov[.]space
• verify[.]rambler-profile[.]site

Ці фішингові домени заблоковано через Google Safe Browsing – службу, яка визначає небезпечні вебсайти в Інтернеті та сповіщає користувачів і власників вебсайтів про потенційну шкоду.

Mustang Panda або Temp.Hex – група кіберзловмисників, яка базується в Китаї. Націлилася на європейські організації за допомогою приманок, пов’язаних з вторгненням в Україну. TAG виявив шкідливі вкладення з іменами файлів, наприклад «Situation at the EU borders with Ukraine.zip». У zip-файлі міститься однойменний файл, який є основним завантажувачем, і якщо його відкрити, він завантажує кілька додаткових файлів, які встановлюють остаточний файл. Щоб зменшити шкоду, TAG повідомила відповідні органи про свої висновки.

Орієнтація на європейські організації представляє собою відхід від звичайних цілей Mustang Panda в Південно-Східній Азії.

Чергові DDoS-атаки з Росії

Продовжують спостерігати спроби DDoS-атак проти численних сайтів в Україні, зокрема Міністерства закордонних справ, Міністерства внутрішніх справ, а також таких сервісів, як Liveuamap, які створені, щоб допомогти людям знайти інформацію. Google розширив доступ до Project Shield, безкоштовного захисту від DDoS-атак, щоб українські урядові вебсайти, посольства в усьому світі та інші уряди в безпосередній близькості від конфлікту могли залишатися онлайн. А також захищатися і продовжувати пропонувати свої важливі послуги та забезпечувати доступ до потрібної людям інформації.

Project Shield дозволяє Google поглинати поганий трафік під час DDoS-атаки і діяти як «щит» для вебсайтів, дозволяючи їм продовжувати працювати та захищатися від цих атак. На сьогодні сервісом користуються понад 150 вебсайтів в Україні, у тому числі багато інформаційних організацій. Компанія закликає всі відповідні організації зареєструватися в Project Shield, щоб системи могли допомогти блокувати ці атаки, щоб вебсайти могли залишатися в режимі онлайн.