Kaspersky Lab a identificat o suprapunere a atacurilor cibernetice între două grupuri ruse

Grupările de hacking BlackEnergy și Sofacy sunt considerate doi dintre principalii actori din peisajul modern al amenințărilor cibernetice. În trecut, activitățile lor au dus deseori la consecințe grave, la nivel național. BlackEnergy a provocat unul dintre cele mai cunoscute atacuri cibernetice din istorie, atacând instalațiile energetice ucrainene în 2015, ceea ce a dus la întreruperi în furnizarea curentului electric. Între timp, grupul Sofacy a declanșat atacuri împotriva organizațiilor guvernamentale americane și europene, precum și împotriva agențiilor de securitate națională și de informații. A existat și anterior bănuiala privind o  legătură între cele două grupuri, dar nu s-a dovedit până acum, când succesorul lui BlackEnergy – GreyEnergy – a folosit malware pentru a ataca ținte de infrastructură industrială și critică, în special din Ucraina, existând puternice asemănări de structură cu BlackEnergy.

Departamentul ICS CERT al Kaspersky Lab, responsabil cu cercetarea și eliminarea amenințărilor pentru sistemele industriale, a găsit două servere găzduite în Ucraina și Suedia, utilizate de ambele grupări, în același timp, în iunie 2018. GreyEnergy a folosit serverele în campania sa de phishing pentru a stoca un fișier periculos. Acest fișier a fost descărcat de utilizatori în momentul deschiderii unui document text atașat la un e-mail de phishing. În același timp, Sofacy a folosit serverul ca centru de comandă și control pentru propriul malware. Deoarece ambele grupuri au folosit serverele pentru un timp relativ scurt, o astfel de coincidență sugerează o infrastructură comună. Acest lucru a fost confirmat de faptul că ambii atacatori au vizat aceeași companie, la distanță de o săptămână, cu e-mail-uri de phishing. În plus, ambele grupuri au folosit documente similare de tip phishing sub forma unor e-mail-uri de la Ministerul Energiei din Republica Kazahstan.