本文深入探讨俄罗斯GRU主导的针对西方物流和科技行业的网络攻击活动,分析其使用的技术手段、目标选择及防御措施,为企业提供全面的安全防护指南。
近年来,俄罗斯GRU(总参谋部情报总局)85主特殊服务中心(85主特服中心)军事单位26165,也被称为APT28、Fancy Bear或Forest Blizzard等,持续对西方物流实体和科技公司发动网络攻击。这些攻击活动主要以情报收集为目的,利用多种已知的技术手段和漏洞,对涉及乌克兰援助协调、运输和交付的实体构成严重威胁。本文将详细分析GRU的攻击手法、目标选择及相应的防御策略,为企业提供全面的安全防护指南。GRU的攻击手法多样且复杂,主要包括凭证猜测、钓鱼攻击、利用Microsoft Exchange邮箱权限修改等技术。这些攻击活动自2022年以来持续升级,特别是在西方国家向乌克兰提供援助的背景下,GRU加大了对物流和科技公司的攻击力度。此外,GRU还利用互联网连接的摄像头监控乌克兰边境和北约国家的援助物资运输情况,进一步扩大了其攻击范围。
在初始访问阶段,GRU利用多种技术手段获取目标实体的访问权限。例如,通过凭证猜测和暴力破解技术,GRU能够绕过目标系统的安全防护。钓鱼攻击则是GRU常用的手段之一,通过伪造政府实体或西方云邮件提供商的登录页面,诱导用户输入凭证。这些钓鱼邮件通常使用目标实体的语言编写,并通过已被攻破的账户或免费网络邮件账户发送。此外,GRU还利用Microsoft Outlook的NTLM漏洞(CVE-2023-23397)收集NTLM哈希和凭证,以及Roundcube邮件系统的多个漏洞执行任意命令。在攻击过程中,GRU还利用了多种恶意软件,如HEADLACE和MASEPIE,以实现初始访问、建立持久性和数据窃取。
这些恶意软件通过动态链接库(DLL)搜索顺序劫持等技术实现执行。此外,GRU还利用了合法的工具和脚本,如Impacket和PsExec,进行横向移动。通过这些手段,GRU能够在目标网络中自由移动,获取敏感信息并进行数据窃取。为了应对GRU的攻击,企业需要采取多方面的防御措施。首先,企业应加强网络架构和配置,采用适当的网络分段和访问限制,基于设备信息、环境和访问路径等属性进行访问决策。其次,企业应实施零信任原则,选择能够解决特定风险的产品。
此外,企业还应配置主机防火墙和网络安全设备,仅允许合法的数据流,并警报异常的横向移动尝试。在身份和访问管理方面,企业应采取强大的访问控制措施,如使用多因素认证(MFA)和定期重新认证。企业还应限制管理员账户的数量,考虑使用硬件MFA令牌,并定期审查所有特权用户账户。此外,企业应减少对密码的依赖,转而使用单点登录等服务。对于使用本地认证和邮件服务的组织,应计划禁用NTLM,并迁移到更健壮的认证过程。在IP摄像头防护方面,企业应确保摄像头处于支持状态,并定期应用安全补丁和固件更新。
企业还应禁用不必要的远程访问,并确保摄像头受到安全设备的保护。如果需要远程访问摄像头画面,应启用认证并使用VPN连接。此外,企业还应禁用UPnP、P2P和匿名访问功能,并关闭其他不使用的端口和服务。综上所述,GRU针对西方物流实体和科技公司的网络攻击活动日益猖獗,企业必须采取全面的防御措施以应对这些威胁。通过加强网络架构、实施零信任原则、采用强大的访问控制措施和保护IP摄像头等措施,企业可以有效提高其网络安全水平,抵御GRU的攻击。 。
