Sandworm

Sandworm je označení pro státem podporovanou pokročilou trvalou hrozbu (APT), známou také pod názvy APT44, TeleBots, Voodoo Bear, IRIDIUM, Seashell Blizzard a Iron Viking. Skupina je dlouhodobě připisována ruské vojenské zpravodajské službě GRU (jednotka 74455) a je známa svou destruktivní kybernetickou operací proti vládám, infrastrukturám a mezinárodní organizace. Sandworm se proslavil útokem na ukrajinskou elektrickou síť v roce 2015, nasazením malwaru NotPetya v roce 2017 a narušením zimních olympijských her v Pchjongčchangu v roce 2018. Skupina také prováděla pokusy o ovlivnění francouzských prezidentských voleb. Její operace využívají zero-day zranitelnosti, pokročilé techniky laterálního pohybu, perzistence a maskování, čímž představuje významný nástroj hybridní války.

Historie

2014 – Exploitace CVE-2014-4114

Dne 3. října 2014 společnost iSIGHT Partners (dnes Mandiant) odhalila spam-phishingovou kampaň využívající zero-day zranitelnost v systému Windows (CVE-2014-4114). Útok probíhal prostřednictvím dokumentů Microsoft Office a umožňoval vzdálené spuštění kódu. Cílem byly ukrajinská vláda, především útok časově koreloval se summitem NATO v Ukrajině.

2015 – BlackEnergy útoky

Dne 23. prosince 2015 došlo ke koordinovanému kybernetickému útoku na ukrajinské energetické společnosti. Pomocí malwaru BlackEnergy 3 došlo k výpadku elektrické přípojky pro přibližně 230 000 obyvatel. Incident byl prvním veřejně známým případem narušení elektrické distribuční sítě pomocí kybernetických prostředků.

2016 – Industroyer (CRASHOVERRIDE)

Dne 17. prosince 2016 následoval další útok, tentokrát s využitím malwaru Industroyer. Ten byl navržen pro interakci s průmyslovými komunikačními protokoly (např. IEC 101/104) a měl potenciál způsobit fyzické poškození zařízení. Podle analýzy společnosti Dragos měl být cílem vyvolání přepětí při obnově provozu, což by vedlo k destruktivnímu efektu na části infrastruktury.

2018 – Olympic Destroyer

Olympic Destroyer byl nasazen během zimních olympijských her v Pchjongčchangu dne 9. února 2018 a 2018, kdy došlo k rozsáhlému narušení IT infrastruktury. Malware Olympic Destroyer vyřadil WiFi, RFID brány, televizní přenosy i oficiální aplikaci. Attribution byla komplikována použitím falešných stop (false flags), které zahrnovaly fragmenty kódu z čínských APT skupin i Lazarus Group.

2020 – Exim a kompromitace routerů

6 důstojníků GRU, které hledá FBI

Sandworm zneužil zranitelnost Exim v kybernetických útocích, které umožňovaly instalovat botnet pro šíření malware. Cílené byly zejména IoT infrastruktury a Asus routery. V roce 2020 byl člen Sandwormu identifikován mezinárodním zatykačem. (CVE-2019-10149) Jen mail server Exim byl široce zneužíván k spear-phishingovým kampaním.

2022 – Cyclops Blink a Industroyer2

V roce 2022 byl malware Cyclops Blink, který nahrazoval botnetu Sandworm známý jako VPNFilter. Malware infikoval zařízení WatchGuard Firebox a Asus routery. Současně byla nasazena varianta Industroyer2, která byla zaměřena na ukrajinskou elektrickou síť.

2023 – Infamous Chisel

V roce 2023 byl malware Infamous Chisel identifikován jako wiper SwiftSlicer zaměřený na Active Directory. V srpnu 2023 publikovaly agentury Five Eyes zprávu o malwaru Infamous Chisel, který cílil na Android zařízení používaná ukrajinskou armádou. Malware sbíral data z VPN, 2FA aplikací, komunikačních nástrojů, vojenských aplikací a vytvářel SSH server běžící na Tor Hidden service.

Reference

Autoritní data	GND: 1294530623