Armagedon (hackerská skupina)

Armagedon je ruská hackerská skupina napojená na ruskou Federální službu bezpečnosti (FSB), zaměřená na kybernetické útoky proti Ukrajině. Od zahájení operací roku 2014 je pravděpodobně zodpovědná za více než 5 000 útoků na veřejné orgány a kritickou infrastrukturu Ukrajiny.

Složení skupiny

Oddělení kybernetické bezpečnosti Ukrajiny (Security service of Ukraine, SSU) odposlouchávalo komunikaci hackerů a bylo schopné identifikovat pět členů této skupiny. Jedná se o bývalé příslušníky krymské FSB, kteří po ruské anexi Krymu přešli na stranu Ruska. SSU uvádí, že ARMAGEDON je speciální projekt FSB, který se konkrétně zaměřil na Ukrajinu. Tuto "linii práce" koordinuje 18. středisko FSB (Centrum informační bezpečnosti) se sídlem v Moskvě.

SSU společně s Hlavním ředitelstvím zpravodajské služby Ministerstva obrany Ukrajiny a pod dohledem generálního prokurátora provádí vyšetřování a forenzní vyšetřování, aby byli zaměstnanci FSB postaveni před soud za následující trestné činy: špionáž; neoprávněné zasahování do práce počítačů, automatizovaných systémů atd.; vytváření škodlivého softwaru nebo hardwaru pro použití, distribuci nebo prodej.

Cíle útoků

• Kontrola nad zařízeními kritické infrastruktury (elektrárny, systémy zásobování teplem a vodou)
• Krádeže a shromažďování zpravodajských informací, včetně informací s omezeným přístupem (týkající se bezpečnostního a obranného sektoru, vládních agentur)
• Informační a psychologický vliv
• Blokování informačních systémů

Technické detaily útoků

Hackeři používali ke kompromitaci systémů makra v aplikaci Outlook a nasazovali backdoor označovaný jako EvilGnome. Zneužívali také zranitelnost WinRAR CVE-2018-20250, která existuje téměř dvě desetiletí, a CVE-2017-0199 v MS Office, jež dovolovala vzdálené spuštění kódu. Útočníci k infiltraci malwaru do offline systémů používali vyměnitelná média. V závěru je pak podrobně popsán nový malwarový nástroj s názvem „Pteranodon“, což je modulární trojský kůň pro vzdálenou správu (RAT) s výkonnými mechanismy znesnadňujícími jeho analýzu. Podle SSU byl Pteranodon odvozen od Pteroda – široce dostupného malwaru, který od roku 2016 koluje po ruských hackerských fórech.