Snowblind: Невидимая рука Secret Blizzard

Lumen Technologies и Black Lotus Labs освещает стратегическую кибероперацию, осуществленную российской группировкой Secret Blizzard (известной как Turla). Операция примечательна тем, что злоумышленники использовали инфраструктуру другой группировки (Storm-0156) для сокрытия своих действий и получения разведывательных данных. Этот случай подчеркивает новую тактику в глобальных киберугрозах и актуализирует необходимость совершенствования систем информационной безопасности.

1. Особенности атаки Secret Blizzard

Захват чужой инфраструктуры:
Secret Blizzard скомпрометировала 33 сервера управления и контроля (C2), принадлежащих пакистанской группировке Storm-0156, которая ранее атаковала цели в Индии и Афганистане.
Новые инструменты атаки:
Через инфраструктуру Storm-0156 внедрялись вредоносные программы:
- TwoDash и Statuezy — для сбора данных и контроля систем.
- Доступ к малваре CrimsonRAT и Waiscot, которая уже использовалась против индийских правительственных организаций.
Маскировка атак:
Действия Secret Blizzard выглядят как операции Storm-0156, что затрудняет атрибуцию и расследование инцидентов.

2. Тренды и мировой опыт

Усложнение атрибуции: Использование чужой инфраструктуры позволяет государственным актерам маскировать свою активность и избегать обнаружения.
Технологические контрмеры: Компании, такие как Microsoft и Lumen, демонстрируют важность постоянного мониторинга и международного сотрудничества для выявления скрытых угроз.

3. Законодательные и практические аспекты

На данный момент киберпреступления и действия нацгосударственных акторов регулируются слабо. Этот случай подтверждает необходимость:

Развития международных правовых механизмов против сложных киберугроз.
Улучшения стандартов кибербезопасности для организаций.

Заключение

Операция Secret Blizzard демонстрирует новые подходы к сокрытию кибератак и эксплуатации чужой инфраструктуры. Для противодействия таким угрозам необходимы: