Podle informací amerického ministerstva spravedlnosti a jejich tiskové zprávy měl ruským státem sponzorovaný aktér APT28 (též známý jako Forest Blizzard, Fancy Bear či Sofacy Group), podléhající ruskému vojenskému zpravodajství (GRU), vytvořit síť kompromitovaných routerů Ubiquity Edge OS (tzv. botnet síť). Kompromitace se týká stovek těchto zařízení pro malé či domácí kanceláře (SOHO routers), přičemž největší riziko kompromitace platí pro zařízení s výchozími administrátorskými hesly.
Podle amerických autorit se současný ruský botnet liší od předchozích způsobem jeho budování. APT28 totiž měla využít již dříve kompromitované routery malwarem Moobot spojovaným se známou kyberkriminální skupinou. Skrze tento malware poté došlo k instalaci dalších skriptů na kompromitovaných zařízeních, a tedy převzetí celé sítě. Cílem APT28 měla být kyberšpionáž skrze spear-phishingové kampaně či sběr přihlašovacích údajů, které byly vedeny vůči americkým i zahraničním vládním institucím, ale i společnostem obranného sektoru nebo dalším organizacím podléhajícím zpravodajskému zájmu ruské vlády.
Americký Federální úřad pro vyšetřování (FBI) byl autorizován k zásahu vůči kompromitovaným zařízením a zamezení dalším škodlivým aktivitám. Dotčeným routerům bylo upraveno nastavení firewallu, které omezilo možnost jejich vzdálené správy, a tím i možnost komunikace s infrastrukturou útočníka. Pro úplnou mitigaci je však třeba provést následující kroky:
Obnovit tovární nastavení routerů, aby došlo k odstranění škodlivých souborů.
Aktualizovat zařízení na nejnovější verzi firmwaru.
Změnit přednastavená uživatelská jména a hesla.
Upravit nastavení firewallu k zamezení vzdálené správy zařízení.
FBI dále silně doporučuje odpojit routery od přístupu k internetu, dokud nedojde ke změně přednastavených hesel.
NÚKIB doporučuje všem majitelům či uživatelům potenciálně kompromitovaných routerů Ubiquity Edge OS provést výše popsané kroky.
Do mezinárodní operace vedené USA se zapojilo také Vojenské zpravodajství, které o věci informovalo na svých webových stránkách. Vyjádření k tomu poskytl také předseda vlády Petr Fiala na svém profilu na sociální síti X.
Celá zpráva
16.02.2024
