APT29

APT29 (ang. Advanced Persistent Threat 29), znana także jako Cozy Bear, The Dukes, NOBELIUM i Midnight Blizzard – grupa hakerska typu APT przypisywana przez zachodnie agencje wywiadowcze i firmy bezpieczeństwa rosyjskiemu wywiadowi, przede wszystkim Służbie Wywiadu Zagranicznego (SWR); aktywna co najmniej od 2008 roku, wyspecjalizowana w cyberszpiegostwie wymierzonym w rządy, dyplomację, ośrodki analityczne i sektor prywatny państw NATO i Unii Europejskiej^[1][2]. Grupie przypisywane są jedne z najgłośniejszych operacji cyberszpiegowskich XXI wieku, w tym włamanie do Partii Demokratycznej w 2016 roku oraz atak na łańcuch dostaw oprogramowania SolarWinds ujawniony w 2020 roku^[1][3].

Poszczególne firmy analityczne nadały grupie własne oznaczenia: nazwę Cozy Bear wprowadziła firma CrowdStrike (zgodnie ze swoją konwencją oznaczania grup rosyjskich jako „niedźwiedzi”), fińskie F-Secure opisywało ją jako The Dukes, Microsoft używał nazwy NOBELIUM, zastąpionej w 2023 roku – po zmianie taksonomii na „pogodową” – nazwą Midnight Blizzard, a Mandiant po analizie ataku na SolarWinds włączył śledzony przez siebie klaster UNC2452 do APT29^[4][5][6].

Kluczowy dowód atrybucji pochodzi z operacji holenderskiego wywiadu: latem 2014 roku służba AIVD przejęła kontrolę nad kamerami monitoringu w budynku, z którego działała grupa, co pozwoliło powiązać ją ze Służbą Wywiadu Zagranicznego Federacji Rosyjskiej, a zebrane materiały miały zostać wykorzystane w amerykańskim śledztwie w sprawie rosyjskiej ingerencji w wybory z 2016 roku^[7]. W kwietniu 2021 roku rząd Stanów Zjednoczonych oficjalnie przypisał SWR atak na SolarWinds; CrowdStrike i wywiad estoński wskazywały wcześniej także na możliwe związki grupy z FSB^[1][4].

Grupa przez lata rozwijała rodzinę złośliwego oprogramowania „Duke”. Jej najstarszy wariant, MiniDuke, wykryty przez Kaspersky Lab w 2013 roku, atakował instytucje rządowe w kilkudziesięciu krajach; kolejne odmiany (CozyDuke, CosmicDuke, SeaDuke, OnionDuke – ten ostatni ukrywający komunikację w sieci Tor) otrzymywały coraz lepsze zabezpieczenia przed analizą^[8][2]. Typowy schemat ataku zaczyna się od wiadomości phishingowej ze złośliwym załącznikiem, który instaluje trojana utrzymującego stały dostęp i komunikującego się z serwerem sterującym^[2]. Opisany w 2015 roku trojan HAMMERTOSS maskował tę komunikację, odbierając polecenia przez konta w serwisach Twitter i GitHub^[9].

W 2019 roku ESET udokumentował kampanię „Operation Ghost” z nowymi narzędziami PolyglotDuke, RegDuke i FatDuke^[10]. Późniejsze techniki grupy obejmowały ataki na infrastrukturę uwierzytelniania – narzędzia FoggyWeb i MagicWeb pozwalały podszywać się pod dowolnych użytkowników przejętych środowisk Active Directory – oraz proste, masowe zgadywanie haseł (password spraying, odmiana ataku siłowego)^[5][11].

Od 2014 roku grupa penetrowała sieci amerykańskiej administracji, w tym Departamentu Stanu i Białego Domu; w 2015 roku kampania spear phishingowa wymierzona w Pentagon doprowadziła do czasowego wyłączenia jawnego systemu poczty elektronicznej Kolegium Połączonych Szefów Sztabów^[2][7].

Grupa została wskazana – obok APT28, wiązanej z wywiadem wojskowym GRU – jako sprawca włamania do Komitetu Krajowego Partii Demokratycznej przed wyborami prezydenckimi w 2016 roku. Obie grupy działały w sieci ofiary niezależnie od siebie, przy czym APT29 utrzymywała dostęp przez ponad rok^[4]. Na początku 2017 roku norweska służba PST poinformowała o kampanii spear phishingowej grupy przeciwko tamtejszym ministerstwom obrony i spraw zagranicznych oraz Partii Pracy, a władze Holandii – o próbach włamań do ministerstw, po których zdecydowano o ręcznym liczeniu głosów w wyborach parlamentarnych^[12].

W lipcu 2020 roku agencje Stanów Zjednoczonych, Wielkiej Brytanii i Kanady poinformowały wspólnie, że APT29 prowadziła ataki na ośrodki pracujące nad szczepionkami przeciw COVID-19, używając m.in. złośliwego oprogramowania WellMess^[13].

W grudniu 2020 roku wyszło na jaw, że napastnicy umieścili backdoora SUNBURST w aktualizacjach oprogramowania Orion firmy SolarWinds, trafiających do około 18 tysięcy klientów, w tym amerykańskich agencji federalnych; CISA wydała dyrektywę nadzwyczajną nakazującą odłączenie zainfekowanych systemów, a amerykańskie agencje wywiadowcze wskazały na Rosję, przypisując ostatecznie operację SWR^[3][14]. Atak, określany w mediach mianem „hacku dekady”, uderzył także w firmy prywatne, m.in. FireEye i Microsoft; pół roku później grupa wykorzystała przejęte konto usługi mailingowej amerykańskiej agencji USAID do ataków phishingowych na około 150 kolejnych organizacji^[15].

W kwietniu 2023 roku Służba Kontrwywiadu Wojskowego i CERT Polska (CSIRT NASK) ujawniły szeroko zakrojoną kampanię szpiegowską wiązaną z rosyjskimi służbami specjalnymi, wymierzoną w ministerstwa spraw zagranicznych i placówki dyplomatyczne państw NATO i Unii Europejskiej; jej infrastruktura, techniki i narzędzia pokrywały się z aktywnością opisywaną jako NOBELIUM/APT29^[16][17].

W styczniu 2024 roku Microsoft ujawnił, że grupa – działająca pod nazwą Midnight Blizzard – uzyskała metodą password sprayingu dostęp do skrzynek pocztowych członków ścisłego kierownictwa firmy oraz pracowników działów prawnego i cyberbezpieczeństwa; podobne włamanie do poczty działu bezpieczeństwa ujawniła firma Hewlett Packard Enterprise^[18][11]. W czerwcu 2024 roku włamanie grupy do swojej firmowej sieci IT ogłosił także producent oprogramowania TeamViewer^[19].

• APT1
• Lazarus Group