ESET và Microsoft giúp Ukraine chặn hacker Nga tấn công nhà cung cấp năng lượng

Ukraine cho biết hacker quân sự Nga đã cố gắng phá vỡ một nhà cung cấp năng lượng ở nước này nhưng không thành công.

Nhóm Ứng cứu Khẩn cấp Máy tính của Ukraine (CERT-UA) tuyên bố đã cản trở nỗ lực giành quyền truy cập vào các máy tính được liên kết với trạm biến áp và xóa tất cả các file trên chúng. Nếu hack thành công, việc đó có thể dẫn đến đóng cửa cơ sở hạ tầng của nhà cung cấp năng lượng giấu tên. Công ty này được cho là cung cấp điện cho khách hàng ở khu vực đông dân cư.

Hacker Nga bị đổ lỗi cho các cuộc tấn công mạng trước đây vào cơ sở hạ tầng điện của Ukraine. Thế nhưng, hacker không thực hiện thành công các vụ hack tương tự kể từ khi Nga tấn công Ukraine từ ngày 24.2.2022.

Vào năm 2014 và 2015, một số cư dân của thủ đô Kyiv (Ukraine) đã bị mất điện sau các vụ hack được cho của Sandworm, một nhóm tấn công có chủ đích của cơ quan tình báo quân sự Nga.

ESET, công ty an ninh mạng Slovakia đang giúp củng cố hệ thống phòng thủ của Ukraine, nói Sandworm cũng đứng sau nỗ lực mới nhất. Sandworm được cho là đã sử dụng một phiên bản mới của phần mềm độc hại Industroyer mà nhóm này từng sử dụng để đóng cửa lưới điện của Ukraine vào cuối năm 2015.

Theo ESET, cuộc tấn công có chủ đích mới nhất đã diễn ra trong ít nhất 2 tuần.

Viktor Zhora, quan chức an ninh mạng Ukraine, nói Microsoft (Mỹ) cũng giúp ESET và nước này chống lại hacker Nga.

Theo CNBC, Viktor Zhora cho biết những kẻ tấn công đã chiếm được quyền truy cập vào một số hệ thống và tạo ra sự gián đoạn tại một cơ sở điện, nhưng chúng đã bị dập tắt trước khi bất kỳ người dân nào bị mất điện.

Hôm 7.4, Microsoft cho biết đã làm gián đoạn các nỗ lực tấn công của gián điệp quân sự Nga nhằm đột nhập vào các mục tiêu Ukraine, Liên minh châu Âu và Mỹ.

Microsoft đã ngăn chặn thành công các cuộc hack nhắm vào các mục tiêu Ukraine do nhóm APT28 của Nga điều phối sau khi đánh sập 7 tên miền được sử dụng làm cơ sở hạ tầng tấn công. Ukraine đã bị ảnh hưởng bởi các nỗ lực hack kể từ khi các lực lượng Nga tấn công nước này từ ngày 24.2.2022.

APT28 (còn được gọi là Fancy Bear hoặc Strontium), được liên kết với cơ quan tình báo quân sự của Nga, đã sử dụng 7 tên miền này để nhắm mục tiêu vào nhiều tổ chức Ukraine, bao gồm cả các tổ chức truyền thông. 7 tên miền cũng được sử dụng trong các cuộc tấn công chống lại các tổ chức chính phủ của Mỹ, Liên minh châu Âu và các tổ chức tư vấn liên quan đến chính sách đối ngoại.

Tom Burt, Phó chủ tịch phụ trách mảng Bảo mật & niềm tin của Khách hàng tại Microsoft, cho biết: “Vào thứ Tư, ngày 6.4, chúng tôi đã nhận được lệnh tòa cho phép chúng tôi kiểm soát 7 tên miền internet mà Strontium đang sử dụng để thực hiện các cuộc tấn công này. Kể từ đó, chúng tôi đã chuyển hướng các tên miền này đến một sinkhole do Microsoft kiểm soát, cho phép chúng tôi giảm thiểu việc sử dụng hiện tại của Strontium với các miền này và kích hoạt thông báo về nạn nhân.

Chúng tôi tin rằng Strontium đang cố gắng thiết lập quyền truy cập lâu dài vào hệ thống của các mục tiêu, hỗ trợ chiến thuật cho cuộc tấn công quân sự Ukraine và lấy đi thông tin nhạy cảm".

Sinkhole là máy chủ được thiết kế để nắm bắt lưu lượng độc hại và ngăn chặn việc kiểm soát các máy tính bị lây nhiễm bởi hacker.

Microsoft cũng thông báo cho chính phủ Ukraine về hoạt động độc hại của Strontium và việc làm gián đoạn nỗ lực xâm nhập mạng của các tổ chức có mục tiêu ở nước này.

Trước đó, Microsoft đã đệ trình 15 trường hợp khác chống lại APT28 vào tháng 8.2018, dẫn đến việc thu giữ 91 tên miền độc hại.

"Động thái này là một phần của khoản đầu tư dài hạn đang diễn ra, bắt đầu vào năm 2016, để thực hiện hành động pháp lý và kỹ thuật nhằm chiếm cơ sở hạ tầng đang được sử dụng bởi Strontium. Chúng tôi đã thiết lập một quy trình pháp lý cho phép chúng tôi có được quyết định nhanh chóng từ tòa án cho công việc này", Tom Burt nói thêm.

Theo trang Bleeping Computer, APT28 đã hoạt động ít nhất từ ​​năm 2004 thay mặt cho đơn vị quân đội 26165 của Bộ Tổng tham mưu Cơ quan tình báo Nga.

Các nhà điều hành APT28 có liên quan đến các chiến dịch gián điệp mạng nhắm vào các chính phủ trên thế giới, bao gồm cả vụ tấn công Quốc hội Liên bang Đức năm 2015 và các vụ hack chống lại Ủy ban Quốc gia Dân chủ (DNC) cùng Ủy ban Chiến dịch Quốc hội Dân chủ (DCCC) của Mỹ vào năm 2016.

Các thành viên của đơn vị hack quân sự Nga này đã bị Mỹ buộc tội tấn công DNC và DCCC vào năm 2018, cũng như nhắm mục tiêu và hack các thành viên riêng lẻ trong Chiến dịch Clinton.

Hai năm sau, Hội đồng Liên minh châu Âu đã công bố các biện pháp trừng phạt với nhiều thành viên APT28 vì liên quan đến vụ hack Quốc hội Liên bang Đức vào năm 2015.