Служба кібершпигунства Microsoft Threat Intelligence з’ясувала, що російські хакери, відомі як Secret Blizzard, атакували іноземні посольства в москві.
Про це йдеться у звіті Microsoft.
Хакери ФСБ атакують посольства в москві: Microsoft викрила масштабне шпигунство
Російські хакери, які пов’язані з ФСБ, використовували техніку «противник посередині» (AiTM) для розгортання власного шкідливого програмного забезпечення ApolloShadow.
Це ПЗ має можливість встановлювати довірений кореневий сертифікат, що дозволяє пристроям помилково довіряти сайтам, які контролюють зловмисники. За допомогою цього Secret Blizzard можуть зберігати присутність на дипломатичних пристроях — імовірно, з метою збору розвідувальних даних.
Як вказано у звіті, ця кампанія триває щонайменше з 2024 року й становить серйозну загрозу для іноземних посольств, дипломатичних установ та інших конфіденційних організацій, які працюють у москві. Особливо це стосується тих, хто користується послугами місцевих інтернет-провайдерів.«Раніше ми з низьким рівнем впевненості вважали, що цей суб’єкт здійснює кібершпигунську діяльність лише в межах росії — проти іноземних та вітчизняних організацій.
Тепер ми вперше можемо підтвердити, що він має змогу діяти на рівні інтернет-провайдера (ISP). Це означає, що дипломатичний персонал, який користується місцевими інтернет- або телекомунікаційними послугами в росії, є дуже ймовірною мішенню AiTM-кампанії з боку Secret Blizzard», — пише Microsoft.
Як працює AiTM і ApolloShadow
У лютому 2025 року Microsoft Threat Intelligence зафіксувала, як Secret Blizzard шпигували проти іноземних посольств у москві, використовуючи техніки AiTM, щоб розгорнути ApolloShadow.
Техніка «противник посередині» означає, що зловмисник розміщується між двома або більше мережами для підтримки доступу.
AiTM-позиція Secret Blizzard, ймовірно, працює завдяки законному перехопленню трафіку і включає встановлення кореневих сертифікатів, які маскуються під антивірус «Касперський». «Це дає змогу розшифровувати TLS/SSL-трафік, що дозволяє бачити трафік у відкритому вигляді, зокрема токени й облікові дані. Secret Blizzard вже застосовував подібні методи в попередніх кампаніях, націлених на міністерства закордонних справ у Східній Європі, коли користувачів обманом змушували завантажувати троянський Flash-інсталятор через AiTM-позицію»,
— йдеться у звіті Microsoft.
У цій схемі початковий доступ надається через AiTM на рівні інтернет-провайдера чи телекомунікаційної компанії в росії. Зловмисник перенаправляє трафік жертви на каптив-портал — легітимну вебсторінку, що зазвичай з'являється при підключенні до готельного чи аеропортового Wi-Fi.
Після входу в такий портал запускається служба перевірки підключення Windows, яка надсилає HTTP GET-запит на hxxp://www.msftconnecttest[.]com/redirect, що зазвичай веде на msn[.]com.
Як тільки браузер відкриває цю адресу, його перенаправляють на домен, який контролюють зловмисники. Останній, ймовірно, викликає помилку сертифіката. «Це спонукає користувача завантажити та запустити ApolloShadow. Після запуску програма перевіряє рівень привілеїв ProcessToken. Якщо привілеї недостатні, з’являється UAC-запит із пропозицією встановити сертифікати — під виглядом файлу CertificateDB.exe, замаскованого під інсталятор Kaspersky. Це дає змогу встановити кореневий сертифікат і отримати повний контроль над системою», — зазначає Microsoft.
Після запуску ПЗ просить адміністративні права і встановлює кореневий сертифікат, що дозволяє перехоплювати дані в незашифрованому вигляді.
Нагадаємо, у липні 2025 року американська корпорація Microsoft припинила надавати послуги індійській компанії Nayara Energy, у якій російська компанія «Роснефть» має частку.
