Dovezile arată că grupurile de hacking Turla și Gamaredon au colaborat
Grupurile rusești de spionaj cibernetic, urmărite mult timp separat pentru metodele lor diferite, par acum să lucreze în tandem într-o serie de atacuri recente asupra Ucrainei, potrivit unei noi cercetări de la firma de securitate ESET. Dovezile adunate în ultimele luni sugerează că Turla – unul dintre cei mai avansați actori de amenințări din punct de vedere tehnic ai Moscovei – a operat pe sisteme compromise inițial de Gamaredon, un grup cunoscut pentru campanii zgomotoase, la scară largă, împotriva țintelor ucrainene.
ESET a raportat că în februarie a identificat patru mașini ucrainene compromise de ambele grupuri. Pe acele sisteme, Gamaredon și-a implementat suita obișnuită de familii de malware – PteroLNK, PteroStew, PteroOdd, PteroEffigy și PteroGraphin – în timp ce Turla și-a instalat backdoor-ul proprietar Kazuar.
Cercetătorii au observat operatorii Turla emițând comenzi prin implanturile Gamaredon, inclusiv un caz în care PteroGraphin părea a fi folosit pentru a reporni Kazuar după ce acesta nu a reușit să se încarce corect.
O integrare similară a reapărut în aprilie și iunie, când ESET a documentat malware-ul Gamaredon implementând instalatori ai versiunii a doua a Kazuar. Deoarece software-ul ESET a fost instalat abia după compromiterile inițiale, firma nu a putut determina cum au început infecțiile sau să captureze fiecare sarcină utilă implicată. Totuși, având în vedere consistența acestor interacțiuni și faptul că activitatea anterioară a Turla în Ucraina a apărut doar sporadic, cercetătorii au concluzionat că o colaborare directă era mai probabilă decât deturnarea infrastructurii.
Convergența aparentă între grupuri este izbitoare, deoarece stilurile lor de operare au divergat istoric atât de puternic. Turla, activă cel puțin din 2004, a vizat în mod tradițional rețele de mare valoare, folosind tactici discrete, concepute pentru a rămâne nedetectate ani de zile. Operațiunile anterioare atribuite grupului includ breșa din 2008 a sistemelor clasificate ale Pentagonului, compromiteri la Ministerul de Externe al Germaniei, armata franceză și contractorul de apărare elvețian RUAG, precum și inovații tehnice precum malware-ul pentru Linux și deturnarea traficului de internet prin satelit pentru a ascunde activitatea de comandă și control.
Gamaredon, în schimb, a purtat atacuri ample și adesea grosolane împotriva agențiilor guvernamentale și a infrastructurii ucrainene cel puțin din 2013, potrivit constatărilor repetate ale Serviciului de Securitate al Ucrainei și ale cercetătorilor externi. Metodele sale, de obicei e-mailuri de spearphishing și fișiere de scurtături malițioase, rareori pun accent pe discreție. În schimb, implanturile Gamaredon adună rapid informații, infectând adesea sute sau chiar mii de mașini deodată.
ESET a remarcat că Turla a preluat anterior infrastructura aparținând altor grupuri de hacking, inclusiv un incident din 2019 în care a cooptat o platformă de spionaj legată de Iran, și din nou în 2024, când a deturnat infrastructura unor grupuri motivate financiar pentru a viza dispozitive conectate la Starlink în Ucraina. Pe acest fond, o preluare ostilă a sistemelor Gamaredon nu a putut fi exclusă.
Totuși, ESET a concluzionat că este mai probabil ca Gamaredon să fi cedat deliberat accesul în Ucraina omologului său. Ambele grupuri sunt considerate pe scară largă a fi unități ale Serviciului Federal de Securitate al Rusiei (FSB), deși cu sediul în centre diferite.
Oficialii ucraineni au legat Gamaredon de Centrul 18, care raportează serviciului de contrainformații al FSB, în timp ce serviciile de informații britanice și alte servicii occidentale asociază Turla cu Centrul 16, principalul braț de informații electronice (signals intelligence) al agenției.
Având în vedere această aliniere, au spus cercetătorii, compromiterile ample ale Gamaredon ar putea oferi cu ușurință o poartă de intrare pentru ca Turla să urmărească un spionaj mai țintit. ESET a speculat că Turla este interesată doar de anumite sisteme care dețin informații sensibile, lăsând infecțiile mai largi ale Gamaredon în vigoare pentru alte scopuri.
Acesta nu este primul semn de coordonare între grupurile legate de Rusia. În 2020, anchetatorii au documentat Gamaredon acordând acces unui grup separat cunoscut sub numele de InvisiMole. Și, deși rapoartele despre rivalitatea din cadrul comunității de informații a Rusiei sunt frecvente, în special între agenții precum GRU și FSB, cooperarea între diviziunile aceluiași serviciu a fost observată și înainte.
Legăturile istorice ajută la explicarea suprapunerii. Centrul 16 al Turla își are descendența în Direcția a 16-a a KGB, odată responsabilă pentru informațiile electronice externe, în timp ce Centrul 18 al Gamaredon este legat de Direcția a 2-a Principală a KGB, care supraveghea securitatea internă. În perioada sovietică, cele două direcții au colaborat adesea, cel mai notabil în monitorizarea ambasadelor străine din Moscova.
Cu războiul Rusiei în Ucraina în desfășurare, cercetătorii cred că convergența s-a intensificat. Apărătorii cibernetici ucraineni raportaseră deja campanii comune ale FSB, care amestecau elemente ale ambelor centre după 2018, cu ani înainte ca conflictul să escaladeze în 2022.
Cele mai recente dovezi de la ESET sugerează că această colaborare se extinde acum în nucleul tehnic al operațiunilor de atac legate de FSB și că diviziunea de lungă durată dintre strategia de împrăștiere a Gamaredon și spionajul de precizie al Turla s-ar putea eroda.
