Lækkede dokumenter fra et russisk forskningsinstitut beskriver projekter til at stjæle loginoplysninger, indsamle mobildata og udtrække oplysninger fra virksomhedsnetværk. Ifølge DomainTools giver materialet et detaljeret indblik i udviklingsarbejde, der understøtter russisk cyberspionage.
Filerne stammer angiveligt fra SpetsVuzAvtomatika, et institut i Rostov ved Don med et officielt fokus på informationssikkerhed og teknologiudvikling. Forskere siger dog, at instituttets interne dokumenter afslører omfattende arbejde forbundet med statslige efterretningsoperationer.
Interne filer dukker op trods instituttets benægtelse
En aktør begyndte at annoncere materialet på darknet i maj. Den annoncerede samling omfattede tekniske dokumenter, oplysninger om IP-adresser og data fra instituttets Git-udviklingsmiljø.
SpetsVuzAvtomatika afviste, at angribere havde kompromitteret dets interne netværk. Ikke desto mindre konkluderede DomainTools, at autentisk og følsomt materiale fra instituttet var kommet i kriminel cirkulation.
Samlingen indeholder tekniske rapporter, projektkrav, fragmenter af kildekode og angrebsscenarier. Desuden mener forskerne, at materialets omfang tyder på adgang til flere interne systemer eller en kilde med omfattende rettigheder.
Denne vurdering fastslår ikke præcist, hvordan materialet forlod instituttet.
Projekter dækker flere stadier af efterretningsindsamling
DomainTools identificerede syv projekter, der spænder over identifikation af mål, netværksadgang, dataindsamling og operationel støtte. Tilsammen beskriver de funktioner, der kan automatisere flere stadier af cyberspionage.
Felix-23 og HAD fokuserer på at finde mål, scanne systemer, berige oplysninger og aktivt teste potentielle mål.
Samtidig understøtter Putnik adgang til interne netværk og tyveri af loginoplysninger. Initiative-24 undersøger styring af softwareagenter i virksomhedsmiljøer og udtrækning af oplysninger gennem betroede cloudtjenester.
Et andet projekt, Botany, fokuserer på modulær dataindsamling fra Android-enheder. Blik, også beskrevet som Glare, handler om skjult lagring og offlineoverførsler.
Endelig omhandler Chain-24 anonyme køb af hosting og andre tjenester, der er nødvendige for at understøtte automatiserede kampagner.
Disse projekter tyder på en koordineret udviklingsindsats, der omfatter både indtrængningskapaciteter og den infrastruktur, der er nødvendig for at opretholde operationer.
Dokumenter beskriver arbejde for militære kunder
De lækkede dokumenter beskriver også direkte arbejde med russiske militære kunder, herunder militærenhederne 33949 og 64829.
Initiative-24 er blandt de eksempler, som forskerne fremhævede. Dokumentationen beskriver styring af softwareagenter i virksomhedsnetværk og indsamling af oplysninger til efterretningsformål.
Ifølge DomainTools understøtter det samlede materiale organisationens vurdering af, at SpetsVuzAvtomatika udvikler kapaciteter til statslig cyberkrigsførelse og spionage.
Udviklingsdokumenterne fastslår dog ikke, at hver kunde modtog et færdigt værktøj eller anvendte det mod et mål.
Tidligere amerikanske sanktioner knyttede instituttet til SVR
Instituttets offentlige aktiviteter omfatter softwareudvikling, reverse engineering, elektronik, test og hardwareforskning.
Amerikanske myndigheder havde dog allerede knyttet instituttet til russisk efterretning, før lækket kom frem. I 2021 indførte det amerikanske finansministerium sanktioner mod SpetsVuzAvtomatika for at udvikle hackingværktøjer til Ruslands udenlandske efterretningstjeneste, SVR.
De nyligt undersøgte dokumenter tilføjer tekniske detaljer til denne tidligere vurdering. De beskriver, hvordan individuelle projekter kan bidrage til et bredere russisk cyberspionageprogram.
Automatiseringsplaner beviser ikke operationel brug
DomainTools siger, at dokumenterne viser en indsats for at gøre efterretningsoperationer mere automatiserede og autonome. Forskerne antyder også, at fremtidige AI-komponenter kan udvide disse kapaciteter.
Det er fortsat en vurdering af programmets potentielle retning. De fremlagte resultater fastslår ikke, at hvert dokumenteret projekt allerede anvender kunstig intelligens.
På samme måde beviser lækket ikke, at operatører anvendte hvert værktøj eller gennemførte hvert angrebsscenarie.
Forskellen er vigtig: Dokumenterne afslører udviklingsplaner og kapaciteter, mens den operationelle historik for de enkelte projekter fortsat er usikker.
0 svar til “Læk fra institut afslører formodede russiske cyberspionageprojekter”