Läckta dokument från ett ryskt forskningsinstitut beskriver projekt för att stjäla inloggningsuppgifter, samla in mobildata och extrahera information från företagsnätverk. Enligt DomainTools ger materialet en detaljerad bild av utvecklingsarbete som stöder ryskt cyberspionage.
Filerna ska ha kommit från SpetsVuzAvtomatika, ett institut i Rostov-na-Donu med ett officiellt fokus på informationssäkerhet och teknikutveckling. Forskare uppger dock att dess interna dokument avslöjar omfattande arbete kopplat till statliga underrättelseoperationer.
Interna filer dyker upp trots institutets förnekande
En aktör började marknadsföra materialet på darknet i maj. Den annonserade samlingen omfattade tekniska dokument, information om IP-adresser och data från institutets Git-utvecklingsmiljö.
SpetsVuzAvtomatika förnekade att angripare hade komprometterat dess interna nätverk. Trots detta drog DomainTools slutsatsen att autentiskt och känsligt material från institutet hade hamnat i kriminell cirkulation.
Samlingen innehåller tekniska rapporter, projektkrav, fragment av källkod och attackscenarier. Dessutom tror forskarna att materialets omfattning tyder på åtkomst till flera interna system eller en källa med omfattande behörigheter.
Den bedömningen fastställer inte exakt hur materialet lämnade institutet.
Projekt omfattar flera steg av underrättelseinsamling
DomainTools identifierade sju projekt som omfattar upptäckt av mål, nätverksåtkomst, datainsamling och operativt stöd. Tillsammans beskriver de funktioner som skulle kunna automatisera flera steg av cyberspionage.
Felix-23 och HAD fokuserar på att upptäcka mål, skanna system, komplettera information och aktivt testa potentiella mål.
Samtidigt stöder Putnik åtkomst inom interna nätverk och stöld av inloggningsuppgifter. Initiative-24 utforskar styrning av programvaruagenter i företagsmiljöer och extrahering av information genom betrodda molntjänster.
Ett annat projekt, Botany, fokuserar på modulär datainsamling från Android-enheter. Blik, som även beskrivs som Glare, handlar om dold lagring och offlineöverföringar.
Slutligen behandlar Chain-24 anonyma inköp av hosting och andra tjänster som behövs för att stödja automatiserade kampanjer.
Dessa projekt tyder på en samordnad utvecklingsinsats som omfattar både intrångskapacitet och den infrastruktur som behövs för att upprätthålla operationer.
Dokument beskriver arbete för militära kunder
De läckta uppgifterna beskriver också direkt arbete med ryska militära kunder, inklusive militära enheterna 33949 och 64829.
Initiative-24 är ett av exemplen som forskarna lyfte fram. Dess dokumentation diskuterar hantering av programvaruagenter inom företagsnätverk och insamling av information för underrättelseändamål.
Enligt DomainTools stöder det samlade materialet organisationens bedömning att SpetsVuzAvtomatika utvecklar kapacitet för statlig cyberkrigföring och spionage.
Utvecklingsdokument fastställer dock inte att varje kund fick ett färdigt verktyg eller använde det mot ett mål.
Tidigare amerikanska sanktioner kopplade institutet till SVR
Institutets offentliga verksamhet omfattar mjukvaruutveckling, reverse engineering, elektronik, testning och hårdvaruforskning.
Amerikanska myndigheter hade dock redan kopplat institutet till rysk underrättelseverksamhet innan läckan blev känd. År 2021 införde USA finansdepartement sanktioner mot SpetsVuzAvtomatika för att ha utvecklat hackningsverktyg åt Rysslands utländska underrättelsetjänst, SVR.
De nyligen granskade uppgifterna tillför tekniska detaljer till den tidigare bedömningen. De beskriver hur enskilda projekt skulle kunna bidra till ett bredare ryskt cyberspionageprogram.
Automatiseringsplaner bevisar inte operativ användning
DomainTools uppger att dokumenten visar en satsning på att göra underrättelseoperationer mer automatiserade och autonoma. Forskarna antyder också att framtida AI-komponenter skulle kunna utöka dessa funktioner.
Detta är fortfarande en bedömning av programmets potentiella inriktning. De presenterade resultaten fastställer inte att varje dokumenterat projekt redan använder artificiell intelligens.
På samma sätt bevisar läckan inte att operatörer använde varje verktyg eller genomförde varje attackscenario.
Skillnaden är viktig: dokumenten avslöjar utvecklingsplaner och kapaciteter, medan den operativa historiken för enskilda projekt fortfarande är osäker.
0 svar till ”Läckta institutdata avslöjar misstänkta ryska cyberspionageprojekt”