Suojelupoliisilta uusi kybervaroitus: FSB iskee huonosti suojattuihin yritysreitittimiin
Suojelupoliisi, Puolustusvoimien sotilastiedustelu ja niiden kansainväliset kumppanit, kuten Yhdysvaltojen tiedustelupalvelu NSA, ovat julkaisseet yhteisen varoituksen Venäjän valtiollisesta kybervakoilusta.
Tiedotteen mukaan Venäjän kybertoiminta kohdistuu määrätietoisesti huonosti suojattuja reitittimiä ja muita haavoittuvia verkkolaitteita vastaan. Tällä kertaa esille nostettu kyberuhka kohdistuu kuitenkin ensisijaisesti yritystason verkkolaitteisiin.
Varoituksen tarkoituksena onkin kannustaa laitteiden omistajia ja tietoturva-asiantuntijoita vähentämään omilla toimillaan verkkovakoilun mahdollisuuksia. Julkaistussa varoituksessa haitallinen toiminta liitetään suoraan Venäjän liittovaltion turvallisuuspalvelu FSB:n 16. keskukseen. Yksityiset tietoturvayritykset seuraavat tämän ryhmän verkkovakoilua muun muassa nimillä Berserk Bear, Energetic Bear, Crouching Yeti, Dragonfly, Ghost Blizzard ja Static Tundra.
FSB:n kybertoiminta on erittäin pitkäaikaista, ja sen kohteena ovat erityisesti kriittisen infrastruktuurin eri osa-alueet, kuten energia-ala ja puolustusteollisuus. Tiedustelupalvelut painottavat, että kohteet valikoituvat osittain opportunistisesti sen mukaan, mihin suojaamattomiin laitteisiin FSB:n kybertoimijat onnistuvat kulloinkin tunkeutumaan verkkoa skannaamalla.
Teknisessä analyysissään viranomaiset kuvailevat hyökkääjien etsivän internetistä aktiivisia Simple Network Management Protocol eli SNMP-hallintaprotokollan vanhoja v1- tai v2-versioita hyödyntäviä laitteita, jotka vastaavat pyyntöihin oletusarvoisilla tai yleisillä yhteisömerkkijonoilla. Onnistuneen sisäänpääsyn jälkeen hyökkääjä käyttää OID-tunnuksia komentamaan reitittimen kopioimaan oman konfiguraatiotiedostonsa ja siirtämään sen TFTP-protokollalla eteenpäin hyökkääjän virtuaalipalvelimelle tai kaapatulle FTP-palvelimelle.
Automaattisen skannauksen ohella ryhmä hyödyntää toisinaan tunnettuja haavoittuvuuksia sekä Ciscon laitteiden Smart Install -toiminnallisuutta.
Verkkovakoilun torjumiseksi Suomen tiedusteluviranomaiset kehottavat yrityksiä ja organisaatioita huomioimaan verkon reunalaitteisiin kohdistuvan uhan ja tekemään teknisiä korjausliikkeitä. Vanhentuneet SNMPv1- ja v2-protokollat tulisi poistaa kokonaan käytöstä ja korvata SNMPv3-versiolla.
Laitteiden paikallisilla tileillä on käytettävä vahvoja, uniikkeja salasanoja, ja esimerkiksi Ciscon laitteissa tunnukset tulee suojata Type 8 -muodolla turvattomien Type 0, 4 ja 7 -vaihtoehtojen sijaan. Lisäksi alkumääritykseen tarkoitettu Cisco Smart Install -ominaisuus on poistettava käytöstä, ja reunalaitteiden hallintayhteyksiä internetistä pitää rajoittaa estämällä palomuurissa liikenne kriittisissä porteissa.
Tämä uusi varoitus on jatkoa Venäjän jatkuvalle kyberuhalle. Huhtikuussa uutisoimme laajasta kansainvälisestä operaatiosta, jossa Suojelupoliisi ja Traficomin Kyberturvallisuuskeskus olivat mukana hajottamassa Venäjän sotilastiedustelupalvelu GRU:hun kytketyn ryhmän maailmanlaajuista vakoiluverkostoa.
Tuolloin hyökkäys kohdistui tavallisten suomalaisten kotireitittimiin ja erityisesti TP-Linkin laitteiden kriittiseen haavoittuvuuteen, jonka avulla hyökkääjät muuttivat reitittimien nimipalveluasetuksia ja kykenivät urkkimaan käyttäjien verkkoliikennettä.
1 KOMMENTTI
Trixline1/1
Ihanneaihe: Venäjän kybervakoilu – verkkovakoilun toimintamallit ja strategiset painopisteet. Pitkäkestoiset, matalan profiilin operaatiot.
Venäjän kyber- ja verkkovakoilu on strategista, järjestelmällistä ja pitkäkestoista. Kyse ei ole yksittäisistä hyökkäyksistä, vaan vuosia jatkuvasta valtiollisesta tiedustelutoiminnasta, joka kohdistuu valtionhallintoon, yrityksiin ja kriittiseen infrastruktuuriin.
Toiminta ei useimmiten tähtää välittömään vaikutukseen, vaan pääsyn rakentamiseen, järjestelmien kartoitukseen ja valmiuksien luomiseen tulevia operaatioita varten. Tämä tekee toiminnasta hitaasti etenevää ja vaikeasti havaittavaa.
Kohteena valtionhallinto, kriittinen infrastruktuuri ja teknologia-yritykset.
Pysyviä kohteita ovat erityisesti energia-ala, puolustusteknologia, logistiikka, telekommunikaatio sekä tutkimuslaitokset.
- Näillä sektoreilla on strategista merkitystä Venäjän tiedustelulle.
Perinteisen tiedustelun korvaaminen:
Diplomaattisen läsnäolon supistuminen on vähentänyt HUMINT-kapasiteettia, jota Venäjä korvaa laajamittaisella verkkotiedustelulla.
Suomi on NATO-maa, jonka infrastruktuuri ja teknologia ovat Venäjälle tiedustelullisesti arvokkaita. Tästä ilmeisesti on ollut havaintoja.
Yritysten verkon reunalaitteet ovat usein heikoin lenkki – ja juuri niitä Venäjä yrittää hyödyntää. Käytännössä siltä on mahdollisuus suojautua.
Kybervakoilu ei kohdistu vain valtioon: yritykset ovat osa kansallista turvallisuusrakennetta. Kriittinen infrastruktuuri on pitkälti yksityisissä käsissä. Yksikertaisesti laitteiden oletusasetuksia muuttamalla pystyy vaikuttamaan siihen, kuinka riskialttiiksi laite muodostuu yrityksen verkkorakenteessa.
Energia, logistiikka, televerkot, datakeskukset, ohjelmistopalvelut – kaikki nämä ovat Venäjän kybertoiminnan ensisijaisia kohteita, ja ne ovat Suomessa pääosin yritysten, tai yksityisten omistamia. Tämä on juuri se ympäristö, jossa VLAN-segmentointi ratkaisee 80 % riskistä ennen kuin tarvitsee edes mennä syvempiin kovennuksiin. Venäjän hyökkäyssota Ukrainaan pakottaa Venäjän siirtämään painopistettä vaikuttamiseen, koska sen suora sotilaallinen kyky heikentyy, sen strateginen tavoite – lännen heikentäminen – pysyy disinformaation tasolla.
Haluatko kommentoida tätä artikkelia?
Kirjaudu sisään tai Luo uusi käyttäjätunnus.