Turla и конкуренты: сети соперников становятся марионетками хакеров

Хакерская группа Turla реализовала новую стратегию, используя инфраструктуру других киберпреступников для скрытных атак. Исследование Lumen показало, что группа проникла в сети пакистанской группировки Storm-0156 и применяла их ресурсы для собственных операций.

С декабря 2022 года Turla использовала серверы управления Storm-0156 для атаки на уже взломанные объекты, включая правительственные учреждения Афганистана и Индии. Хакеры Turla распространили свои вредоносные инструменты – TinyTurla, TwoDash и Statuezy. Программы помогли скрыто проникать в сети, управлять заражёнными устройствами и извлекать данные.

Логические связи между Hak5 Cloud C2 группы Storm-0156 и известными C2 (Lumen)

Специалисты Microsoft и Lumen отмечают, что Turla не только захватила серверы Storm-0156, но и проникла в рабочие станции, получив доступ к ключевым данным, включая украденные учётные записи, вредоносные программы CrimsonRAT и Wainscot, а также файлы с конфиденциальной информацией.

Эксперты объясняют, что национальные хакерские группы, как правило, не применяют современные системы защиты, чтобы скрыть свои методы. Это делает их уязвимыми перед атаками конкурентов. Такой подход позволяет Turla избегать прямого раскрытия своих инструментов и перекладывать ответственность за атаки на других.

Примеры использования чужой инфраструктуры не ограничиваются Storm-0156. В 2019 году Turla атаковала международные цели через ресурсы иранской группы OilRig. В 2022 году хакеры использовали уязвимости жертв вредоносного ПО Andromeda для своих операций.