CERT-UA обнаруживает кибератаки через поддельные военные приложения

Группа реагирования правительства CERT-UA в Государственной службе специальной связи Украины совместно с администраторами безопасности системы «Очи», специалистами воинской части А0334 и совместной группой реагирования Министерства обороны Украины и Вооруженных Сил Украины MILCERT, обнаружены и проанализированы две кибератаки на мобильные устройства украинских военных.

Хакеры распространяли сообщения со ссылками на загрузку приложений якобы для военных систем GRISELDA и Ochi через мессенджер Signal. На самом деле это были файлы с вредоносным ПО и сторонним кодом.

Целью атак была кража учетных данных для доступа к специальным военным системам, а также установление и передача GPS-координат устройства.

В случае GRISELDA (система обработки информации с использованием искусственного интеллекта) ссылка открывала сайт, имитирующий официальный сайт проекта, предлагающий загрузить несуществующую мобильную версию приложения GRISELDA. Вместо этого на мобильное устройство загружалась вредоносная программа (бэкдор) HYDRA.

В случае системы наблюдения Ochi предлагаемый для загрузки файл представлял собой модифицированную версию программы (см. первое изображение). Помимо обычного функционала, он содержал сторонний код, который мог использоваться для кражи учетных данных пользователя и определения GPS-координат устройства.

Благодаря оперативному обмену информацией и взаимодействию специалистов всех ведомств вероятность реализации киберугрозы была сведена к минимуму. Госспецсвязь выражает благодарность командам Google Cloud и Cloudflare за помощь в реагировании на инцидент.

Учитывая конфиденциальность информации, циркулирующей в военных системах, подобные атаки крайне опасны и могут иметь прямые негативные последствия для жизни и здоровья