Az Anonymous, az APT28 és a Lazarus neve rendszeresen előkerül, ha nagy kibertámadásokról olvasol. De kik állnak ezek mögött a nevek mögött, mi motiválja őket, és mit tanulhat a történetükből egy vállalkozás?

A hackercsoportok között vannak politikai ügyekért fellépő mozgalmak, állami hátterű kémkedő szereplők és pénzügyi haszonra törekvő bűnözői hálózatok. Egyesek adatokat lopnak, mások szolgáltatásokat bénítanak meg, vagy zsarolóvírussal kényszerítik fizetésre az áldozatokat. A látványos történetek mögött gyakran ismerős gyenge pontok állnak: megszerzett jelszavak, megtévesztett munkatársak és javítatlan rendszerek.

Az alábbi válogatás tíz, különböző okokból hírhedtté vált nevet mutat be. Nem erősorrend és nem a világ tíz legveszélyesebb csoportjának rangsora: eltérő korszakokat, célokat és támadási módszereket hasonlítunk össze.

Milyen hackercsoportok léteznek?

A motivációk alapján három gyakori kategóriáról érdemes beszélni:

• Hacktivisták: politikai, társadalmi vagy ideológiai ügyek érdekében lépnek fel. Eszközeik között túlterheléses támadás és adatszivárogtatás is szerepelhet.
• Állami hátterű támadók: hírszerzési, politikai vagy katonai célokat szolgálhatnak, például kémkedéssel vagy szabotázzsal.
• Pénzügyileg motivált kiberbűnözők: adatlopásból, csalásból vagy zsarolásból próbálnak bevételhez jutni.

A kategóriák átfedhetnek: állami szereplők is lophatnak pénzt. Az APT, azaz Advanced Persistent Threat megnevezés fejlett, kitartó fenyegetést jelent, és önmagában nem bizonyít állami hátteret. A csoportnevek sem mindig egyértelműek: különböző kutatók eltérő neveket használhatnak részben átfedő tevékenységekre, egy közösen használt kártevő pedig nem tesz két csoportot azonossá.

1. Anonymous: hacktivizmus központi vezetés nélkül

Az Anonymous nem hagyományos szervezet, hanem laza, decentralizált mozgalom. Nincs egységes tagsága vagy központi vezetése, ezért az Anonymous nevében tett bejelentéseket és támadási állításokat külön-külön kell értékelni.

Egyik legismertebb kampánya a 2010-es Operation Payback WikiLeaks melletti fellépése volt. Az aktivisták a Visa, a Mastercard és a PayPal internetes szolgáltatásait támadták, miután ezek a vállalatok korlátozták a WikiLeakshez kapcsolódó fizetéseket. A használt módszerek közé tartozott az elosztott túlterheléses, vagyis DDoS-támadás, amely túl sok kéréssel próbál elérhetetlenné tenni egy szolgáltatást.

Fontos különbség: egy weboldal elérhetetlenné tétele nem ugyanaz, mint a háttérrendszer feltörése vagy az ügyféladatok ellopása. A történet vállalati tanulsága az, hogy a szolgáltatáskiesés önmagában is komoly üzleti probléma.

Forrás: BBC: az Anonymous WikiLeaks melletti támadásai.

2. APT28 (Fancy Bear): célzott kémkedés és adathalászat

Az APT28-at, más néven Fancy Beart vagy Forest Blizzardot az orosz katonai hírszerzéshez, a GRU 26165-ös egységéhez kötik. A MITRE ATT&CK összefoglalója szerint legalább 2004 óta aktív.

A csoporthoz kapcsolják az amerikai Demokrata Nemzeti Bizottság és más, a 2016-os amerikai elnökválasztási kampányhoz kötődő szervezetek kompromittálását. Módszerei között szerepel a célzott adathalászat, angolul spear phishing: a támadó nem általános csaló levelet küld, hanem az adott személyhez vagy szervezethez igazított megtévesztést használ.

Egy hitelesnek tűnő belépési oldal vagy személyre szabott üzenet nemcsak politikai célpontoknál működhet. Céges környezetben is fontos a belépések védelme, a jogosultságok korlátozása és a gyanús események észlelése.

Forrás: MITRE ATT&CK: APT28.

3. Lazarus Group: észak-koreai műveletek és kriptolopások

A Lazarus Group Észak-Koreához kötött név, amelyet a nyilvános jelentések gyakran több, részben átfedő észak-koreai kiberművelet gyűjtőfogalmaként használnak. Ezért nem minden hozzá sorolt támadást érdemes egyetlen, változatlan összetételű csapatnak tulajdonítani.

A csoporthoz kapcsolják a Sony Pictures elleni, 2014-es romboló támadást. Az észak-koreai kiberműveletekben a kémkedés és a rombolás mellett a pénzszerzés is hangsúlyos szerepet kapott.

Jól mutatja a kriptoeszközök elleni támadások méretét a Bybit esete: 2025 februárjában körülbelül 1,5 milliárd dollár értékű virtuális eszközt loptak el a tőzsdétől. Az FBI Észak-Koreának tulajdonította a támadást, és ezt a konkrét tevékenységet TraderTraitor néven jelölte meg. Pontosabb ezt a megnevezést is feltüntetni, mint minden észak-koreai műveletet egyszerűen Lazarusként említeni.

Források: MITRE ATT&CK: Lazarus Group, FBI: a Bybit elleni támadás attribúciója.

4. Equation Group: kémeszközök a firmware mélységében

Az Equation Groupot a Kaspersky 2015-ben bemutatott kutatása tette széles körben ismertté. Az elemzés különösen összetett kémeszközöket és a Stuxnet, illetve a Flame műveleteivel kapcsolatos technikai összefüggéseket írt le.

A legérdekesebb képességek közé tartoztak a bizonyos merevlemezek firmware-ének átprogramozására alkalmas modulok. A firmware az eszköz működését vezérlő alapszoftver. Ennek kompromittálása olyan tartós jelenlétet tehet lehetővé, amelyet az operációs rendszer egyszerű újratelepítése nem feltétlenül szüntet meg.

A fejlett támadóeszközök kiszivárgásának veszélyét később az EternalBlue története is megmutatta. A Shadow Brokers 2017 áprilisában tette nyilvánossá az exploitot, amelyet a 2017 májusában terjedő WannaCry is felhasznált. A Microsoft már márciusban kiadta a kapcsolódó javítást: az eset a frissítések időben történő telepítésének jelentőségére is rámutatott.

Források: Kaspersky: az Equation Group kutatása, Reuters: az EternalBlue és a WannaCry időrendje.

5. Carbanak: bankrablás a belső folyamatok kiismerésével

A Carbanak története azért különösen tanulságos, mert a támadók nem egyszerűen banki ügyfelek jelszavait próbálták ellopni. A pénzügyi intézmények belső működését tanulmányozták, hogy a megszerzett hozzáférésekkel pénzt mozgassanak vagy ATM-ekből készpénzt vetessenek fel.

A Kaspersky 2015-ös jelentése szerint a kampány mintegy 30 országban akár 100 bankot, elektronikus fizetési rendszert és más pénzügyi intézményt célzott. A becsült összesített veszteség elérhette az 1 milliárd dollárt; ez becslés, nem minden érintettre külön igazolt kárösszeg.

A Carbanak egy kártevő neve is, amelyet több támadói csoport használt. A FIN7-et ezért nem kezeljük a Carbanak csoport másik neveként: a MITRE külön követi őket, miközben lehetséges kapcsolatot is jelez. A vállalati tanulság a jogosultságok szétválasztása és a szokatlan tranzakciók, hozzáférések és belső műveletek figyelése.

Források: Kaspersky: a Carbanak banki kampánya, MITRE ATT&CK: FIN7 és a Carbanak elhatárolása.

6. Evil Corp: banki trójaiak és szankciók

Az oroszországi Evil Corp a Dridex kártevő fejlesztésével és terjesztésével vált hírhedtté. A banki belépési adatok megszerzésére használt eszközzel az amerikai pénzügyminisztérium szerint több mint 40 ország pénzügyi intézményeit és ügyfeleit érintő lopásokat hajtottak végre.

Az Egyesült Államok 2019 decemberében szankciókat vezetett be a csoporttal szemben. A vezetőjeként megnevezett Makszim Jakubec elfogásához vagy elítéléséhez vezető információért akár 5 millió dolláros jutalmat hirdettek meg. Az Evil Corp tevékenysége később zsarolóvírusos műveletekre is kiterjedt.

Az eset azt is megmutatja, hogy egy kibertámadás kezelése nem pusztán informatikai feladat. A váltságdíj kifizetése az alkalmazandó szankcióktól és joghatóságtól függően jogi kockázattal járhat, ezért ilyen döntést nem szabad jogi és incidenskezelési szakértők nélkül meghozni.

Források: amerikai pénzügyminisztérium: Evil Corp-szankciók, NCA: Evil Corp háttérelemzés.

7. DarkSide: zsarolóvírusból üzemanyag-ellátási zavar

A DarkSide a ransomware-as-a-service, vagyis zsarolóvírus-szolgáltatási modell egyik ismert szereplője volt. Ebben a rendszerben az üzemeltetők biztosítják a kártevőt és a kapcsolódó infrastruktúrát, a partnerként működő támadók pedig az áldozatok megtámadásában vesznek részt, jellemzően bevételmegosztásért.

A 2021. májusi Colonial Pipeline-incidens után az üzemeltető leállította az amerikai üzemanyag-vezeték működését. A vállalat körülbelül 75 bitcoint fizetett; az amerikai hatóságok később 63,7 bitcoint foglaltak le, az akkori árfolyamon mintegy 2,3 millió dollár értékben. A működés leállítása nem jelenti automatikusan azt, hogy a támadók magát a vezeték ipari vezérlését is átvették.

A DarkSide leállásának bejelentése után megjelent BlackMattert a CISA a DarkSide lehetséges új márkaneveként írta le. Ez feltételezett kapcsolat, nem minden részletében bizonyított szervezeti azonosság.

Források: amerikai igazságügyi minisztérium: a váltságdíj egy részének lefoglalása, CISA: BlackMatter.

8. The Dark Overlord: zsarolás titkosítás nélkül

A The Dark Overlord az adatlopásra és a nyilvánosságra hozatallal való fenyegetésre építette zsarolási módszerét. Ehhez nem feltétlenül kell titkosítani a fájlokat: már az üzleti, egészségügyi vagy személyes adatok kiszivárgásának lehetősége is komoly nyomást jelenthet az áldozatoknak.

A csoporthoz tartozó brit Nathan Wyattot 2020 szeptemberében öt év börtönre ítélték az Egyesült Államokban, miután bűnösnek vallotta magát a csoport tevékenységéhez kapcsolódó ügyben.

A tanulság egyszerű: a biztonsági mentés nem védi meg az ellopott adatok bizalmasságát. A helyreállíthatóság mellett az érzékeny adatokhoz való hozzáférést, a szükségtelen adatmegőrzést és a gyanús adatkiáramlást is kezelni kell.

Forrás: AP: Nathan Wyatt ötéves börtönbüntetése.

9. Morpho (Wild Neutron): üzleti információk a célkeresztben

A Morpho, más néven Wild Neutron 2013-ban az Apple, a Facebook, a Twitter és a Microsoft elleni támadásokkal került a figyelem középpontjába. A Kaspersky szerint legalább 2011 óta aktív szereplő fejlett eszközöket, köztük korábban ismeretlen sebezhetőségeket is használt.

A célpontok között technológiai cégek, ügyvédi irodák, befektetési vállalatok és egészségügyi szervezetek is szerepeltek. A kutatók az üzleti információk megszerzéséből és a célpontok köréből lehetséges gazdasági motivációrakövetkeztettek. Az állami háttér hiányát vagy a konkrét tőzsdei haszonszerzést azonban nem helyes bizonyított tényként kijelenteni.

Ez a történet arra figyelmeztet, hogy nem csak az ügyféladatbázis vagy a bankszámla lehet értékes. Egy felvásárlási terv, szerződéstervezet vagy fejlesztési dokumentáció is vonzó célpont.

Forrás: Kaspersky: Wild Neutron.

10. Lapsus$: megszerzett jelszavak és MFA-fárasztás

A Lapsus$-hoz kötött támadások megmutatták, hogy nagyvállalatok rendszereibe sem kizárólag különleges kártevőkkel lehet bejutni. A megtévesztés, a megszerzett belépési adatok és a hozzáférési folyamatok gyengeségei is elegendők lehetnek.

Az Uber 2022. szeptemberi tájékoztatása szerint a támadó egy külső munkatárs fiókját kompromittálta. A valószínűleg korábban ellopott jelszóval ismételten megpróbált belépni, amíg a munkatárs végül jóváhagyott egy kétfaktoros hitelesítési kérést. Ezt a módszert MFA-fárasztásnak, angolul MFA fatigue-nak nevezik. Az Uber a támadót vagy támadókat a Lapsus$-hoz kötötte.

A tanulság nem az, hogy a többfaktoros hitelesítés haszontalan, hanem az, hogy nem minden megoldása egyformán ellenálló. A megfelelően bevezetett FIDO2/WebAuthn-alapú biztonsági kulcsok és passkey-k adathalászatnak ellenálló hitelesítést adhatnak; a fiók-helyreállítás és a tartalék belépési módok védelméről sem szabad megfeledkezni.

Forrás: Uber: biztonsági tájékoztató a 2022-es incidensről.

Mit tanulhat ezekből a támadásokból a céged?

A tíz történet nem egyetlen csodamegoldás szükségességét mutatja. A támadók különböző pontokon próbálkoznak, ezért egymást kiegészítő védelmi intézkedésekre van szükség:

• Kezeld a sérülékenységeket: legyen naprakész eszközleltárad, és a kitettség, valamint az aktív kihasználás alapján rangsorold a javításokat.
• Erősítsd a belépések védelmét: ahol lehet, használj adathalászatnak ellenálló MFA-t, és ellenőrizd a helyreállítási folyamatokat is.
• Korlátozd a hozzáféréseket: a munkatársak és a beszállítók csak a szükséges jogosultságokat kapják meg, a már nem indokolt hozzáféréseket pedig vond vissza.
• Készülj adatlopásra is: a mentések mellett figyeld az érzékeny adatokhoz való hozzáférést és a szokatlan adatmozgásokat.
• Teszteld a helyreállítást: az elkülönített vagy módosítás ellen védett mentés akkor ér valamit, ha ténylegesen vissza is tudsz állni belőle.
• Tedd könnyűvé a jelzést: a munkatársak tudják, hol jelenthetnek gyanús levelet, váratlan hitelesítési kérést vagy szokatlan telefonhívást.
• Gyakorold az incidenskezelést: legyen előre tisztázva, ki dönt a hozzáférések letiltásáról, a működés korlátozásáról és a kommunikációról.

Gyakori kérdések a hackercsoportokról

Minden hacker kiberbűnöző?

Nem. Az etikus hackerek engedéllyel, előre meghatározott keretek között keresnek sérülékenységeket, hogy azok javíthatók legyenek. Ebben a cikkben támadó szereplőkről és jogellenes műveletekről van szó, nem a teljes hackerközösségről.

Melyik a legveszélyesebb hackercsoport?

Nincs minden helyzetre érvényes rangsor. Más fenyegetés jelent nagy kockázatot egy állami intézménynek, egy kriptotőzsdének és egy hazai kisvállalkozásnak. A saját kitettséged fontosabb, mint egy csoport ismertsége.

Elég a biztonsági mentés a zsarolás ellen?

Nem. A tesztelt mentés segíthet a működés helyreállításában, de nem akadályozza meg az ellopott adatok közzétételét. Az adatlopás és a szolgáltatáskiesés ellen is fel kell készülni.

Ne csak feltételezd, hogy működik a védelmed

Egy behatolásos teszt, más néven pentest meghatározott rendszerek kihasználható gyenge pontjait tárja fel. Egy Red Team gyakorlat ennél szélesebb, egyeztetett támadói forgatókönyv mentén azt is vizsgálhatja, hogyan működik együtt a technológiai védelem, az észlelés és a szervezeti reagálás. Egyik sem jelent garanciát minden későbbi támadás kivédésére, de konkrét javítási prioritásokat adhat.

Kíváncsi vagy, milyen gyenge pontokat találna egy támadó a cégednél? Vedd fel a kapcsolatot a Hacktify csapatával, és nézzük meg, milyen vizsgálat adna érdemi választ a kérdéseidre.