BlueDelta nutzt Roundcube-Mailserver der ukrainischen Regierung aus, um Spionageaktivitäten zu stützen

Die Insikt Group von Recorded Future hat in Zusammenarbeit mit dem Computer Emergency Response Team (CERT-UA) der Ukraine eine Kampagne aufgedeckt, die auf hochrangige Unternehmen in der Ukraine abzielte und mit einer Spearphishing-Kampagne in Verbindung stand, die von der Network Traffic Intelligence von Recorded Future aufgedeckt wurde. Die Kampagne nutzte Nachrichten über den Krieg Russlands gegen die Ukraine, um die Empfänger zum Öffnen von E-Mails zu bewegen, die unter Ausnutzung des CVE-2020-35730 sofort anfällige Roundcube-Server (eine Open-Source-Webmail-Software) kompromittierten, ohne auf den Anhang zu reagieren. Wir haben festgestellt, dass sich die Kampagne mit den historischen Aktivitäten von BlueDelta überschneidet, bei denen die Zero-Day-Sicherheitslücke CVE-2023-23397 von Microsoft Outlook im Jahr 2022 ausgenutzt wurde.

Die von der Insikt Group identifizierte BlueDelta-Aktivität scheint seit November 2021 in Betrieb zu sein. Die Kampagne überschneidet sich mit Aktivitäten, die CERT-UA APT28 (auch bekannt als Forest Blizzard und Fancy Bear) zuschreibt , das von mehreren westlichen Regierungen der Hauptdirektion des Generalstabs der Streitkräfte der Russischen Föderation (GRU) zugeschrieben wird. Bei dieser Operation zielte BlueDelta vor allem auf ukrainische Organisationen ab, darunter Regierungsinstitutionen und militärische Einheiten, die in der Luftfahrtinfrastruktur tätig sind.

Die BlueDelta-Kampagne verwendete Spearphishing-Techniken und versendete E-Mails mit Anhängen, die Schwachstellen (CVE-2020-35730, CVE-2020-12641 und CVE-2021-44026) in Roundcube ausnutzten, um Aufklärungs- und Exfiltrationsskripte auszuführen, eingehende E-Mails umzuleiten und Sitzungscookies, Benutzerinformationen und Adressbücher zu sammeln. Der Anhang enthielt JavaScript-Code, der zusätzliche JavaScript-Nutzdaten von der von BlueDelta kontrollierten Infrastruktur ausführte. Die Kampagne zeugte von einem hohen Maß an Vorbereitung und wandelte Nachrichteninhalte rasch in Köder um, um die Empfänger auszunutzen. Die Spearphishing-E-Mails enthielten Nachrichtenthemen mit Bezug zur Ukraine und ihre Betreffzeilen und Inhalte ähnelten legitimen Medienquellen.

Die Infektionsketten von BlueDelta Outlook und Roundcube überschneiden sich

BlueDelta zeigt seit langem Interesse an der Beschaffung von Informationen über Einrichtungen in der Ukraine und ganz Europa, vor allem in der Regierung sowie im Militär und in der Verteidigung. Die jüngste Aktivität deutet höchstwahrscheinlich darauf hin, dass der Fokus weiterhin auf diesen Organisationen liegt, insbesondere auf jenen in der Ukraine. Wir gehen davon aus, dass die Aktivitäten von BlueDelta wahrscheinlich darauf abzielen, militärische Geheimdienstinformationen zu sammeln, um die Invasion Russlands in der Ukraine zu unterstützen, und sind der Ansicht, dass BlueDelta mit an Sicherheit grenzender Wahrscheinlichkeit auch weiterhin vorrangig ukrainische Regierungs- und Privatunternehmen ins Visier nehmen wird, um die umfassenderen militärischen Bemühungen Russlands zu unterstützen.

Die Zusammenarbeit von Recorded Future mit CERT-UA unterstreicht weiter, wie wichtig Partnerschaften zwischen Industrie und Regierungen sind, um eine kollektive Verteidigung gegen strategische Bedrohungen zu ermöglichen – in diesem Fall den Krieg Russlands gegen die Ukraine.

Um die gesamte Analyse mit Endnoten zu lesen, klicken Sie hier, um den Bericht als PDF herunterzuladen.

Anhang A – Indikatoren für eine Gefährdung

Anhang B – Mitre ATT&CK-Techniken