Ít nhất sáu bên liên kết với Nga khác nhau đã thực hiện không dưới 237 cuộc tấn công mạng chống lại Ukraine từ ngày 23 tháng 2 đến ngày 8 tháng 4, bao gồm 38 cuộc tấn công phá hoại rời rạc phá hủy không thể thu hồi các tệp trong hàng trăm hệ thống của hàng chục tổ chức ở nước này.
Đơn vị An ninh Kỹ thuật số (DSU) của công ty cho biết trong một báo cáo đặc biệt: “Nói chung, các hành động mạng và động học có tác dụng phá vỡ hoặc làm suy giảm các chức năng của chính phủ và quân đội Ukraine, đồng thời làm suy yếu lòng tin của công chúng đối với những thể chế đó”.
Các họ phần mềm độc hại chính đã được tận dụng cho hoạt động phá hoại như một phần của các cuộc tấn công kỹ thuật số không ngừng của Nga bao gồm: WhisperGate, HermeticWiper (FoxBlade hay còn gọi là KillDisk), HermeticRansom (SonicVote), IssacWiper (Lasainraw), CaddyWiper, DesertBlade, DoubleZero (Fiberroyer2), Industries .
WhisperGate, HermeticWiper, IssacWiper và CaddyWiper là tất cả các trình gạt dữ liệu được thiết kế để ghi đè dữ liệu và khiến máy không thể khởi động được, trong khi DoubleZero là phần mềm độc hại .NET có khả năng xóa dữ liệu. DesertBlade, cũng là một công cụ xóa dữ liệu, được cho là đã được tung ra chống lại một công ty phát thanh truyền hình giấu tên ở Ukraine vào ngày 1/3.
Mặt khác, SonicVote là một trình mã hóa tệp được phát hiện kết hợp với HermeticWiper để ngụy trang các cuộc xâm nhập dưới dạng một cuộc tấn công ransomware, trong khi Industroyer2 đặc biệt nhắm vào công nghệ hoạt động để phá hoại các quy trình và sản xuất công nghiệp quan trọng.
Microsoft đã gán HermeticWiper, CaddyWiper và Industroyer2 với độ tin cậy vừa phải cho một diễn viên do nhà nước Nga tài trợ tên là Sandworm (hay còn gọi là Iridium). Các cuộc tấn công WhisperGate liên quan đến một nhóm chưa từng được biết đến trước đây có tên là DEV-0586, được cho là có liên quan đến tình báo quân sự GRU của Nga.
32% trong tổng số 38 cuộc tấn công phá hoại được ước tính chỉ nhằm vào các tổ chức chính phủ Ukraine ở cấp quốc gia, khu vực và thành phố, với hơn 40% các cuộc tấn công nhằm vào các tổ chức trong các lĩnh vực cơ sở hạ tầng quan trọng ở các quốc gia.
Ngoài ra, Microsoft cho biết họ đã quan sát Nobelium, tác nhân đe dọa bị đổ lỗi cho cuộc tấn công chuỗi cung ứng SolarWinds năm 2020, cố gắng xâm phạm các công ty CNTT phục vụ khách hàng chính phủ ở các quốc gia thành viên NATO, sử dụng quyền truy cập dữ liệu bòn rút từ các tổ chức chính sách đối ngoại phương Tây.
Các cuộc tấn công độc hại khác liên quan đến các chiến dịch lừa đảo nhắm mục tiêu vào các thực thể quân sự (Fancy Bear hay còn gọi là Strontium) và các quan chức chính phủ (Primitive Bear hay còn gọi là Actinium) cũng như đánh cắp dữ liệu (Energetic Bear hay còn gọi là Bromine) và hoạt động do thám (Venomous Bear hay còn gọi là Krypton).
“Việc Nga sử dụng các cuộc tấn công mạng dường như có mối tương quan chặt chẽ và đôi khi được tính trực tiếp với các hoạt động quân sự của họ nhằm vào các dịch vụ và tổ chức quan trọng đối với dân thường”, Tom Burt, Phó chủ tịch phụ trách an ninh và sự tin cậy của khách hàng, cho biết.
“Do các tác nhân đe dọa của Nga đang phản ánh và gia tăng các hành động quân sự, chúng tôi tin rằng các cuộc tấn công mạng sẽ tiếp tục leo thang khi xung đột bùng phát. Có khả năng các cuộc tấn công mà chúng tôi quan sát được chỉ là một phần nhỏ của hoạt động nhắm vào Ukraine.”
.
