Ребята из Microsoft обнаружили российских хакеров, которые атаковали иностранные посольства. Фишка в том, что злоумышленники пытались подсунуть жертвам вредоносный TLS-сертификат — эта штука позволяет перехватывать шифрованные данные. 🤯 После установки такого сертификата хакеры могли бы читать всю конфиденциальную переписку как открытую книгу. 📩💥 Сейчас Microsoft усиливает защиту, но история лишний раз напоминает: всегда проверяйте сертификаты на сайтах! Особенно если вы дипломат или работаете с госструктурами. ⚠️👨💻 Следим за развитием событий — такие атаки становятся все изощреннее.
Executive Technical Summary
Microsoft Threat Intelligence подтвердила, что российская APT-группа Secret Blizzard (Turla, Uroburos) с 2024 года проводит целевые атаки на иностранные посольства в Москве. Ключевая инновация — использование контроля над ISP-инфраструктурой для реализации adversary-in-the-middle (AiTM) атак, приводящих к установке вредоносного TLS-сертификата ApolloShadow. Техника позволяет криптографически имперсонировать доверенные домены и перехватывать зашифрованный трафик. Уязвимы все дипломатические учреждения, использующие местных интернет-провайдеров в РФ.
Core Technical Analysis
Архитектура AiTM-атаки (H2)
Secret Blizzard использует уникальную трехуровневую архитектуру:
Технические компоненты:
- ISP-level interception: Позиционирование в сетевом трафике через принудительную переадресацию
- Captive Portal: Имитация портала аутентификации для инициации цепочки заражения
- Test Connectivity Redirection: Злоупотребление Windows TCSI (msftconnecttest.com)
Механика ApolloShadow (H2)
Многостадийный вредонос:
Ключевые техники:
- Эскалация привилегий через фиктивный UAC prompt
- Маскировка под установщик Kaspersky (CertificateDB.exe)
- Установка доверенного корневого TLS-сертификата
- Конфигурация сетей как Private для снижения защиты
Техники персистенции и перехвата (H2)
После установки сертификата реализуется:
- MITM TLS Decryption: Расшифровка трафика через подписанные фиктивные сертификаты
- Network Discovery: Автоматическое включение сетевого Discovery
- Firewall Rule Relaxation: Ослабление правил для облегчения перемещения
Защитные стратегии для enterprise (H2)
Технические рекомендации:
- Обязательное использование IPSec или WireGuard VPN с проверкой сертификатов
- Развертывание Certificate Transparency Log Monitoring
- Реализация Network Access Control (NAC) с 802.1X аутентификацией
- Блокировка исполняемых файлов через AppLocker с исключениями
Expert Conclusions & Future Outlook
Атака демонстрирует опасную эволюцию AiTM в инфраструктурные сегменты. В ближайшие 2 года ожидается экспорт тактики в киберпреступные группировки. Критически важно внедрение Zero Trust Network Access для дипломатических миссий. Microsoft рекомендует сегментировать сети с применением hardware security modules для хранения корневых сертификатов.
Технические приложения
Конфигурация мониторинга сертификатов:
Сравнение техник APT-групп:
