Cybersecurity-instanties uit de Verenigde Staten en acht bondgenoten hebben gewaarschuwd a joint advisory dat door de staat gesteunde Russische hackers actief kritieke infrastructuur aanvallen door kwetsbare internetverbonden apparaten te misbruiken. De richtlijnen bieden organisaties praktische aanbevelingen om hun verdediging tegen lopende inbraakacties die worden toegeschreven aan de Russische Federale Veiligheidsdienst (FSB) te versterken.
Het advies werd uitgegeven door de Amerikaanse National Security Agency (NSA), de Cybersecurity and Infrastructure Security Agency (CISA), het Federal Bureau of Investigation (FBI) en partnerinstanties uit Australië, Canada, Estland, Finland, Frankrijk, Italië, Nieuw-Zeeland en het Verenigd Koninkrijk. De diensten schrijven de activiteit toe aan FSB Center 16, een Russische inlichtingendienst die door cyberbeveiligingsonderzoekers ook APT28 of BlueDelta wordt gevolgd.
Volgens het advies richten de aanvallers zich op internet-geconcentreerde routers en netwerkedge-apparaten die verouderd of verkeerd zijn geconfigureerd. Eenmaal binnen een netwerk proberen ze persistente toegang te creëren, bewegen ze zich lateraal door verbonden systemen en positioneren ze zich voor inlichtingenverzameling of toekomstige disruptieve operaties gericht op kritieke infrastructuur.
De instanties dringen er bij organisaties op aan om niet-ondersteunde netwerkapparatuur te vervangen, beveiligingsupdates te installeren zodra deze beschikbaar zijn, onnodige internetdiensten uit te schakelen en sterke authenticatie voor beheerdersaccounts af te dwingen. Beheerders worden ook aangemoedigd operationele technologie te segmenteren uit bedrijfs-IT-netwerken, netwerkactiviteiten continu te monitoren op verdacht gedrag en apparaatconfiguraties te controleren op ongeautoriseerde wijzigingen.
De richtlijnen bevelen aan om waar mogelijk phishingbestendige multi-factor authenticatie te gebruiken, administratieve rechten te beperken, offline back-ups van kritieke configuraties te onderhouden en gedetailleerde logboeken te verzamelen om incidentdetectie en forensisch onderzoek te verbeteren. Organisaties wordt ook geadviseerd om standaardgegevens te verwijderen, externe beheerinterfaces te beperken en regelmatig apparaten die aan het internet worden blootgesteld te controleren.
Functionarissen zeiden dat het advies bedoeld is om exploitanten van kritieke infrastructuur te helpen de kans op succesvolle compromitteringen te verkleinen, aangezien Russische cyberoperaties zich blijven richten op sectoren die als strategisch belangrijk worden beschouwd. De waarschuwing geldt voor organisaties die verantwoordelijk zijn voor essentiële diensten, waaronder energie, water, transport, communicatie, gezondheidszorg en overheidssystemen.