Een groot lek van een Russisch onderzoeksinstituut heeft een zeldzaam inkijkje gegeven in wat onderzoekers omschrijven als een ontwikkelingsecosysteem dat de Russische buitenlandse inlichtingendienst en haar cyberspionageoperaties ondersteunt.
Volgens onderzoek van DomainTools Investigations (DTI) , bevatten gelekte bestanden die verband houden met Spetsvuzavtomatika, ook bekend als SVA, interne technische documenten, projectspecificaties, rapporten en materiaal uit softwareontwikkelingsrepositories. Samen lijken de bestanden te laten zien hoe de organisatie onderzoek deed naar en ontwikkelde tools die verschillende fasen van inlichtingenverzamelingsoperaties konden ondersteunen.
Spetsvuzavtomatika is gevestigd in Rostov aan de Don en werkt publiekelijk op gebieden als informatiebeveiliging, software, elektronica en hardwareontwikkeling. De connecties met de Russische inlichtingendiensten zijn geen geheel nieuwe ontdekking. De Amerikaanse regering sanctioneerde het instituut in 2021 en zei dat het technische tools ontwikkelde voor de Russische Buitenlandse Inlichtingendienst, algemeen bekend als de SVR.
Het recent geanalyseerde lek geeft aanzienlijk meer details over wat dat werk mogelijk inhoudt. In plaats van één enkel stuk malware of één hackoperatie te onthullen, beschrijven de documenten meerdere projecten die verschillende onderdelen van een potentiële cyberspionagecampagne bestrijken.
DTI identificeerde zeven projecten die het werk van het instituut illustreren. Projecten genaamd Felix-23 en HAD richtten zich op het vinden en bestuderen van potentiële doelwitten, waaronder het automatisch scannen van internetverbonden systemen en het verzamelen van informatie daarover.
Een ander project, Putnik, hield zich bezig met activiteiten binnen gecompromitteerde bedrijfsnetwerken. De mogelijkheden omvatten het identificeren van systemen en inloggegevens die operators mogelijk konden helpen dieper in het netwerk van een organisatie te gaan.
Initiative-24 onderzocht een ander belangrijk onderdeel van cyberspionage: communiceren met software die binnen het netwerk van een doelwit opereert en informatie extraheren. Volgens de gelekte documenten onderzocht het project manieren om betrouwbare clouddiensten te gebruiken voor die communicatie, waardoor verdachte verkeer moeilijker te onderscheiden is van normale internetactiviteiten.
Andere projecten richtten zich op mobiele apparaten en de infrastructuur die nodig was om operaties uit te voeren. Botanica lijkt zich te hebben gericht op het verzamelen van informatie van Android-apparaten, terwijl Blik en Glare methoden toepasten om informatie discreet op te slaan en over te dragen.
Chain-24 hield zich ondertussen bezig met het verwerven van infrastructuur zoals hostingdiensten en maakte het moeilijker te achterhalen wie er achter de aankopen zat. Dit type ondersteunende infrastructuur kan belangrijk zijn voor spionageoperaties omdat aanvallers servers en andere online bronnen nodig hebben zonder deze middelen gemakkelijk met zichzelf te verbinden.
De documenten lijken ook het werk van SVA te verbinden met Russische militaire eenheden. De analyse van DTI identificeerde verwijzingen naar militaire eenheden 33949 en 64829 onder de overheidsklanten van het instituut.
Wat het lek bijzonder onthullend maakt, is de manier waarop deze projecten in elkaar passen. In plaats van verkenning, toegang, informatieverzameling en infrastructuur als volledig aparte taken te behandelen, beschrijven de documenten componenten die verschillende fasen van een inlichtingenoperatie kunnen ondersteunen.
Onderzoekers geloven dat automatisering een belangrijk onderdeel van die aanpak is. Taken die voorheen veel handmatig werk vereisten, kunnen steeds vaker door software worden uitgevoerd, waardoor inlichtingenoperators mogelijk meer doelen kunnen onderzoeken en complexere campagnes met minder mensen kunnen beheren.
De gelekte documenten moeten echter zorgvuldig worden geïnterpreteerd. Ze tonen onderzoeksprojecten, technische vereisten, fragmenten van broncode en mogelijke aanvalsscenario’s, maar hun bestaan toont niet aan dat elke capaciteit is voltooid of tegen echte doelen is gebruikt.
Spetsvuzavtomatika heeft ook ontkend dat haar interne netwerk was gecompromitteerd. DTI concludeerde echter dat authentieke en gevoelige informatie die met het instituut verband hield, crimineel circuleerde nadat materiaal op het dark web begon te verschijnen.
Het lek biedt daarom een inkijkje in hoe geavanceerde cyberspionagecapaciteiten achter de schermen kunnen worden ontwikkeld in plaats van bewijs van een specifieke nieuwe aanval. De analyse van DomainTools Investigations suggereert dat SVA werkte aan een verzameling onderling verbonden technologieën die in staat zijn verkenning, netwerktoegang, inlichtingenverzameling en de infrastructuur die nodig is om die activiteiten draaiende te houden, kunnen ondersteunen.