Um grande vazamento de um instituto de pesquisa russo proporcionou uma rara visão do que pesquisadores descrevem como um ecossistema de desenvolvimento que apoia o serviço de inteligência estrangeira da Rússia e suas operações de ciberespionagem.
De acordo com pesquisas de DomainTools Investigations (DTI) , arquivos vazados conectados ao Spetsvuzavtomatika, também conhecido como SVA, contêm documentos técnicos internos, especificações de projetos, relatórios e material de repositórios de desenvolvimento de software. Juntos, os arquivos parecem mostrar como a organização pesquisou e desenvolveu ferramentas que poderiam suportar diferentes estágios das operações de coleta de inteligência.
A Spetsvuzavtomatika está sediada em Rostov-on-Don e atua publicamente em áreas como segurança da informação, software, eletrônica e desenvolvimento de hardware. Suas conexões com a inteligência russa não são uma descoberta completamente nova. O governo dos EUA sancionou o instituto em 2021, afirmando que ele desenvolveu ferramentas técnicas para o Serviço de Inteligência Estrangeira da Rússia, conhecido como SVR.
O vazamento recém-analisado fornece consideravelmente mais detalhes sobre o que esse trabalho pode envolver. Em vez de revelar um único malware ou uma operação de invasão, os documentos descrevem múltiplos projetos que abrangem diferentes partes de uma possível campanha de espionagem cibernética.
O DTI identificou sete projetos que ajudam a ilustrar o trabalho do instituto. Projetos chamados Felix-23 e HAD focaram em encontrar e estudar potenciais alvos, incluindo a varredura automática de sistemas conectados à internet e a coleta de informações sobre eles.
Outro projeto, o Putnik, lidou com atividades dentro de redes corporativas comprometidas. Suas capacidades incluíam identificar sistemas e credenciais que poderiam ajudar os operadores a avançar mais profundamente na rede de uma organização.
A Iniciativa-24 explorou outra parte importante da ciberespionagem: comunicar-se com softwares operando dentro da rede do alvo e extrair informações. De acordo com os documentos vazados, o projeto examinou maneiras de usar serviços confiáveis em nuvem para essas comunicações, potencialmente dificultando a distinção de tráfego suspeito da atividade normal na internet.
Outros projetos abordaram dispositivos móveis e a infraestrutura necessária para realizar operações. A botânica parece ter focado na coleta de informações de dispositivos Android, enquanto Blik e Glare envolveram métodos para armazenar e transferir informações discretamente.
A Chain-24, por sua vez, lidava com a aquisição de infraestrutura, como serviços de hospedagem, dificultando a identificação de quem estava por trás das compras. Esse tipo de infraestrutura de suporte pode ser importante para operações de espionagem, pois os atacantes precisam de servidores e outros recursos online sem facilitar a conexão desses ativos entre si.
Os documentos também parecem conectar o trabalho da SVA com unidades militares russas. A análise do DTI identificou referências às Unidades Militares 33949 e 64829 entre os clientes governamentais do instituto.
O que torna o vazamento particularmente revelador é a forma como esses projetos se encaixam. Em vez de tratar reconhecimento, acesso, coleta de informações e infraestrutura como tarefas completamente separadas, os documentos descrevem componentes que poderiam suportar várias etapas de uma operação de inteligência.
Pesquisadores acreditam que a automação é uma parte importante dessa abordagem. Tarefas que antes exigiam trabalho manual substancial podem ser cada vez mais realizadas por software, permitindo potencialmente que operadores de inteligência investiguem mais alvos e gerenciem campanhas mais complexas com menos pessoas.
No entanto, os documentos vazados precisam ser interpretados com cuidado. Eles mostram projetos de pesquisa, requisitos técnicos, fragmentos de código-fonte e possíveis cenários de ataque, mas sua existência não demonstra que todas as capacidades foram concluídas ou usadas contra alvos reais.
A Spetsvuzavtomatika também negou que sua rede interna tenha sido comprometida. O DTI, no entanto, concluiu que informações autênticas e sensíveis associadas ao instituto entraram em circulação criminosa após o início do surgimento de material na dark web.
O vazamento, portanto, oferece uma janela para como capacidades sofisticadas de espionagem cibernética podem ser desenvolvidas nos bastidores, em vez de uma prova de um ataque específico novo. A análise da DomainTools Investigations sugere que a SVA estava trabalhando em um conjunto de tecnologias interconectadas capazes de suportar reconhecimento, acesso à rede, coleta de inteligência e a infraestrutura necessária para manter essas atividades funcionando.