Bir Rus araştırma enstitüsünden büyük bir sızıntı, araştırmacıların Rusya’nın dış istihbarat servisini ve siber casusluk operasyonlarını destekleyen bir kalkınma ekosistemi olarak tanımladığı şeyin içine nadir bir bakış sundu.
Araştırmaya DomainTools Investigations (DTI) göre, Spetsvuzavtomatika (SVA olarak da bilinir) ile bağlantılı sızdırılan dosyalar, yazılım geliştirme depolarından dahili teknik belgeler, proje spesifikasyonları, raporlar ve materyalleri içeriyor. Dosyalar birlikte, organizasyonun istihbarat toplama operasyonlarının farklı aşamalarını destekleyebilecek araçları nasıl araştırdığını ve geliştirdiğini gösteriyor.
Spetsvuzavtomatika Rostov-na-Donu’da merkezli olup bilgi güvenliği, yazılım, elektronik ve donanım geliştirme gibi alanlarda kamuya açık olarak çalışmaktadır. Rus istihbaratıyla bağlantıları tamamen yeni bir keşif değildir. ABD hükümeti, 2021’de enstitüsü yaptırdı ve Rusya’nın Dış İstihbarat Servisi, yaygın olarak SVR olarak bilinen kurum için teknik araçlar geliştirdiğini söyledi.
Yeni analiz edilen sızıntı, bu çalışmanın neleri içerebileceği hakkında çok daha fazla ayrıntı sunuyor. Belgeler, tek bir kötü amaçlı yazılım veya tek bir hackleme operasyonunu ortaya çıkarmak yerine, potansiyel bir siber casusluk kampanyasının farklı bölümlerini kapsayan birden fazla projeyi anlatıyor.
DTI, enstitünün çalışmalarını göstermeye yardımcı olacak yedi proje belirledi. Felix-23 ve HAD adı verilen projeler, potansiyel hedefleri bulmaya ve incelemeye odaklandı; internet bağlantılı sistemleri otomatik tarama ve bunlar hakkında bilgi toplamak da dahil.
Başka bir proje olan Putnik, tehlikeye girmiş kurumsal ağlar içindeki faaliyetlerle ilgileniyordu. Yetenekleri arasında, operatörlerin organizasyonun ağına daha derinlemesine ilerlemesine yardımcı olabilecek sistemler ve kimlik bilgilerini tespit etmek yer alıyordu.
Initiative-24, siber casusluğun bir diğer önemli kısmını da inceledi: hedefin ağında çalışan yazılımlarla iletişim kurmak ve bilgi çıkarmak. Sızdırılan belgelere göre, proje bu iletişimler için güvenilir bulut hizmetlerinin nasıl kullanılabileceğini inceledi ve bu da şüpheli trafiği normal internet aktivitesinden ayırt etmeyi zorlaştırabilir.
Diğer projeler mobil cihazlar ve operasyonları yürütmek için gereken altyapı ile ilgiliydi. Botanik Android cihazlarından bilgi toplamaya odaklanmış gibi görünürken, Blik ve Glare bilgileri gizli depolama ve aktarma yöntemlerini içeriyordu.
Chain-24 ise barındırma hizmetleri gibi altyapı edinmekle ilgilenirken, satın almaların arkasında kimin olduğunu tespit etmeyi zorlaştırdı. Bu tür destekleyici altyapı, saldırganların sunuculara ve diğer çevrimiçi kaynaklara ihtiyaç duyması nedeniyle casusluk operasyonları için önemli olabilir çünkü bu varlıkları kolayca kendilerine bağlayamıyorlar.
Belgeler ayrıca SVA’nın çalışmalarını Rus askeri birimleriyle ilişkilendiriyor gibi görünüyor. DTI’nin analizi, enstitünün hükümet müşterileri arasında Askeri Birimler 33949 ve 64829’a referanslar olduğunu ortaya koydu.
Sızıntıyı özellikle ortaya çıkaran şey, bu projelerin birbirine nasıl uyduğudur. Keşif, erişim, bilgi toplama ve altyapıyı tamamen ayrı görevler olarak ele almak yerine, belgeler istihbarat operasyonunun birkaç aşamasını destekleyebilecek bileşenleri tanımlıyor.
Araştırmacılar, otomasyonun bu yaklaşımın önemli bir parçası olduğuna inanıyor. Daha önce önemli ölçüde manuel iş gerektiren görevler giderek yazılım tarafından gerçekleştirilebilir; bu da istihbarat operatörlerinin daha fazla hedefi araştırmasına ve daha az kişiyle daha karmaşık kampanyaları yönetmesine olanak tanıyabilir.
Ancak sızdırılan belgeler dikkatlice yorumlanmalıdır. Araştırma projeleri, teknik gereksinimler, kaynak kodu parçaları ve olası saldırı senaryoları gösterilir, ancak varlıkları her yeteneğin gerçek hedeflere karşı tamamlandığını veya kullanıldığını göstermez.
Spetsvuzavtomatika ayrıca iç ağının tehlikede olduğunu da reddetti. Buna rağmen, enstitüyle ilgili gerçek ve hassas bilgilerin, materyallerin karanlık ağda görünmeye başlamasıyla suç dolaşımına girdiği sonucuna vardı.
Bu sızıntı, belirli bir yeni saldırının kanıtı olmaktan ziyade, sofistike siber casusluk yeteneklerinin perde arkasında nasıl geliştirilebileceğine dair bir pencere sunuyor. DomainTools Investigations’ın analizi, SVA’nın keşif, ağ erişimi, istihbarat toplama ve bu faaliyetleri yürütmek için gerekli altyapıyı destekleyebilen birbirine bağlı teknolojiler koleksiyonu üzerinde çalıştığını gösteriyor.