Microsoft: Russische hackers werken aan groot offensief met cyberaanvallen

Hackers verbonden aan Russische inlichtingendiensten bereiden zich voor op een nieuwe golf cyberaanvallen op Oekraïne, en mogelijk ook op zijn bondgenoten. Dat schrijft softwarebedrijf Microsoft in een deze week verschenen rapport.

Microsoft is een van de westerse techbedrijven die nauw samenwerken met de Oekraïense autoriteiten om het land te beschermen tegen digitale oorlogvoering. Zo hielp het in de aanloop naar de invasie om aanvallen af te wenden op computersystemen van overheden, en om belangrijke data van Oekraïense servers te verhuizen naar cloudopslagdiensten, buiten bereik van Russisch geschut, zodat cruciale overheidsdiensten konden blijven functioneren.

Lees ook Zelfs Rusland houdt grote cyberaanvallen maar eventjes vol

In de maanden voorafgaand aan de Russische inval voorspelden veel analisten dat een oorlog tegen Oekrane zou beginnen met massale en verwoestende cyberaanvallen op onder meer communicatiesystemen en kritieke infrastructuur. Daar kreeg het land sinds de annexatie van de Krim en de oorlog in de Donbas in 2014 al meermaals mee te maken.

Die voorspelling is maar ten dele uitgekomen: weliswaar voerden Russische hackers een barrage van aanvallen uit, maar die werden veelal afgeslagen, of hadden betrekkelijk weinig impact op het verloop van de strijd. Een uitzondering vormde een aanval op satellietnetwerk ViaSat, op de dag van de inval, die de communicatie binnen de Oekraïense strijdkrachten tijdens de eerste uren van de oorlog flink hinderde. Na de eerste weken namen de cyberaanvallen in kracht en aantal sterk af.

Microsoft zegt nu aanwijzingen te hebben dat de Russen een door velen verwacht voorjaarsoffensief op het slagveld zouden willen begeleiden met een nieuwe reeks cyberaanvallen. Analisten van het bedrijf ontdekten in januari verschillende phishingcampagnes gericht op Oekraïense defensiebedrijven en de energiesector in het land. Hackers proberen daarbij via bijvoorbeeld nepmailtjes toegang tot de computersystemen van hun doelwitten te krijgen. Ook het Oekraïense nationale persagentschap Ukrinform zou zijn aangevallen.

Hackers zouden zo de afgelopen maanden gericht hebben geprobeerd toegang te krijgen tot computersystemen van onder meer IT-bedrijven, financiële instellingen, media en humanitaire hulporganisaties, niet alleen in Oekraïne, maar ook in landen als Roemenië, Litouwen, het Verenigd Koninkrijk, Italië en Brazilië.

Microsoft schrijft de aanvallen toe aan het hackerscollectief dat het IRIDIUM noemt, en dat elders wel bekend staat als Sandworm – een groep die gelieerd is aan de Russische militaire inlichtingendienst GROe. Technologieblad Wired wist woensdag te melden dat die hackersgroep sinds kort onder leiding staat van Jevgeni Serebrjakov, een van de vier Russische spionnen die in 2018 door de Nederlandse MIVD werden betrapt bij een poging om het hoofdkantoor van de Organisatie voor het Verbod op Chemische Wapens (OPCW) in Den Haag te hacken.

De onderzoekers verwachten dat het nieuwe Russische cyberoffensief onder meer gebruik zal maken van gijzelsoftware – die traditioneel door cybercriminelen wordt gebruikt om bedrijven af te persen. Computersystemen van doelwitten worden dan uitgeschakeld door de gegevens erop te versleutelen. Normaliter eisen de hackers dan losgeld om die versleuteling ongedaan te maken. Afgelopen oktober voerde IRIDIUM al zo’n aanval uit op transportbedrijven in Oekraïne en in Polen, een belangrijke schakel in de bevoorrading van het land.

Microsoft voorziet dat Russische hackers hun aandacht in de komende maanden verder zullen verleggen naar beïnvloedingsoperaties in Europese landen die Oekraïne politiek en militair steunen, bijvoorbeeld door te wijzen op de gestegen energiekosten. Met name Polen, Estland en Finland zouden dan logische doelwitten zijn, omdat in die drie landen dit jaar verkiezingen plaatsvinden.

Nu al zouden Russische internettrollen in Polen campagnes ondersteunen die gericht zijn tegen de opvang van Oekraïense vluchtelingen en de hulp aan Kyiv. En in Bulgarije werd een netwerk van pro-Russische websites gepromoot op sociale media.