Cozy Bear

Cozy Bear è uno dei nomi con cui è noto un gruppo di criminali informatici russi che si ritiene sia affiliato con il servizio segreto russo SVR. Il gruppo è anche conosciuto con i nomi APT29 (da Advanced Persistent Threat), CozyCar, CozyDuke, Dark Halo, The Dukes, NOBELIUM, Office Monkeys, StellarParticle, UNC2452 e YTTRIUM.

Capacità tecniche

Secondo Symantec Cozy Bear prende di mira organizzazioni diplomatiche e governi almeno dal 2010. Tuttavia, il primo malware attribuito al gruppo, MiniDuke, risale al 2008 ed è stato scritto in linguaggio assembly. Dopo che MiniDuke è stato scoperto, nel 2013, i successivi aggiornamenti sono stati scritti in C/C e adottano un nuovo sistema di offuscamento del codice.

Il malware CozyDuke utilizza una backdoor e un dropper e sottrae dati dal bersaglio inviandoli ad un server. La backdoor è aggiornata periodicamente per migliorarne la crittografia, le funzionalità trojan e i meccanismi per non essere rilevata. Alcune componenti del software sono in comune con i malware prodotti da un altro gruppo di hacker russi chiamato Fancy Bear.

Altri malware prodotti dal gruppo sono CosmicDuke e OnionDuke. Essi condividono parte delle loro componenti software con MiniDuke e CozyDuke.

SeaDuke è un trojan altamente configurabile creato per prendere di mira bersagli di alto profilo. Di solito viene installato su sistemi già infettati dal più diffuso CozyDuke.

Bibliografia

• John Bambenek, Come la Russia proietta la sua potenza cibernetica, in Limes, n. 10/18, novembre 2018, 9788883716867.