Duża międzynarodowa operacja organów ścigania, przeprowadzona we współpracy z zespołami bezpieczeństwa z sektora prywatnego, zakłóciła szeroko zakrojoną kampanię cybernetyczną znaną jako FrostArmada. Operacja dotyczyła infrastruktury powiązanej z APT28, rosyjską grupą zagrożeń wspieraną przez państwo, znaną również jako Fancy Bear, Forest Blizzard, Sofacy, Sednit, Strontium i Storm-2754.
🌍 Kampania pokazuje, że atakujący coraz częściej nadużywają pomijanych urządzeń sieciowych, takich jak routery dla małych biur i domów (SOHO), aby uzyskać dostęp do cennego ruchu uwierzytelniającego i na dużą skalę kraść poświadczenia.
Operacja kradzieży poświadczeń za pośrednictwem routerów
W centrum FrostArmada znajdowała się prosta, ale niebezpieczna taktyka: przejęcie routerów dostępnych z internetu, zmiana ich ustawień DNS i po cichu przekierowywanie wybranego ruchu przez infrastrukturę kontrolowaną przez atakujących.
Według ustaleń APT28 atakowało przede wszystkim routery MikroTik i TP-Link, a także niektóre produkty zapór sieciowych Nethesis i starsze urządzenia Fortinet. Po przejęciu urządzenia atakujący zmieniali jego ustawienia DNS tak, aby ruch był rozwiązywany przez wirtualne serwery prywatne pod ich kontrolą, a nie przez legalne usługi DNS.
🎯 Dało to cyberprzestępcom możliwość przechwytywania żądań uwierzytelniania do wybranych domen, w tym usług powiązanych z Microsoft, i przeprowadzania ataków typu adversary-in-the-middle (AitM).
Jak działał atak
Łańcuch przejęcia był zarówno skuteczny, jak i skryty.
Po przejęciu kontroli nad podatnymi routerami atakujący wgrywali na urządzenie złośliwe ustawienia resolwera DNS. Zmiany te były następnie automatycznie rozsyłane do klientów wewnętrznych przez DHCP, co oznaczało, że systemy za routerem zaczynały korzystać ze złośliwej infrastruktury DNS bez wiedzy użytkownika.
Gdy ofiara próbowała połączyć się z docelową domeną związaną z uwierzytelnianiem, złośliwy serwer DNS odpowiadał adresem IP kontrolowanym przez atakującego zamiast prawidłowego. Przekierowywało to połączenie do infrastruktury kontrolowanej przez cyberprzestępców, która działała jako proxy między ofiarą a prawdziwą usługą.
W praktyce ofiara nadal docierała do prawdziwego celu, ale tylko przez kontrolowany przez atakującego punkt pośredni. Pozwalało to atakującym przechwytywać:
- 🔑 Poświadczenia kont Microsoft
- 🧾 Informacje o sesjach
- 🎟️ Tokeny OAuth
- 📡 Inny wrażliwy ruch związany z atakowanymi kontami
⚠️ Najbardziej widocznym sygnałem ostrzegawczym dla ofiary był prawdopodobnie alert o nieprawidłowym certyfikacie TLS. Jednak w wielu środowiskach użytkownicy klikają przez ostrzeżenia o certyfikatach, nie do końca rozumiejąc ryzyko. Gdyby tak się stało w tym przypadku, atakujący mogli uzyskać dostęp do ruchu, który w przeciwnym razie pozostałby chroniony.
Globalna kampania na dużą skalę
W szczytowym momencie, w grudniu 2025 r., FrostArmada dotknęła według doniesień 18 000 urządzeń w 120 krajach. Kampania koncentrowała się w dużej mierze na:
- 🏛️ Agencjach rządowych
- 🚓 Organizacjach ścigania
- 💻 Dostawcach usług IT i hostingu
- 🖥️ Podmiotach obsługujących własne serwery
- 📬 Organizacjach z lokalną infrastrukturą poczty e-mail
Microsoft i Black Lotus Labs współpracowali przy badaniu kampanii, mapowaniu jej infrastruktury i pomocy w identyfikacji dotkniętych organizacji. Operacja ujawniła również, że niektóre ataki wykraczały poza usługi hostowane przez Microsoft — zaobserwowano aktywność przeciwko systemom rządowym w Afryce i innych regionach.
📍 Badacze odnotowali też ataki w Afryce Północnej, Ameryce Środkowej i Azji Południowo-Wschodniej, a także powiązanie z krajową platformą tożsamości w jednym z państw europejskich.
Dwa klastry operacyjne
Black Lotus Labs poinformowało, że FrostArmada działała najwyraźniej w oparciu o dwa odrębne klastry funkcjonalne.
Pierwszy klaster, opisany jako „zespół ekspansji”, koncentrował się na przejmowaniu routerów i rozbudowie botnetu. Jego zadaniem było identyfikowanie podatnych urządzeń, wykorzystywanie ich i zwiększanie liczby zainfekowanych punktów końcowych.
Drugi klaster zajmował się operacjami AitM, przechwytywaniem ruchu i zbieraniem poświadczeń. Taki podział sugeruje dobrze zorganizowaną strukturę, z dedykowanymi działaniami zarówno na rzecz rozbudowy infrastruktury, jak i pozyskiwania informacji wywiadowczych.
🕵️ Taki poziom specjalizacji jest zgodny z zachowaniem dojrzałych grup zagrożeń wspieranych przez państwa.
Zakłócenie działań przez organy ścigania
Kampania została zakłócona dzięki współpracy Microsoft, Black Lotus Labs, FBI, Departamentu Sprawiedliwości USA i rządu Polski.
Według DoJ FBI przeprowadziło autoryzowaną przez sąd operację techniczną, aby zneutralizować część infrastruktury cyberprzestępców. Obejmowało to wydanie przejętym routerom poleceń, które usuwały resolwery kontrolowane przez APT28 i przywracały w urządzeniach legalne resolwery DNS udostępniane przez dostawców usług internetowych.
Operacja umożliwiła też śledczym zebranie dowodów dotyczących działalności cyberprzestępców, a władze oświadczyły, że polecenia zostały starannie przetestowane, aby nie wpływać na funkcjonowanie routerów ani nie zbierać danych użytkowników.
✅ Był to ważny krok w zakłócaniu aktywnej złośliwej infrastruktury, ale nie zastępuje potrzeby zabezpieczania własnych urządzeń przez użytkowników i organizacje.
Dlaczego ta kampania ma znaczenie
FrostArmada to mocne przypomnienie, że routery i urządzenia brzegowe pozostają jednym z najsłabszych punktów w wielu środowiskach.
Systemy te są często:
- 🌐 Dostępne z internetu
- 👀 Słabo monitorowane
- ⏳ Działają na przestarzałym oprogramowaniu układowym
- 🔓 Pozostawione z niezabezpieczonym dostępem do zarządzania
- 📦 Zapomniane po początkowym wdrożeniu
Dla atakujących czyni je to idealnymi punktami przesiadkowymi. Zamiast bezpośrednio przejmować punkty końcowe, mogą manipulować warstwą sieciową i po cichu przekierowywać ruch, zbierać poświadczenia i monitorować próby dostępu.
📛 Kampania pokazuje również, jak niebezpieczne pozostaje przejmowanie DNS (DNS hijacking). Chociaż DNS jest często postrzegany jako prosta infrastruktura działająca w tle, atakujący, którzy ją kontrolują, mogą wpływać na to, z czym łączą się użytkownicy, jakim systemom ufają i czy ruch uwierzytelniający pozostaje bezpieczny.
Lekcje obronne dla organizacji
FrostArmada dostarcza obrońcom kilku praktycznych wniosków.
1. Traktuj routery jako zasoby krytyczne
Routerów SOHO, urządzeń w oddziałach i małych urządzeń zaporowych nie należy traktować jak sprzętu jednorazowego użytku. Są częścią obwodu bezpieczeństwa i wymagają takiej samej troski jak serwery i punkty końcowe.
2. Łataj agresywnie
Znane luki w zabezpieczeniach w wystawionych urządzeniach brzegowych pozostają jedną z najłatwiejszych dróg przejęcia. Nieobsługiwane urządzenia i takie, które osiągnęły koniec życia (end-of-life), należy usunąć jak najszybciej.
3. Regularnie przeglądaj ustawienia DNS
Nieoczekiwane resolwery DNS w konfiguracjach routerów mogą być wczesnym sygnałem przejęcia. Zespoły bezpieczeństwa powinny weryfikować ustawienia resolwerów w ramach rutynowej higieny sieciowej.
4. Zabezpiecz zdalne zarządzanie
Interfejsy zdalnej administracji nigdy nie powinny być wystawione do publicznego internetu, chyba że jest to absolutnie konieczne, a nawet wtedy wyłącznie ze ścisłą kontrolą dostępu.
5. Wymuszaj świadomość dotyczącą certyfikatów
Użytkowników nigdy nie należy uczyć ignorowania ostrzeżeń TLS. Alerty o certyfikatach mogą być jednym z nielicznych widocznych sygnałów, że ruch jest przechwytywany.
6. Stosuj przypinanie certyfikatów (certificate pinning) tam, gdzie to możliwe
W przypadku zarządzanych firmowych laptopów i urządzeń mobilnych przypinanie certyfikatów może znacznie utrudnić próby przechwytywania i może powodować wyraźne błędy w razie złośliwego proxy.
7. Zmniejsz powierzchnię ataku
Ograniczanie publicznej ekspozycji, usuwanie przestarzałego sprzętu i zaostrzanie reguł zapory sieciowej pozostają jednymi z najskuteczniejszych sposobów zmniejszenia ryzyka przejęcia.
Na zakończenie
FrostArmada pokazuje, jak wyrafinowany podmiot zagrożeń może zamienić codzienny sprzęt sieciowy w globalną platformę przechwytywania poświadczeń.
Przejmując DNS na podatnych routerach, APT28 mogło po cichu przekierowywać ruch uwierzytelniający, przechwytywać poświadczenia i tokeny oraz zbudować dużą pulę potencjalnych celów wywiadowczych w wielu regionach i sektorach. Kampania potwierdza też kluczową rzeczywistość współczesnej cyberobrony: atakujący nie zawsze potrzebują złośliwego oprogramowania na punkcie końcowym, jeśli mogą kontrolować ścieżkę, którą podróżuje ruch.
🤝 Zakłócenie FrostArmada to znaczący sukces współpracy organów ścigania i branży. Dla obrońców przesłanie jest jednak jasne: łataj wystawione urządzenia, wycofuj nieobsługiwany sprzęt, weryfikuj ustawienia DNS i przestań traktować infrastrukturę brzegową jako dodatek.
💡 Bo gdy routery zostają przejęte, sama sieć staje się platformą ataku.
