Cozy Bear, também conhecido como APT29, é um grupo hacker de ameaça persistente avançada russo que se acredita estar associado à inteligência externa russa, segundo as agências de inteligência dos Estados Unidos e as de países aliados. A inteligência de sinais neerlandesa, por meio do Serviço Geral de Inteligência e Segurança (AIVD), e a inteligência norte-americana monitoravam o grupo desde 2014 e conseguiram vinculá-lo ao SVR após comprometerem câmaras de segurança do seu escritório. A CrowdStrike e a inteligência estoniana relataram uma ligação tentativa ao FSB. Diversos grupos também o designam como CozyCar, CozyDuke, Dark Halo, The Dukes, Midnight Blizzard, NOBELIUM, Office Monkeys, StellarParticle e UNC2452, com uma ligação tentativa ao grupo hacker russo YTTRIUM. A Symantec informou que o Cozy Bear vinha comprometendo organizações diplomáticas e governos nacionais desde pelo menos 2010. A revista Der Spiegel publicou, em 2023, documentos que supostamente ligam a empresa russa de TI NTC Vulkan a operações do Cozy Bear.
Métodos de intrusão thumb|Diagrama que descreve o processo usado pelo Cozy Bear e pelo Fancy Bear para penetrar alvos com malware Foi observado que o APT29 utiliza uma plataforma de malware apelidada de "Duke", que o Kaspersky Lab relatou em 2013 como "MiniDuke", observada em 2008 contra alvos nos Estados Unidos e na Europa Ocidental. O seu desenvolvimento inicial teria sido em linguagem assembly. Após a divulgação pública da Kaspersky, versões posteriores passaram a incluir componentes em C/C++ e recursos adicionais de anti-análise, que receberam os nomes "CozyDuke", "CosmicDuke", "SeaDuke" e "OnionDuke".
Observou-se que o Cozy Bear usa um exploit inicial ou um e-mail de phishing com anexos maliciosos para carregar um dropper, que instala uma variante de Duke como um cavalo de troia persistente no computador-alvo. Em seguida, recolhe e envia dados para um servidor de comando e controle com base em sua configuração e/ou em comandos ao vivo dos operadores. Também foi observado que o Cozy Bear atualiza e refina seu malware para melhorar a criptografia, a funcionalidade interativa e os mecanismos de anti-análise, incluindo detecção de máquinas virtuais.
O CosmicDuke foi observado em 2013 como uma versão atualizada do MiniDuke com uma estrutura de plugins mais flexível. Em 2014, o OnionDuke explorou a rede Tor para ocultar o seu tráfego de comando e controle e foi distribuído infectando executáveis binários em tempo real quando eram transmitidos sem encriptação por um nó de saída Tor baseado na Rússia. O "SeaDuke" parece ser um trojan especializado, usado em conjunto com outras ferramentas para comprometer alvos de alto valor.
Relatos indicam que o grupo desenvolveu o trojan "HAMMERTOSS" em 2015 para evitar detecção, retransmitindo comandos por canais encobertos no Twitter e no GitHub.
Campanhas de intrusão Observou-se que o Cozy Bear mira e compromete organizações e governos estrangeiros em todo o mundo, inclusive países opositores da Rússia, como a NATO e a aliança Cinco Olhos, bem como o setor comercial, notadamente os ramos financeiro, manufatureiro, energético e de telecomunicações. Os alvos também incluíram a América do Sul e a Ásia, sobretudo China e Coreia do Sul. Os Estados Unidos são um alvo frequente, incluindo a campanha de Clinton de 2016, partidos políticos (DNC, RNC), várias agências do poder executivo, o Departamento de Estado e a Casa Branca.
Intrusão em agências do governo dos Estados Unidos (2014) O malware do Cozy Bear foi descoberto, em março de 2014, em um instituto privado de pesquisa sediado em Washington, D.C.. Usando contas comprometidas nessa organização, o grupo enviou e-mails de phishing a outros alvos do governo dos Estados Unidos, explorando um ficheiro Flash malicioso que alegava mostrar "macacos de escritório engraçados". Em julho, o grupo já havia comprometido várias redes governamentais.
Exposição pela inteligência neerlandesa (2014) No verão de 2014, o Serviço Geral de Inteligência e Segurança neerlandês (AIVD) infiltrou-se na rede de câmaras usada pelo escritório físico do Cozy Bear. Essas imagens confirmaram o direcionamento contra o Partido Democrata dos Estados Unidos, o Departamento de Estado e a Casa Branca, e podem ter sido usadas na investigação do FBI sobre a interferência russa nas eleições de 2016 nos Estados Unidos.
Intrusão em servidores de e-mail do Pentágono (2015) Em agosto de 2015, o Cozy Bear foi ligado a uma campanha de spear phishing contra o Pentágono, cuja investigação resultante levou ao desligamento de todo o sistema de e-mail não classificado do Estado-Maior Conjunto.
Intrusão no Comitê Nacional Democrata dos Estados Unidos (2016) O Cozy Bear e o também russo Fancy Bear (provavelmente ligado ao GRU) foram identificados como responsáveis por perpetuar a intrusão no Comitê Nacional Democrata. Embora os dois grupos estivessem presentes nos servidores do DNC ao mesmo tempo, pareciam operar de forma independente. Confirmando ainda mais essa independência, a informática forense determinou que o Fancy Bear havia comprometido o DNC por apenas algumas semanas, enquanto o Cozy Bear o fizera por mais de um ano.
Tentativa de intrusão em think tanks e ONGs dos Estados Unidos (2016) Após a eleição presidencial nos Estados Unidos em 2016, o Cozy Bear foi ligado a campanhas de spear phishing contra diversos think tanks e organizações não governamentais (ONGs) sediados nos Estados Unidos, relacionados com segurança nacional, defesa, assuntos internacionais, políticas públicas e estudos europeus e asiáticos. Alguns e-mails foram enviados a partir de contas comprometidas de Harvard.
Tentativa de intrusão no governo da Noruega (2017) Em 3 de fevereiro de 2017, o Serviço de Segurança da Polícia Norueguesa (PST) informou que o Cozy Bear havia lançado campanhas de spear phishing contra pelo menos nove indivíduos distribuídos entre o Ministério da Defesa, o Ministério dos Negócios Estrangeiros e o Partido Trabalhista, em janeiro de 2017. Outros alvos incluíam a Autoridade Norueguesa de Proteção Radiológica e membros do próprio serviço de segurança policial, incluindo o chefe de seção Arne Christian Haugstøyl. A primeira-ministra norueguesa Erna Solberg chamou os atos de "um ataque sério às nossas instituições democráticas".
Tentativa de intrusão em ministérios neerlandeses (2016–2017) Segundo notícia publicada em fevereiro de 2017, tanto o Cozy Bear quanto o Fancy Bear tentavam comprometer ministérios neerlandeses desde 2016. Entre os alvos estava o Ministério dos Assuntos Gerais. O então chefe do AIVD, Rob Bertholee, afirmou no programa televisivo EenVandaag que a intrusão russa tinha como alvo documentos governamentais.
Em resposta, o então Ministro do Interior e das Relações do Reino dos Países Baixos Ronald Plasterk anunciou que as eleições gerais nos Países Baixos em 2017 seriam contadas manualmente.
Variantes Duke e Operação Ghost (2019) Em 2019, a ESET informou que três variantes de malware haviam sido atribuídas ao Cozy Bear: PolyglotDuke, RegDuke e FatDuke. O malware teria aprimorado seus métodos de anti-análise e sido observado em campanhas de intrusão apelidadas de "Operation Ghost".
Tentativa de roubo de dados de vacinas contra a COVID-19 (2020) Em julho de 2020, agências de inteligência da aliança Cinco Olhos, a NSA, o National Cyber Security Centre do Reino Unido e o Communications Security Establishment do Canadá informaram que o Cozy Bear havia tentado obter dados sobre vacinas contra a COVID-19 por meio de campanhas de intrusão.
Ataque à cadeia de suprimentos com o malware SUNBURST (2020) Em 8 de dezembro de 2020, a empresa norte-americana de cibersegurança FireEye revelou que as suas ferramentas internas haviam sido roubadas por um Estado nacional. Investigações posteriores implicaram um comprometimento interno das implantações de software do produto de gestão de TI Orion, da SolarWinds, para distribuir um trojan que a FireEye apelidou de SUNBURST. A SolarWinds mais tarde confirmou que havia sido comprometida por um Estado estrangeiro. A Cybersecurity and Infrastructure Security Agency (CISA) dos Estados Unidos emitiu então uma diretriz de emergência para que agências governamentais reconstruíssem o software afetado a partir de fontes confiáveis, além de atribuir a campanha de intrusão ao SVR russo. Aproximadamente 18 mil clientes da SolarWinds foram expostos ao software Orion comprometido. Estimativas baseadas na atividade de DNS C2 indicam que cerca de 1% desses clientes foi selecionado para operações de segundo estágio, nas quais os perpetradores instalaram portas dos fundos para controlar remotamente as instalações vulneráveis da SolarWinds. O The Washington Post citou fontes anónimas que atribuíram o ataque ao Cozy Bear.
Segundo a Microsoft, os hackers comprometeram certificados de assinatura de código da SolarWinds e implantaram uma porta dos fundos que permitia personificar a conta de utilizador de um alvo por meio de uma definição maliciosa de Security Assertion Markup Language.
Intrusão em agências civis dos Estados Unidos (2020) Em 20 de dezembro de 2020, o governo dos Estados Unidos informou que o Cozy Bear fora responsável por comprometer as redes de agências civis, como o Departamento de Comércio e o Departamento do Tesouro.
Intrusão no Comitê Nacional Republicano dos Estados Unidos (2021) Em julho de 2021, o Cozy Bear invadiu sistemas do Comitê Nacional Republicano. Autoridades afirmaram acreditar que o ataque foi conduzido por meio da Synnex, uma fornecedora terceirizada de TI comprometida.
Bypasses de autenticação no Active Directory (2021–2022) Em 2021, a Microsoft informou que o Cozy Bear vinha usando a ferramenta "FoggyWeb" para extrair tokens de autenticação de instâncias comprometidas do Active Directory. Isso era feito após o grupo obter acesso a uma máquina da rede-alvo e conseguir credenciais de administrador do AD. Em 24 de agosto de 2022, a Microsoft informou que o grupo implantou uma ferramenta semelhante, "MagicWeb", para contornar a autenticação de utilizadores em servidores afetados do Active Directory Federation Services.
Intrusão na Microsoft (2024) Em janeiro de 2024, a Microsoft informou ter descoberto e encerrado recentemente uma violação iniciada em novembro anterior nas contas de e-mail de integrantes da sua alta liderança e de outros funcionários das equipes jurídica e de cibersegurança, usando uma técnica de password spray, uma forma de ataque de força bruta. Esse ataque, conduzido pelo Midnight Blizzard, pareceu ter como objetivo descobrir o que a empresa sabia sobre a própria operação de invasão.
Intrusão na TeamViewer (2024) A empresa alemã de tecnologia TeamViewer SE informou, em 28 de junho de 2024, que sua rede corporativa de TI havia sido comprometida pelo Cozy Bear. A companhia declarou que os dados dos utilizadores e o seu produto TeamViewer de acesso remoto não foram afetados.
Ver também Interferência russa nas eleições nos Estados Unidos em 2016 The Plot to Hack America Vulkan files leak
Ligações externas Russian government employees charged in hacking campaigns