APT29 (Cozy Bear) залишається однією з найактивніших кіберрозвідувальних груп, пов’язаних із російськими спецслужбами. Їхній підхід побудований не на “швидких” атаках, а на довготривалому доступі, роботі з обліковими даними та поступовому закріпленні всередині інфраструктури.
У звіті розбирається типовий ланцюг атаки APT29 — від OSINT-збору, фішингової доставки та шкідливих RDP/HTML-файлів до компрометації Azure AD, закріплення через service principal та подальшої роботи з Office 365 і хмарними середовищами. Окремо розглядаються техніки, які регулярно фігурують у кампаніях останніх років: DLL sideloading, HTML smuggling, викрадення OAuth-токенів, MFA fatigue та domain fronting.
Матеріал також включає: — сімейства шкідливого ПЗ та їхню функціональність — інфраструктурні патерни та індикатори компрометації — поведінкові індикатори для виявлення та threat hunting — підходи до виявлення активності в Active Directory, endpoint-інфраструктурі та Azure AD — рекомендації щодо зменшення ризиків для cloud-first організацій Окремий акцент зроблено на тому, що значна частина сучасних атак уже будується не навколо самого malware, а навколо цифрових ідентичностей, доступу до хмарних середовищ та довіри між сервісами. У багатьох випадках саме слабкі MFA-політики, застарілі механізми автентифікації та недостатній моніторинг хмарної активності стають точкою входу для компрометації.

SHUM долучається як партнер до спільного проєкту Lex Talionis та OsintVarta.

Проєкт об’єднує команди, що працюють із відкритими джерелами, збором даних та аналітикою щодо військово-промислового комплексу російської федерації та пов’язаних із ним структур. У його межах створюються аналітичні матеріали, візуалізації та дослідження, які допомагають систематизувати інформацію та робити її придатною для подальших розслідувань.

Вже деякий час ми створюємо інструменти та рішення під власні потреби: для OSINT-розслідувань і документування воєнних злочинів. Тепер ми підкріпили R&D-напрямок як GitHub-організацію. Доступ обмежений — ми працюємо з чутливими даними, і це усвідомлене рішення. Якщо ж ви розробник, дослідник або організація і вам цікаво, що ми будуємо — пишіть. Завжди готові обговорити співпрацю.

Ми оновили анкету для волонтерів — саме час подати заявку.

У нас відкриті вакансії — долучитися може кожен, незалежно від досвіду чи фаху. OSINT, кібербезпека, аналітика або журналістика — усі деталі за посиланням.

Разом ми робимо роботу, яка має значення.

Представлений аналітичний звіт демонструє, як APT-групи, пов’язані з ГРУ, працюють у кіберпросторі в межах єдиної скоординованої системи, а не як окремі актори.

У звіті реконструйовано логіку роботи таких підрозділів, як APT28 та APT44, з поясненням того, як кібероперації поєднуються з розвідкою, саботажем та інформаційними кампаніями. Аналіз показує, що така активність зазвичай прив’язана до конкретних подій — війн, виборів, політичних криз, а різні підрозділи виконують визначені ролі в межах спільної системи.