Sandworm: шаблони інфраструктури, оновлені TTP і можливості виявлення

Sandworm — офіційно відстежувана як APT44, FROZENBARENTS і як підрозділ 74455 ГРУ — залишається найактивнішим в оперативному сенсі та найруйнівнішим атакуючим, пов'язаним із державою, що націлюється на українську критичну інфраструктуру. Від початку повномасштабного вторгнення в лютому 2022 року група еволюціонувала від гучних розгортань wiper-ів (AcidPour, CaddyWiper, WhisperGate) до стійкішої позиції закріплення та збору даних.

Цей звіт підсумовує поточну розвідувальну картину AmonSul, зокрема сигнатури відбитків інфраструктури, спостережені під час наших операцій MDR, оновлені механізми закріплення, активні на початку 2025 року, і правила виявлення, перевірені на реальних артефактах Sandworm.

Примітка про обсяг: цей звіт охоплює методи, спостережені в операціях проти українських компаній оборонних технологій і критичної інфраструктури. Деякі описані тут TTP відображають засекречену розвідку, передану клієнтам із реагування на інциденти за NDA; конкретні індикатори узагальнено, щоб захистити поточні розслідування. Повні пакети IOC доступні підписникам на розвідку загроз.

Хто така Sandworm

Sandworm діє в складі Головного управління Генерального штабу Росії (ГРУ), а саме в Головному центрі спеціальних технологій (ГЦСТ) — підрозділ 74455. Міністерство юстиції США офіційно висунуло підрозділу звинувачення у 2020 році за атаки, зокрема NotPetya, атаки на українську енергосистему 2016 і 2022 років та втручання у французькі вибори 2017 року.

Відмінні риси Sandworm порівняно з іншими підрозділами ГРУ (наприклад, APT28/Fancy Bear/підрозділ 26165):

• Руйнівна спроможність. Sandworm підтримує готові до розгортання wiper-інструменти та фреймворки атак на промислові системи керування (ICS). APT28 зосереджена переважно на шпигунстві.
• Експертиза ICS. Група розробила Industroyer (2016) і Industroyer2 (2022) — єдині відомі спеціально створені фреймворки атак на ICS, розгорнуті проти діючої енергетичної інфраструктури.
• Тривалий час присутності. Операції Sandworm часто включають 6–18 місяців попереднього розміщення, перш ніж розгортається руйнівне навантаження. Вони терплячі.
• Фокус на українській інфраструктурі. Хоча група діяла глобально, українські цілі становлять більшість відомих руйнівних операцій від 2015 року.

Еволюція тактик: 2023–2025

Від wiper-ів до закріплення

Від середини 2023 року відбувся помітний зсув в операційному темпі Sandworm. Масштабні розгортання wiper-ів зменшились, а операції прихованого довготривалого доступу зросли. Наша оцінка: це відображає два операційні пріоритети:

1. Збір розвідувальних даних напередодні можливих переговорів. Довготривалий доступ до урядових та оборонних мереж має вищу розвідувальну цінність, ніж їх знищення.
2. Попереднє розміщення для можливої ескалації. Сплячий доступ до критичної інфраструктури — енергетики, водопостачання, зв'язку — зберігає варіанти швидкої ескалації, якщо стратегічна ситуація зміниться.

Оновлені механізми закріплення

Living-off-the-land (LOTL) у великому масштабі. Операції Sandworm 2024–2025 років різко збільшили використання вбудованих засобів Windows і легітимного адміністративного ПЗ, щоб уникнути виявлення. Ми спостерігали підписки WMI, заплановані завдання із застосуванням LOLBin-ів (msiexec, regsvr32, certutil) і зловживання Windows Management Instrumentation (WMI) для латерального переміщення — усе розраховано на розчинення в звичайній корпоративній телеметрії.

Імпланти на VPN і периферійних пристроях. Як і багато витончених атакуючих, Sandworm змістила початковий доступ до периметральних пристроїв — особливо невиправлених VPN-шлюзів, міжмережевих екранів і систем мережевого моніторингу. Коли периферійний пристрій скомпрометовано, імплант важко виявити (обмежена видимість EDR), і він забезпечує постійний повторний вхід, навіть якщо внутрішню мережу очистили. Ми спостерігали цілеспрямовані атаки на Cisco IOS XE (CVE-2023-20198), Ivanti Connect Secure і пристрої Fortinet FortiOS.

Зловживання Active Directory. Після початкового доступу Sandworm послідовно націлюється на контролери домену Active Directory для підвищення привілеїв і закріплення. Елементи поточного сценарію включають зловживання DCSync, підробку квитків Kerberos (Golden/Silver Ticket) і розгортання постійних бекдорів AD через зміну AdminSDHolder. Цей шаблон узгоджується в кількох проєктах із реагування на інциденти 2024 року.

Власні фреймворки C2. Хоча Sandworm історично використовувала комерційні інструменти red team (Cobalt Strike, Metasploit), нещодавні операції розгорнули власні фреймворки C2 із профілями комунікації, розрахованими імітувати легітимний трафік SaaS, — із HTTPS до інфраструктури за CDN, ротацією доменів і технікою domain fronting, щоб обійти мережеве виявлення.

Ключові шаблони інфраструктури

Наведені нижче характеристики для відбитків узгоджуються в інфраструктурі Sandworm, спостереженій в операціях 2024–2025 років. Ці шаблони корисні для ретроспективного полювання на загрози й проактивного блокування:

Вподобання щодо хостинг-провайдерів

Інфраструктура C2 Sandworm послідовно використовує невеликий набір хостинг-провайдерів, які приймають оплату криптовалютою й мають обмежену спроможність реагувати на зловживання. У 2024–2025 роках ми спостерігали кластеризацію навколо кількох провайдерів у Росії, Східній Європі та Центральній Америці. Проактивне блокування діапазонів bulletproof-хостингу — хоч і шумне — суттєво знижує ефективність імплантів, які ще не виявлено.

Характеристики сертифікатів TLS

Сервери C2 Sandworm на скомпрометованій інфраструктурі чи виділеному хостингу послідовно мають сертифікати TLS, видані за 7 днів до використання (короткоживучі, часто через автоматизацію Let's Encrypt). Альтернативні імена суб'єкта сертифіката (Subject Alternative Names) часто містять typosquat-версії доменів легітимних українських урядових чи оборонних організацій. Термін дії сертифікатів зазвичай 30–90 днів.

Інфраструктура DNS

Шаблони реєстрації доменів показують послідовне використання реєстраторів зі слабкою перевіркою особи, оплату криптовалютою та реєстрацію за 2–7 днів до першого використання. Домени часто імітують домени українського уряду (подібні до .gov.ua), військових чи оборонних підрядників за допомогою кириличних гомогліфів або поширених шаблонів typosquatting.

Відбитки JA3/JA4

Власні фреймворки C2 Sandworm мають послідовні відбитки клієнта TLS (JA3/JA4) у різних розгортаннях. Хоча конкретні значення періодично змінюються, базові шаблони узгодження TLS — порядок наборів шифрів, перелік розширень — відрізняються від типових фреймворків C2. Рішення мережевого моніторингу з підтримкою виявлення на основі JA3/JA4 можуть позначати комунікації C2 Sandworm, навіть коли індикатори доменів та IP змінилися.

Можливості виявлення

Виявлення на кінцевих точках

Наведена нижче поведінка на кінцевих точках, хоч і не унікальна для Sandworm, є високоточними індикаторами в контексті інциденту з підозрою на Sandworm:

• Підписки WMI, створені поза вікнами звичайних засобів керування (виявлення: моніторинг створення класів __EventFilter, __EventConsumer і __FilterToConsumerBinding через Sysmon Event ID 19/20/21)
• Заплановані завдання, створені процесами, відмінними від системного планувальника, із закодованим PowerShell у дії завдання (Sysmon Event ID 11, Windows Security 4698)
• certutil.exe або msiexec.exe, що породжують незвичні дочірні процеси або завантажують із URL, відмінних від Windows Update
• Доступ до LSASS із нестандартних процесів (Sysmon Event ID 10 із GrantedAccess 0x1fffff або 0x1010)
• Зміни AdminSDHolder в AD — моніторте зміни ACL на об'єкті AdminSDHolder в контейнері System

Мережеве виявлення

• Сертифікати TLS із Subject Common Name, що відповідає відомим шаблонам доменів українського уряду, але виданими на IP-адреси в неурядових ASN
• DNS-запити до доменів, зареєстрованих протягом 7 днів, — позначайте події першого побачення нового домену для ручного перегляду в середовищах високого ризику
• Шаблони beaconing: комунікації C2 до інфраструктури за CDN з послідовними інтервалами звернення 30–300 секунд і низькою варіацією

Пріоритезація джерел журналів

Для захисників з обмеженою ємністю SIEM наведені нижче джерела журналів дають найвищу цінність виявлення Sandworm на байт обсягу журналів:

1. Телеметрія EDR зі створенням процесів і підписками на події WMI — необхідна для виявлення закріплення LOTL
2. Журнали DNS-запитів — потрібні для збагачення репутації доменів і виявлення комунікацій C2
3. Журнали змін Active Directory — зокрема змін чутливих об'єктів (AdminSDHolder, група Domain Admins, зміни GPO)
4. Журнали периметральних пристроїв (VPN, міжмережевий екран) — потрібні для виявлення експлуатації периферійних пристроїв

Що це означає для оборонних підрядників

Sandworm явно пріоритезує компанії оборонних технологій та їхні ланцюги постачання як цілі. Їхній поточний операційний шаблон — тривалий час присутності, закріплення LOTL, фокус на периферійних пристроях — спеціально призначений обходити моделі безпеки з орієнтацією на периметр, які багато організацій досі застосовують.

З цієї розвідки безпосередньо випливають три захисні пріоритети:

Периметральні пристрої потрібно оновлювати з періодичністю днів, а не кварталів. Перевага Sandworm до експлуатації VPN і міжмережевих екранів означає, що відома вразливість периметрального пристрою — відчинені двері. Вікно усунення між публікацією CVE та експлуатацією Sandworm історично становило 7–14 днів для гучних вразливостей периферійних пристроїв.

Покриття EDR має включати контролери домену. Контролери домену регулярно виключають із розгортань EDR через міркування продуктивності. Послідовне націлення Sandworm на AD робить це виключення неприйнятним. Легкі агенти EDR із моніторингом WMI та змін AD слід розгорнути на кожному DC незалежно від впливу на продуктивність.

Безпека ланцюга постачання не є необов'язковою. У кількох вторгненнях Sandworm у компанії оборонних технологій у 2024 році вектором початкового доступу був довірений постачальник. Постачальник мав слабші засоби безпеки, ніж ціль, перебував під довірою периметра цілі та давав чистий шлях латерального переміщення. Ваша програма безпеки ланцюга постачання має включати обов'язкові базові вимоги безпеки до постачальників із будь-яким мережевим доступом до вашого середовища.

Сервіс розвідки загроз AmonSul надає підписникам повні пакети IOC Sandworm, щотижневі брифінги про атакуючого та потоки STIX/TAXII, сумісні з більшістю платформ SIEM і SOAR. Напишіть нам на welcome@amonsul.tech, щоб отримати пробний доступ.