Ρωσική Κυβερνοεπίθεση: Η ομάδα Shuckworm επανέρχεται με εξελιγμένες τεχνικές και κλοπή κρίσιμων στρατιωτικών δεδομένων

Μια από τις πιο δραστήριες και επίμονες ρωσικές ομάδες ψηφιακής κατασκοπείας, η Shuckworm, πραγματοποίησε νέα στοχευμένη κυβερνοεπίθεση στην Ουκρανία, αυτή τη φορά χτυπώντας στρατιωτική αποστολή δυτικής χώρας.

Η επίθεση, που εντοπίστηκε για πρώτη φορά στις 26 Φεβρουαρίου 2025, αποκαλύφθηκε από την ομάδα Threat Hunter της Symantec, και φέρεται να συνεχίστηκε και μέσα στον Μάρτιο.

Ποια είναι η Shuckworm

Η ομάδα Shuckworm – γνωστή επίσης ως Gamaredon ή Armageddon – είναι ένα σκιώδες κυβερνοκατασκοπευτικό δίκτυο που δραστηριοποιείται από το 2013, με συνεχή και αυξανόμενη δράση στην Ουκρανία. Από τα πρώτα της βήματα, έχει στοχοποιήσει κυρίως κρατικούς οργανισμούς, στρατιωτικές δομές, αστυνομικές υπηρεσίες και υπηρεσίες πληροφοριών της Ουκρανίας, αξιοποιώντας κακόβουλο λογισμικό σχεδιασμένο για υποκλοπή δεδομένων και διείσδυση σε εσωτερικά δίκτυα. Μετά την προσάρτηση της Κριμαίας από τη Ρωσία το 2014 και την κλιμάκωση των εχθροπραξιών στο Ντονμπάς, η δραστηριότητά της πολλαπλασιάστηκε, φανερώνοντας έναν συστηματικό κυβερνοπόλεμο με στρατηγικούς στόχους.

Η Shuckworm συνδέεται στενά με την Ομοσπονδιακή Υπηρεσία Ασφαλείας της Ρωσίας (FSB), ενώ οι επιθέσεις της χαρακτηρίζονται από απλότητα στον σχεδιασμό αλλά και επιμονή, με καθημερινή αποστολή phishing emails και εγκατάσταση κακόβουλου κώδικα σε κρίσιμες υποδομές. Χρησιμοποιεί συχνά αυτοματοποιημένα scripts, εργαλεία όπως PowerShell, αλλά και κοινωνική μηχανική, επιδιώκοντας τη συλλογή πληροφοριών σε πραγματικό χρόνο. Παρά τον τεχνολογικά «χαμηλό προφίλ» της σε σχέση με πιο εξελιγμένες ρωσικές ομάδες όπως η APT28, η Shuckworm παραμένει ιδιαίτερα αποτελεσματική και επικίνδυνη, ειδικά λόγω της εστίασης της σε στρατιωτικούς και κυβερνητικούς στόχους.

Πώς έγινε η επίθεση

Η μέθοδος που ακολούθησε η ομάδα Shuckworm ήταν ύπουλη, καλοσχεδιασμένη και δύσκολα ανιχνεύσιμη, καθώς συνδύαζε παραδοσιακές τεχνικές κοινωνικής μηχανικής με εξελιγμένες ψηφιακές τακτικές.

Χρησιμοποιήθηκε μολυσμένο USB stick, το οποίο περιείχε ένα αρχείο συντόμευσης τύπου .lnk με την ονομασία D:\files.lnk
Η επίθεση ξεκίνησε όταν ο στόχος συνέδεσε στον υπολογιστή του ένα φαινομενικά ακίνδυνο USB stick. Μέσα σε αυτό υπήρχε ένα ειδικά τροποποιημένο αρχείο συντόμευσης (.lnk), το οποίο με την ενεργοποίησή του εκτελούσε αυτόματα κακόβουλο κώδικα χωρίς να απαιτείται η συναίνεση ή η ενεργή εμπλοκή του χρήστη.

Αυτό το αρχείο ενεργοποιούσε το κακόβουλο πρόγραμμα mishta.exe, το οποίο παρέκαμπτε τις μηχανιστικές άμυνες του συστήματος
Το mishta.exe ήταν σχεδιασμένο να εκμεταλλεύεται αδυναμίες στα πρωτόκολλα ασφάλειας των Windows. Μέσω της χρήσης γνωστών τεχνικών αποφυγής ανίχνευσης (evasion), κατάφερε να παρακάμψει το antivirus και τα εργαλεία προστασίας, δίνοντας στους επιτιθέμενους πλήρη πρόσβαση στο εσωτερικό του συστήματος.

Ακολούθησε εκτέλεση εντολών μέσω του wscript.exe και σύνδεση με Command and Control (C&C) servers
Αφού εξασφαλίστηκε η αρχική διείσδυση, η ομάδα χρησιμοποίησε το εργαλείο wscript.exe για να εκτελέσει σειρά κακόβουλων scripts, τα οποία καθόρισαν τη συμπεριφορά του malware. Παράλληλα, δημιουργήθηκε μια κρυφή σύνδεση με διακομιστές C&C, μέσω των οποίων οι εισβολείς μπορούσαν να ελέγχουν απομακρυσμένα τον υπολογιστή του στόχου, να παρακολουθούν τη δραστηριότητα και να μεταφορτώνουν δεδομένα.

Ξεκίνησε η σταδιακή μόλυνση εξωτερικών δίσκων και κοινόχρηστων φακέλων στο δίκτυο
Η κακόβουλη δραστηριότητα δεν περιορίστηκε στον έναν υπολογιστή. Το κακόβουλο λογισμικό σάρωσε το σύστημα και κάθε συνδεδεμένη μονάδα – είτε επρόκειτο για USB drives, είτε για κοινόχρηστους φακέλους σε τοπικό ή εταιρικό δίκτυο. Ο στόχος ήταν η συλλογή κρίσιμων εγγράφων, κυρίως στρατιωτικού ή κυβερνητικού χαρακτήρα, όπως σχέδια επιχειρήσεων, εντολές άμυνας, αναφορές τραυματιών και διαταγές ανάπτυξης.

Στρατιωτικά δεδομένα στο στόχαστρο

Σύμφωνα με τη Symantec, εντοπίστηκαν αρχεία με στρατιωτικούς τίτλους στα ουκρανικά, όπως:

• Σχέδιο επιχειρήσεων
• Ειδικός έλεγχος
• Έκθεση τραυματισμού
• Διαταγή μάχης αντιαεροπορικής άμυνας
• Απόφαση διοικητή
• Στοιχεία για τους νεκρούς
• Υποστήριξη από τη GUR (στρατιωτική υπηρεσία πληροφοριών)

Αυτά τα αρχεία κλάπηκαν από φακέλους όπως η Επιφάνεια Εργασίας, τα Έγγραφα και οι Λήψεις του υπολογιστή.

Πιο εξελιγμένες τεχνικές από ποτέ

Στην τελευταία τους εκστρατεία, οι κυβερνοκατάσκοποι της ομάδας Shuckworm ανέβασαν επίπεδο, εφαρμόζοντας πιο περίπλοκες και αποτελεσματικές τεχνικές από ποτέ. Στόχος τους: η απόκρυψη της παρουσίας τους, η αποφυγή εντοπισμού και η μεγιστοποίηση της παραμονής τους μέσα σε κρίσιμα συστήματα.

Χρησιμοποίησαν αναβαθμισμένη εκδοχή του εργαλείου GammaSteel, υλοποιημένη σε PowerShell
Το «GammaSteel» είναι ένα κακόβουλο εργαλείο (infostealer) σχεδιασμένο για τη συλλογή και αποστολή ευαίσθητων πληροφοριών. Η συγκεκριμένη έκδοση που χρησιμοποίησε η ομάδα ήταν γραμμένη σε PowerShell, κάτι που καθιστά τον εντοπισμό της ιδιαίτερα δύσκολο. Τα περισσότερα antivirus παρακολουθούν εκτελέσιμα αρχεία (.exe), ενώ τα PowerShell scripts μπορούν να εκτελούνται απευθείας από τη μνήμη, χωρίς ίχνη στο δίσκο (fileless malware), παρακάμπτοντας έτσι παραδοσιακές μεθόδους ανίχνευσης.

Απέστειλαν τα κλεμμένα δεδομένα μέσω της πλατφόρμας write.as
Αντί να χρησιμοποιήσουν servers ελέγχου που μπορούν να εντοπιστούν και να μπλοκαριστούν, οι δράστες αξιοποίησαν την πλατφόρμα δημοσίευσης περιεχομένου write.as για την αποστολή των δεδομένων. Η χρήση μιας νόμιμης και ευρέως γνωστής υπηρεσίας μειώνει την πιθανότητα το δίκτυο προστασίας να επισημάνει την κακόβουλη δραστηριότητα, καθώς η επικοινωνία φαίνεται «φυσιολογική» σε συστήματα επιτήρησης.

Χρησιμοποίησαν το εργαλείο cURL σε συνδυασμό με το δίκτυο Tor για ανώνυμη μεταφορά
Το cURL είναι ένα νόμιμο και ευέλικτο εργαλείο γραμμής εντολών που χρησιμοποιείται ευρέως για μεταφορές δεδομένων μέσω διαδικτύου. Σε αυτή την περίπτωση, το Shuckworm το αξιοποίησε σε συνδυασμό με το δίκτυο Tor, το οποίο παρέχει ανωνυμία, καθιστώντας δύσκολο τον εντοπισμό της τελικής τοποθεσίας των διαρροών. Αυτός ο συνδυασμός επιβεβαιώνει την επιμονή των επιτιθέμενων να διατηρήσουν το αποτύπωμά τους κρυφό από τις αρχές ασφαλείας.

Ανέπτυξαν νέες παραλλαγές κακόβουλου κώδικα με εξελιγμένες τεχνικές απόκρυψης (obfuscation)
Η ομάδα δεν επαναπαύτηκε σε παλιά εργαλεία. Εισήγαγε μικρές αλλά κρίσιμες μετατροπές στον κώδικά της ώστε να παρακάμπτει τις βάσεις δεδομένων γνωστών απειλών των antivirus. Παράλληλα, χρησιμοποίησαν τεχνικές obfuscation — δηλαδή τεχνητή «θόλωση» του κώδικα — ώστε να κρύψουν τη λειτουργία των εντολών, καθιστώντας τον κακόβουλο κώδικα δυσανάγνωστο για αναλυτές και συστήματα προστασίας.

Πολυεπίπεδη και επίμονη εκστρατεία κατασκοπείας

Η πολυπλοκότητα και η ποικιλία στις τεχνικές που χρησιμοποίησε το Shuckworm αποδεικνύουν ότι πρόκειται για μια μακροπρόθεσμη επιχείρηση ψηφιακής κατασκοπείας, σχεδιασμένη όχι μόνο για συλλογή πληροφοριών αλλά και για διατήρηση πρόσβασης στους στόχους για όσο το δυνατόν μεγαλύτερο διάστημα. Οι ενέργειές τους υποδηλώνουν στρατηγικό σχεδιασμό, υψηλό επίπεδο τεχνογνωσίας και συνεχή εξέλιξη των επιθετικών εργαλείων.

Τι σημαίνει αυτό για την ασφάλεια στην Ευρώπη

Η πρόσφατη επίθεση της ομάδας Shuckworm δεν είναι ένα μεμονωμένο περιστατικό. Αντιθέτως, αποτελεί μία ακόμα ένδειξη πως ο κυβερνοχώρος έχει μετατραπεί σε πραγματικό πεδίο μάχης, με ευρύτερες γεωπολιτικές προεκτάσεις. Τι φανερώνει λοιπόν αυτό για την ευρωπαϊκή κυβερνοασφάλεια;

Ο ψηφιακός πόλεμος στην Ουκρανία είναι σε πλήρη εξέλιξη
Η Ουκρανία αποτελεί τον «πρώτο στόχο» ενός συνδυασμού συμβατικών και ψηφιακών επιθέσεων, με στόχο την αποσταθεροποίηση και την εξασθένηση των κρατικών της δομών. Η συγκεκριμένη επίθεση, η οποία αξιοποιεί φυσική πρόσβαση (USB stick), κοινωνική μηχανική και σύγχρονα κακόβουλα εργαλεία, αποδεικνύει πως ο κυβερνοπόλεμος δεν είναι πια θεωρητικός. Είναι ενεργός, πολυμέτωπος και διαρκής. Η Ουκρανία λειτουργεί ουσιαστικά ως «δοκιμαστικό πεδίο» για τεχνικές που ενδέχεται να χρησιμοποιηθούν αργότερα και σε άλλες χώρες.

Οι δυτικές δυνάμεις είναι στο στόχαστρο μέσω της τεχνολογίας
Παρόλο που η επίθεση πραγματοποιήθηκε σε ουκρανικό στόχο, οι μέθοδοι και τα εργαλεία της ομάδας έχουν διεθνή εφαρμογή. Η χρήση παγκόσμιων εργαλείων όπως το PowerShell, το Tor και το cURL, αλλά και η στόχευση κρίσιμων υποδομών και υπηρεσιών, αποκαλύπτουν ότι οι δυτικές κυβερνήσεις, οργανισμοί και ακόμα και ιδιωτικές επιχειρήσεις αποτελούν επόμενο πιθανό στόχο. Ο τεχνολογικός εξοπλισμός και τα πληροφοριακά συστήματα των χωρών της Ε.Ε. πρέπει πλέον να θεωρούνται ευθέως απειλούμενα.

Η προστασία κρίσιμων υποδομών και δεδομένων είναι πιο απαραίτητη από ποτέ
Η κυβερνοασφάλεια παύει να είναι θέμα αποκλειστικά IT. Γίνεται στρατηγική προτεραιότητα για τις κυβερνήσεις, τους οργανισμούς και τις επιχειρήσεις. Η ασφάλεια δικτύων, υπολογιστικών συστημάτων, βάσεων δεδομένων και φυσικών σημείων πρόσβασης (όπως θύρες USB ή κοινόχρηστοι φάκελοι) είναι πλέον βασική γραμμή άμυνας απέναντι σε καλά οργανωμένες κρατικά υποστηριζόμενες απειλές. Επιπλέον, η ανάγκη για εκπαίδευση προσωπικού και ανάπτυξη εθνικών στρατηγικών κυβερνοασφάλειας αναδεικνύεται επιτακτική.

Πώς να προστατευτείτε από παρόμοιες επιθέσεις

Οι επιθέσεις τύπου USB-based malware και συνδυασμένες τεχνικές παρακολούθησης όπως αυτή της ομάδας Shuckworm, είναι ιδιαίτερα επικίνδυνες επειδή εκμεταλλεύονται τόσο ανθρώπινα λάθη όσο και τεχνικά κενά ασφαλείας. Παρακάτω παραθέτουμε πρακτικά μέτρα προστασίας που μπορούν να εφαρμοστούν σε κάθε οργανισμό – αλλά και από μεμονωμένους χρήστες:

Περιορισμός της φυσικής πρόσβασης σε συσκευές
Απενεργοποιήστε τις θύρες USB σε μη εξουσιοδοτημένους υπολογιστές ή εφαρμόστε πολιτικές πρόσβασης με χρήση μόνο προκαθορισμένων USB (whitelisting). Η φυσική πρόσβαση παραμένει ένα από τα πιο παραγνωρισμένα σημεία ευπάθειας.

Εκπαίδευση προσωπικού στην αναγνώριση απειλών
Οι περισσότεροι κυβερνοεπιτιθέμενοι βασίζονται στη “κοινωνική μηχανική” για να πείσουν τον χρήστη να ενεργοποιήσει ένα ύποπτο αρχείο. Η τακτική εκπαίδευση σε θέματα κυβερνοασφάλειας είναι η πρώτη γραμμή άμυνας.

Εφαρμογή κανόνων least privilege και περιορισμένης πρόσβασης
Ακόμα και αν ένα κακόβουλο αρχείο εκτελεστεί, οι ζημιές μπορεί να περιοριστούν σημαντικά αν οι χρήστες δεν έχουν δικαιώματα διαχειριστή. Οι πολιτικές least privilege μειώνουν τον αντίκτυπο ενός συμβάντος.

Εγκατάσταση και ενημέρωση συστημάτων endpoint protection
Επιλέξτε σύγχρονα και εξελιγμένα λογισμικά ασφαλείας που υποστηρίζουν συμπεριφορική ανάλυση, ανίχνευση σε πραγματικό χρόνο, και προστασία από scripts. Η απλή υπογραφή ιών δεν αρκεί πια.

Καταγραφή και επιτήρηση δραστηριοτήτων συστήματος (logging & monitoring)
Χρησιμοποιήστε εργαλεία SIEM για να εντοπίζετε έγκαιρα ασυνήθιστες ενέργειες, όπως η ανεξήγητη χρήση του PowerShell ή απόπειρες σύνδεσης με C2 servers.

Καραντίνα και απομόνωση εξωτερικών μέσων πριν τη χρήση
Εφαρμόστε πολιτικές ελέγχου σε οποιοδήποτε USB ή εξωτερική συσκευή εισάγεται στο δίκτυο — είτε μέσω sandbox είτε μέσω offline scanning. Ποτέ μην εμπιστεύεστε «άγνωστα» USB.

Περιορισμός της πρόσβασης στο διαδίκτυο για κρίσιμα συστήματα
Αν κάποια συστήματα δεν χρειάζονται σύνδεση στο διαδίκτυο, είναι καλό να παραμένουν απομονωμένα. Ένα air-gapped σύστημα είναι σημαντικά δυσκολότερο να μολυνθεί ή να εξάγει δεδομένα.

Επίλογος

Η Shuckworm συνεχίζει τη δράση της με πιο ύπουλες και τεχνικά έξυπνες επιθέσεις, στοχεύοντας δεδομένα υψηλής αξίας. Η συγκεκριμένη επίθεση επιβεβαιώνει πως οι στρατιωτικές επιχειρήσεις στην Ουκρανία παρακολουθούνται στενά – όχι μόνο από drones και δορυφόρους, αλλά και από πληκτρολόγια και κώδικα.

1. Αναβάθμιση των επιθέσεων με πιο εξελιγμένες τεχνικές

• Η ομάδα Shuckworm δείχνει να εξελίσσεται διαρκώς, εφαρμόζοντας πιο προηγμένα εργαλεία και τεχνικές για να αποφύγει τον εντοπισμό. Με τη χρήση εργαλείων όπως το PowerShell, και συγκεκριμένα την αναβάθμιση του GammaSteel, η Shuckworm είναι ικανή να εκτελεί επιθέσεις με μικρότερο κίνδυνο ανίχνευσης από παραδοσιακά λογισμικά ασφαλείας (antivirus). Οι επιθέσεις πλέον περιλαμβάνουν τεχνικές απόκρυψης (obfuscation) που κάνουν τον κακόβουλο κώδικα πιο δύσκολο να εντοπιστεί και να αναλυθεί.

2. Η στρατηγική στόχευσης υψηλής αξίας δεδομένων

• Οι επιθέσεις της Shuckworm δεν είναι τυχαίες. Στοχεύουν σε εξαιρετικά ευαίσθητα δεδομένα που σχετίζονται με στρατιωτικές επιχειρήσεις, σχέδια και πληροφορίες άμεσης σημασίας για την ασφάλεια της Ουκρανίας και των συμμάχων της. Η συγκέντρωση αυτών των δεδομένων, μπορεί να προσφέρει στρατηγικό πλεονέκτημα, επιτρέποντας στους επιτιθέμενους να προσαρμόσουν τις επόμενες κινήσεις τους ή να αποσταθεροποιήσουν τις προσπάθειες των αντιπάλων τους.

3. Η τεχνική υποκλοπής δεδομένων μέσω κακόβουλων αρχείων USB

• Η Shuckworm αποδεικνύει για άλλη μία φορά, πως η χρήση φυσικών μέσων (όπως τα USB sticks) για την εισαγωγή κακόβουλου λογισμικού είναι μια παραδοσιακή, αλλά αποτελεσματική μέθοδος. Στην περίπτωση αυτή, το μολυσμένο USB stick ενεργοποιεί ένα κακόβουλο αρχείο (.lnk), το οποίο μπορεί να παρακάμψει τα υπάρχοντα μέτρα ασφαλείας και να επιτρέψει στους επιτιθέμενους να εγκαταστήσουν κακόβουλο λογισμικό στο σύστημα στόχο.

4. Η εξάπλωση της επίθεσης μέσω δικτύου και αποθήκευσης

• Με την προσβολή μίας συσκευής, η Shuckworm χρησιμοποιεί το δίκτυο και τους εξωτερικούς δίσκους για να μολύνει άλλες συσκευές και αρχεία, επεκτείνοντας την επίθεση σε όλο το δίκτυο. Αυτή η στρατηγική βοηθά στην κατηγοριοποίηση και στόχευση δεδομένων που μπορεί να θεωρηθούν κρίσιμης στρατηγικής σημασίας για τη στρατιωτική αποστολή, δημιουργώντας έτσι αλυσιδωτές επιπτώσεις για την ασφάλεια του δικτύου.

5. Στρατηγική παρακολούθησης και εξαγωγής δεδομένων

• Η Shuckworm δεν περιορίζεται μόνο στην αποδοχή και καταγραφή των δεδομένων, αλλά χρησιμοποιεί προηγμένες τεχνικές για την ανώνυμη εξαγωγή τους. Με τη χρήση εργαλείων όπως το cURL και το Tor, οι επιτιθέμενοι μπορούν να μεταφέρουν δεδομένα χωρίς να εντοπίζονται, παρακάμπτοντας τα συστήματα ασφαλείας που ενδέχεται να έχουν εγκατασταθεί για να παρακολουθούν επικοινωνίες.

6. Η σημασία του ψηφιακού πολέμου στην τρέχουσα γεωπολιτική κατάσταση

• Αυτή η επίθεση ενισχύει την πεποίθηση πως ο ψηφιακός πόλεμος είναι πλέον ένα σημαντικό μέρος των γεωπολιτικών συγκρούσεων. Οι στρατιωτικές και πολιτικές δυνάμεις δεν επηρεάζονται μόνο από στρατηγικές κινήσεις στο πεδίο της μάχης, αλλά και από τις κυβερνοεπιθέσεις που στοχεύουν την υποδομή τους. Στην περίπτωση της Ουκρανίας, ο πόλεμος δεν περιορίζεται στις φυσικές μάχες, αλλά εκτείνεται και στον κυβερνοχώρο, όπου οι στρατηγικές πληροφορίες μπορούν να κλαπούν ή να παραποιηθούν.

7. Η ανάγκη για ενίσχυση της ασφάλειας και της θωράκισης των κρίσιμων υποδομών

Η συγκεκριμένη επίθεση υπογραμμίζει την αναγκαιότητα για αυξημένη προστασία των κρίσιμων υποδομών και των ευαίσθητων δεδομένων, τόσο στον στρατιωτικό όσο και στον πολιτικό τομέα. Η προστασία από κακόβουλες επιθέσεις, η ενίσχυση της ψηφιακής ασφάλειας και η εκπαίδευση των χρηστών είναι απαραίτητα βήματα για να διασφαλιστεί η ακεραιότητα και η συνέχιση της λειτουργίας των κρίσιμων συστημάτων.