Två av Rysslands mest beryktade statliga hackergrupper - Gamaredon (kopplad till den ryska civila säkerhetstjänsten FSB) och Turla (knuten till den militära underrättelsetjänsten GRU) - har etablerat en formaliserad operativ allians för att genomföra samordnade cyberangrepp. Enligt en ny granskning från cybersäkerhetsföretaget SentinelLabs i samarbete med brittiska NCSC och amerikanska CISA, överlämnar Gamaredon nu systematiskt komprometterade nätverk till Turlas elithackare. Syftet är att bedriva djupgående spionage mot ukrainska myndigheter, försvarsindustri och diplomatiska beskickningar i Nato-länder.
Samarbetet markerar ett ovanligt och oroväckande brott mot den historiska rivaliteten mellan ryska underrättelsetjänster. Där ryska myndigheter tidigare konkurrerat om resurser och inflytande har kriget i Ukraina framtvingat en centraliserad doktrin där olika statliga grupper delar verktyg, accesser och målinformation för att maximera den strategiska effekten mot västmakterna.
Arbetsfördelningen: Från massfiske till precisionsspionage
Angreppen bygger på en sofistikerad stafettmodell som kombinerar rå volym med teknisk spetskompetens: 1. Inbrytning och massattacker (Gamaredon): Gamaredon fungerar som spjutspetsen som sprider tiotusentals skräddarsydda nätfiskemejl (**phishing) med trojaniserade dokument till anställda inom offentlig sektor och försvarsleverantörer. När en användare klickar installeras en enkel men snabbrörlig bakdörr, ofta baserad på Pterodo-skadlig kod. 2. Filtrering och överlämning (Hand-off): Gamaredon utför en preliminär inventering av det infekterade nätverket. Om målet bedöms vara av strategiskt geopolitiskt eller militärt värde - exempelvis en utländsk ambassad i Kiev eller en tillverkare av drönarkomponenter - kallas Turlas operatörer in. 3. Långvarigt spionage och exfiltrering (Turla):** Turla installerar sina mest avancerade, proprietära spionprogram - såsom TinyTurla-NG och Snake - för att tyst övervaka krypterad e-post, stjäla försvarsplaner och kartlägga nätverksinfrastruktur under månader utan att upptäckas av traditionella antivirusprogram.
Tekniska metoder och dolda ledningsservrar
För att styra attackerna utnyttjar alliansen ett distribuerat nätverk av **C2-servrar** (Command & Control, servrar som angriparna kontrollerar för att fjärrstyra den skadliga koden). Gamaredon använder ofta kapade servrar och dynamiska DNS-tjänster som byts ut flera gånger dagligen för att undgå blockering, medan Turla utnyttjar kapade satellitlänkar och komprometterade routrar hos teleoperatörer för att dölja exfiltreringen av hemligstämplade dokument.
Denna integration innebär att försvarare som lyckas upptäcka och rensa bort Gamaredons synliga skadliga kod ofta missar att Turla redan har etablerat en djupare, osynlig bakdörr i domänkontrollanter eller interna nätverksväxlar.
Så skyddar sig myndigheter och företag mot ryska statshackare
Hotet från den ryska cyberalliansen kräver proaktivt försvar och rigorösa rutiner:
- Identifiera nätfiske och makron: Utbilda personal i att omedelbart rapportera misstänkta e-postmeddelanden som rör geopolitik, officiella myndighetsärenden eller inkallningsorder. Blockera exekvering av makron i Microsoft Office-dokument och скриptfiler (.vbs, .js, .bat) via centrala policys.
- Segmentera administrativa nätverk: Begränsa interna rörelser (lateral movement) så att en komprometterad arbetsstation inte kan nå interna servrar eller domänkontrollanter utan stark flerfaktorsautentisering (MFA).
- Övervaka DNS-avvikelser och nätverksflöden: Konfigurera brandväggar och EDR-system för att larma på högfrekventa DNS-anrop mot nyligen registrerade domäner, vilket är ett karaktäristiskt drag för Gamaredons infrastruktur.
- Genomför djupgående forensisk sanering vid incidenter: Om en enhet i nätverket infekterats av Gamaredon räcker det inte att ominstallera datorn. Hela nätverkets Active Directory och autentiseringsloggar måste granskas för att säkerställa att Turla inte redan tagit över sekundära administrativa konton.
- Dela hotinformation med CERT-SE och säkerhetstjänster: Vid minsta tecken på intrång relaterat till ryska statliga aktörer ska nationella cybersäkerhetscenter kontaktas omedelbart för att säkra bevis och bistå med forensisk sanering.