Laundry Bear, también conocido como Void Blizzard, es un actor hostil ruso identificado recientemente. La inteligencia holandesa (AIVD y MIVD) junto a Microsoft revelaron información sobre este grupo.
Actividades del grupo
Las actividades de Laundry Bear se remontan al menos a 2024. El grupo se centra en el ciberespionaje, utilizando entornos de correo electrónico en la nube, especialmente servidores Microsoft Exchange.
Laundry Bear utiliza cuentas comprometidas sin elevar privilegios para acceder a correos electrónicos y archivos. El grupo obtiene credenciales válidas, por ejemplo del mercado negro, para acceder a sistemas.
Objetivos principales
Los objetivos principales de Laundry Bear son países occidentales como la Unión Europea y la OTAN. También se han identificado intereses en el lejano Oriente y Asia central, aunque estos parecen residuales.
Más allá del ámbito militar, Laundry Bear también se ha centrado en organizaciones civiles, especialmente en el sector tecnológico. Sus objetivos incluyen infraestructuras críticas, ONGs, partidos políticos, medios de comunicación y entornos sanitarios o educativos.
Técnicas utilizadas
Las operaciones de Laundry Bear son ágiles, probablemente gracias a cierta automatización. Utiliza técnicas Living-off-the-Land, incluyendo password spraying para aprovechar credenciales robadas.
Una vez obtenido acceso, descarga información sin elevar privilegios, como la Global Address List (GAL) de Microsoft Exchange.
Relación con otros grupos
La inteligencia holandesa señala ciertas similitudes entre las operaciones de Laundry Bear y el modus operandi de APT28, pero concluye que son grupos distintos. Microsoft relaciona los objetivos de Laundry Bear con los de APT28 y Sandworm Team.