El clúster Forest Blizzard, también conocido como APT28 o Fancy Bear, ha sido atribuido colectivamente por el Servicio de investigación del Congreso de EEUU a las unidades 26165, 74455 y 54777 del GRU.
Actividades del clúster Forest Blizzard
Desde el inicio de la guerra entre Rusia y Ucrania, las actividades del clúster Forest Blizzard han evolucionado para ser más agresivas y sofisticadas. En mayo de 2022, Forest Blizzard llevó a cabo una campaña dirigida a objetivos ucranianos con el objetivo de robar información confidencial mediante diferentes tácticas, técnicas y procedimientos (TTPs).
Metodología empleada en la campaña
Los correos electrónicos contenían un fichero con extensión .sfx, diseñado para desplegar Credomapv2: un malware en .NET que funciona como un stealer, recolectando información sensible como credenciales o cookies de los navegadores Edge, Chrome y Firefox. Los datos obtenidos eran exfiltrados a través de HTTPS.
Unidades del GRU involucradas
La unidad 26165 ha estado implicada en operaciones contra entidades políticas estadounidenses, incluyendo el Comité Nacional Demócrata, junto a otras entidades como el IRA (Internet Research Agency) y el SVR.
Ciberataques previos del clúster
La Unidad 74455 ha realizado ciberataques como el malware NotPetya en 2017 o la liberación de correos electrónicos robados durante las elecciones presidenciales de 2016.
Operaciones psicológicas y desinformación
La Unidad 54777 se ha focalizado en operaciones psicológicas y campañas de desinformación a gran escala.