Oso acogedor

El malware Cozy Bear fue descubierto en un instituto de investigación privado con sede en Washington, D.C., en marzo de 2014. Utilizando cuentas comprometidas en esa organización, enviaron correos electrónicos de phishing a otros objetivos del gobierno estadounidense aprovechando un archivo Flash malicioso que supuestamente mostraba "monos de oficina graciosos". ^{[ 17 ] [ 1 ]} Para julio, el grupo había comprometido varias redes gubernamentales. ^{[ 17 ]}

En el verano de 2014, el Servicio General de Inteligencia y Seguridad de los Países Bajos (AIVD) se infiltró en la red de cámaras utilizada por la oficina física de Cozy Bear. Estas imágenes confirmaron el ataque dirigido contra el Partido Demócrata de EE. UU., el Departamento de Estado y la Casa Blanca, y podrían haber sido utilizadas en la investigación del FBI sobre la injerencia rusa en las elecciones de 2016. ^{[ 6 ] [ 26 ]}

En agosto de 2015, Cozy Bear fue vinculado a una campaña de spear phishing contra el Pentágono , cuya investigación provocó el cierre de todo el sistema de correo electrónico no clasificado del Estado Mayor Conjunto . ^{[ 27 ] [ 28 ]}

Cozy Bear y el grupo de hackers rusos Fancy Bear (probablemente el GRU ) fueron identificados como los responsables de la intrusión en el Comité Nacional Demócrata . ^{[ 2 ]} Si bien ambos grupos estuvieron presentes en los servidores del DNC al mismo tiempo, parecían operar de forma independiente. ^{[ 29 ]} Confirmando aún más sus operaciones independientes, el análisis forense informático determinó que Fancy Bear solo había comprometido al DNC durante unas pocas semanas, mientras que Cozy Bear lo había hecho durante más de un año. ^{[ 30 ]}

Tras las elecciones presidenciales de Estados Unidos de 2016 , Cozy Bear fue vinculado a campañas de spear phishing dirigidas contra varios centros de estudios y organizaciones no gubernamentales (ONG) estadounidenses relacionadas con la seguridad nacional, la defensa, los asuntos internacionales, las políticas públicas y los estudios europeos y asiáticos. Algunos correos electrónicos fueron enviados desde cuentas de Harvard comprometidas . ^{[ 31 ]}

El 3 de febrero de 2017, el Servicio de Seguridad de la Policía Noruega (PST) informó que Cozy Bear había lanzado campañas de spear phishing contra al menos nueve personas en el Ministerio de Defensa , el Ministerio de Asuntos Exteriores y el Partido Laborista en enero de 2017. ^{[ 32 ]} Otros objetivos incluían a la Autoridad Noruega de Protección Radiológica y miembros del Servicio de Seguridad de la Policía Noruega , incluido el jefe de sección Arne Christian Haugstøyl. La primera ministra noruega, Erna Solberg, calificó los actos como "un grave ataque a nuestras instituciones democráticas". ^{[ 33 ]}

Según se informó en febrero de 2017, tanto Cozy Bear como Fancy Bear habían estado intentando infiltrarse en ministerios neerlandeses desde 2016. Entre los objetivos se encontraba el Ministerio de Asuntos Generales . El entonces jefe del servicio de inteligencia neerlandés AIVD, Rob Bertholee , declaró en la cadena de televisión EenVandaag que la intrusión rusa había tenido como objetivo documentos gubernamentales. ^{[ 34 ]}

En respuesta, el ministro neerlandés del Interior y de Relaciones del Reino, Ronald Plasterk, anunció que las elecciones generales neerlandesas de marzo de 2017 se contarían a mano . ^{[ 35 ]}

En 2019, ESET informó que se habían atribuido tres variantes de malware a Cozy Bear: PolyglotDuke, RegDuke y FatDuke. Según los informes, el malware había mejorado sus métodos anti-análisis y se había observado su uso en campañas de intrusión denominadas "Operación Ghost". ^{[ 36 ]}

En julio de 2020, las agencias de inteligencia de Five Eyes, NSA , NCSC y CSE, informaron que Cozy Bear había intentado obtener datos de la vacuna contra la COVID-19 mediante campañas de intrusión. ^{[ 37 ] [ 38 ] [ 39 ] [ 40 ] [ 4 ]}

El 8 de diciembre de 2020, la empresa estadounidense de ciberseguridad FireEye reveló que sus herramientas internas habían sido robadas por un Estado nación. ^{[ 41 ] [ 42 ]} Investigaciones posteriores implicaron una vulneración interna de las implementaciones de software del producto de gestión de TI SolarWinds Orion para distribuir un troyano que FireEye denominó SUNBURST. ^{[ 43 ]} SolarWinds confirmó más tarde que había sido vulnerado por un Estado nación extranjero. ^{[ 44 ]} y la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) emitió una directiva de emergencia para que las agencias gubernamentales estadounidenses reconstruyeran el software afectado a partir de fuentes confiables. También atribuyó la campaña de intrusión al SVR ruso. ^{[ 45 ]} Aproximadamente 18.000 clientes de SolarWinds eran vulnerables al software Orion vulnerado. ^{[ 46 ]} Las estimaciones basadas en la actividad DNS C2 indican que alrededor del uno por ciento de estos clientes de SolarWinds fueron seleccionados para operaciones de segunda etapa, donde los perpetradores instalaron puertas traseras para controlar remotamente las instalaciones vulnerables de SolarWinds. ^{[ 47 ]} El Washington Post citó fuentes anónimas que atribuyeron a Cozy Bear como el perpetrador. ^{[ 48 ] [ 4 ]}

Según Microsoft, ^{[ 49 ]} los piratas informáticos comprometieron los certificados de firma de código de SolarWinds e implementaron una puerta trasera que permitía la suplantación de la cuenta de usuario de un objetivo a través de una definición maliciosa de Security Assertion Markup Language . ^{[ 50 ]}

El 20 de diciembre de 2020, el Gobierno de los Estados Unidos informó que Cozy Bear fue responsable de comprometer las redes de las agencias civiles del Departamento de Comercio y del Departamento del Tesoro . ^{[ 51 ]}

En julio de 2021, Cozy Bear vulneró los sistemas del Comité Nacional Republicano . ^{[ 52 ] [ 53 ]} Los funcionarios dijeron que creían que el ataque se había llevado a cabo a través de Synnex , un proveedor de TI externo comprometido. ( ^{[ 52 ]} )

En 2021, Microsoft informó que Cozy Bear estaba utilizando la herramienta "FoggyWeb" para extraer tokens de autenticación de instancias de Active Directory comprometidas . Esto se realizó después de que obtuvieron acceso a una máquina en la red objetivo y consiguieron credenciales de administrador de AD. ^{[ 54 ]} El 24 de agosto de 2022, Microsoft informó que el grupo había implementado una herramienta similar, "MagicWeb", para eludir la autenticación de usuarios en los servidores de Active Directory Federated Services afectados . ^{[ 55 ]}

En enero de 2024, Microsoft informó haber descubierto y finalizado recientemente una brecha de seguridad iniciada en noviembre anterior en las cuentas de correo electrónico de sus altos directivos y otros empleados de los equipos legales y de ciberseguridad, mediante un ataque de fuerza bruta ( "password spray") . Este ataque, llevado a cabo por Midnight Blizzard, parece haber tenido como objetivo averiguar qué sabía la empresa sobre la operación de piratería informática. ^{[ 56 ]}

La empresa tecnológica alemana TeamViewer SE informó el 28 de junio de 2024 que su red informática corporativa había sido comprometida por Cozy Bear. ^{[ 57 ]} Afirmó que los datos de los usuarios y su software de escritorio remoto TeamViewer no se vieron afectados. ^{[ 58 ]}