HackerNews 编译，转载请注明出处：
网络安全公司ESET发现证据表明，与俄罗斯有关联的黑客组织 Gamaredon 和 Turla协作， 于 2025 年 2 月至 4 月期间展开了针对乌克兰的网络攻击。
与俄罗斯有关联的高级持续性威胁（APT）组织 Gamaredon（又名 Shuckworm、Armageddon、Primitive Bear、ACTINIUM、Callisto），自 2013 年起便以乌克兰政府、执法部门及国防机构为攻击目标，这一点已为外界所熟知。
另一个 APT 组织 Turla（又名 Snake、Uroburos、Waterbug、Venomous Bear、KRYPTON）至少自 2004 年起开始活跃，其攻击范围覆盖中东、亚洲、欧洲、北美及南美地区，目标包括外交机构、政府组织及私营企业，同时也涉及前苏联加盟共和国。
Turla 隶属于俄罗斯联邦安全局（FSB）的 16 中心 —— 该中心是克格勃（KGB）负责对外情报的第 16 总局的继承者；而 Gamaredon 则与 FSB 的 18 中心存在关联，该中心的前身是克格勃负责国内安全的第 2 总局。这两个部门在过去便常有合作，如今职责仍存在重叠，在针对乌克兰的行动中表现尤为明显。尽管俄罗斯各情报机构间竞争激烈，但同一部门下属的组织往往会展开协作，此次 Turla 与 Gamaredon 的联手便是典型案例。
ESET 研究人员表示，这两个得到俄罗斯政府支持的黑客组织，在 2025 年 2 月至 4 月对乌克兰的网络攻击中进行了合作：Gamaredon 先部署自有工具重启目标系统，随后在选定的乌克兰目标设备上植入 Turla 的恶意软件。这种罕见的协作模式表明，不同威胁行为者可通过协同行动扩大攻击影响力，在紧张的地缘政治背景下，加剧了对乌克兰关键系统攻击的复杂性与持久性。
2025 年初，ESET 在乌克兰发现了四起 “双组织协同入侵” 事件：在这些事件中，Gamaredon 部署了 PteroLNK、PteroGraphin 等多款工具，而 Turla 则植入了 Kazuar 恶意软件。在某一台受感染设备上，Turla 甚至利用 Gamaredon 的植入程序重启了自身的 Kazuar 恶意软件，这一行为直接证明了两个网络间谍组织之间存在主动协作。此后，Gamaredon 还直接部署了 Kazuar v2 版本恶意软件，这进一步印证了 Turla 对 Gamaredon 的依赖 —— 后者为其获取乌克兰关键目标的访问权限提供了支持。专家指出，这是首次发现两个组织之间存在技术层面的关联证据。
ESET 发布的报告中写道：“2025 年 2 月，通过 ESET 的遥测数据，我们在乌克兰发现了四起 Gamaredon 与 Turla 协同入侵的案例。在这些受感染设备上，Gamaredon 部署了多款工具，包括 PteroLNK、PteroStew、PteroOdd、PteroEffigy 及 PteroGraphin，而 Turla 仅部署了 Kazuar v3 版本恶意软件。”
在过去 18 个月中，研究人员在乌克兰的 7 台设备上追踪到了 Turla 的活动痕迹。其中 4 台设备于 2025 年 1 月先被 Gamaredon 入侵，随后 Turla 在次月（2 月）在这些设备上部署了 Kazuar v3。在此之前，Turla 最近一次在乌克兰发起攻击可追溯至 2024 年 2 月。Gamaredon 采用 “大规模感染” 策略，在乌克兰境内广泛传播恶意软件；而 Turla 则采取 “精选目标” 策略，仅选择最具价值的系统（很可能是存储敏感情报的设备）发动攻击，这一行为印证了其对高价值间谍目标的专注。
这两个与俄罗斯联邦安全局（FSB）相关联的 APT 组织，显然在针对乌克兰的行动中展开了协作。Gamaredon 此前就有向其他组织（如 InvisiMole）共享目标访问权限的记录；而 Turla 则常 “劫持” 其他组织的基础设施，例如 2019 年针对 OilRig 组织、2023 年针对 Andromeda 组织、2024 年针对 Amadey 组织的行动中均出现过此类行为。分析人员认为，最有可能的协作模式是：Gamaredon 向 Turla 开放了部分目标设备的访问权限，为其部署 Kazuar 恶意软件创造了条件。其他可能性较低的情况包括：Turla 劫持了 Gamaredon 的工具，或 Gamaredon 在未公开的情况下自行使用 Kazuar 恶意软件。
以下是针对 ESET 观察结果提出的三种假设：
报告进一步指出：
“可能性低：Gamaredon 获得了 Kazuar 的使用权限，并在特定设备上部署该恶意软件。考虑到 Gamaredon 的攻击风格向来‘高调且范围广’，我们认为该组织不太可能刻意仅在极少量目标设备上谨慎部署 Kazuar。”
“可能性极高：鉴于两个组织同属俄罗斯联邦安全局（FSB）（虽分属不同中心），Gamaredon 向 Turla 的操作人员开放了目标设备访问权限，使其能在特定设备上发送命令以重启 Kazuar，并在其他部分设备上部署 Kazuar v2 版本。”
“可能性低：Turla 入侵了 Gamaredon 的基础设施，并利用这一访问权限重新获取了乌克兰某台设备的控制权。由于 PteroGraphin（Gamaredon 的工具）包含用于修改命令与控制（C&C）服务器页面的硬编码令牌，这一可能性无法完全排除。但这意味着 Turla 需完整复刻 Gamaredon 的攻击链条，实现难度极大。”
目前，Gamaredon 最初获取目标设备访问权限的方式仍不明确，但研究人员指出，该组织通常依赖鱼叉式钓鱼邮件，以及通过可移动存储设备传播含恶意 LNK 文件（借助 PteroLNK 等工具实现）的方式发起攻击。
针对已调查的攻击事件，ESET 已发布相关入侵指标（IoCs，用于识别网络攻击的线索，如恶意 IP、文件哈希值等）及恶意软件样本。
消息来源：securityaffairs；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文
