14 hónapig európai szervereken
Egy hibásan konfigurált szervernek köszönhetően több mint 14 hónapnyi támadói tevékenységbe nyertek betekintést a Group-IB kiberbiztonsági kutatói. Az elemzés szerint a Lettországban működő szerveren nyilvánosan elérhetővé váltak egy DarkLunnen néven azonosított támadó eszközei, célpontlistái, ellopott konfigurációs állományai és parancselőzményei. A műveletek elsősorban európai szervezeteket, köztük ukrán védelmi és repülőipari célpontokat érintettek.
A kutatók 2026 júliusának végén fedezték fel a szervert, amelynek Python-alapú webszolgáltatása hozzáférhetővé tette a támadó rendszergazdai könyvtárát. A 457 látható állományból 35 fájlt, összesen 3,1 gigabájtnyi adatot sikerült megszerezniük, mielőtt a hozzáférés megszűnt. A parancselőzmények alapján a támadó legalább 84 különböző napon végzett műveleteket, és a szerver a felfedezés idején is aktív lehetett.
A vizsgálat egyik legfontosabb megállapítása a Fortinet FortiGate tűzfalak elleni támadásokhoz kapcsolódik. A DarkLunnen a CVE-2024-55591 azonosítójú, ismert hitelesítésmegkerülési sérülékenységhez módosított támadókódot használt, amellyel service nevű, kiemelt jogosultságú rendszergazdai fiókot hozhatott létre. A felderítés során Törökországban mintegy 600, Ukrajnában 16, Azerbajdzsánban 14, Algériában pedig egy sérülékeny eszközt azonosított. Egy román szervezettől ellopott FortiGate-konfigurációban a kutatók megtalálták a létrehozott fiókot, és tíz olvasható VPN-jelszót is azonosítottak.
A támadó más rendszereket is célba vett. Egy VNC-alapú jelszópróbálgatási művelet eredménylistájában 5775 végpont szerepelt, amelyek hozzávetőleg negyedén ipari vezérlőrendszerekhez kapcsolódó elnevezések voltak láthatók. Emellett 12 183 ukrán és lengyel IP-címen kerestek sérülékeny Hikvision-kamerákat, nyolc potenciálisan kihasználható eszközt találva. A kutatók hangsúlyozzák, hogy ezek az adatok nem bizonyítják ipari folyamatok manipulálását vagy a kamerák sikeres kompromittálását.
A parancselőzmények Microsoft Exchange-kiszolgálók elleni műveletekre, ellopott Windows-hitelesítő adatok felhasználására, felhőalapú biztonsági mentések elérésére és Roundcube-webmailrendszerek támadására is utaltak. Az ukrán védelmi és repülőipari szervezeteknél forráskódok megszerzésével is próbálkozhattak, de a kutatók nem találtak olyan adatokat, amelyek igazolnák e kísérletek sikerét.
A Group-IB nem tudta a DarkLunnent ismert támadócsoporthoz kötni, és sem nemzetiségét, sem esetleges állami hátterét nem sikerült megállapítania. A támadók által használt eszközök és sérülékenységek túlnyomórészt nyilvánosan ismertek voltak, nulladik napi sérülékenység kihasználására nem találtak bizonyítékot.
