美国联邦政府起诉16名俄罗斯人，指控他们网络攻击和间谍活动

俄国黑客被控利用DanaBot进行犯罪和间谍活动

美国司法部今天宣布对16名个人提出刑事指控，执法部门已将他们与名为“DanaBot”的恶意软件操作联系起来。根据一项控诉，该恶意软件感染了全球至少30万台机器。司法部在宣布指控时称该团伙“总部设在俄罗斯”，并指明两名嫌疑人Aleksandr Stepanov和Artem Aleksandrovich Kalinkin居住在俄罗斯新西伯利亚。另有五名嫌疑人在起诉书中被点名，其余九名则只用化名指代。除了这些指控，司法部表示，国防刑事调查局（DCIS，国防部的刑事调查部门）在全球范围内，包括在美国，查获了DanaBot的基础设施。

除了指控DanaBot如何被用于营利性犯罪黑客活动外，起诉书还提出了一项更罕见的指控——它描述了该恶意软件的第二个变种如何被用于针对军事、政府和非政府组织目标的间谍活动。“像DanaBot这样普遍存在的恶意软件损害了全球数十万受害者，包括敏感的军事、外交和政府实体，并造成数百万美元的损失，”美国检察官Bill Essayli在一份声明中写道。

DanaBot的演变：从银行木马到网络战工具

自2018年以来，DanaBot——在刑事控诉中被描述为“极具侵入性的恶意软件”——已感染全球数百万台计算机。最初，它是一种银行木马，旨在直接从受感染电脑所有者那里窃取资金，并具有模块化功能，用于窃取信用卡和加密货币。然而，由于其创建者被指控以每月3,000至4,000美元的“联盟”模式将其出售给其他黑客组织，它很快就被用作一种工具，用于在广泛的操作中安装不同形式的恶意软件，包括勒索软件。根据网络安全公司Crowdstrike对该行动的分析，其目标也迅速从乌克兰、波兰、意大利、德国、奥地利和澳大利亚的最初受害者蔓延到美国和加拿大的金融机构。

Crowdstrike表示，在2021年，DanaBot曾被用于一次软件供应链攻击，将恶意软件隐藏在一个名为NPM的JavaScript编码工具中，该工具每周有数百万次下载。Crowdstrike在金融服务、交通、技术和媒体行业发现了受此受损工具影响的受害者。

Proofpoint网络安全公司的威胁研究员Selena Larson表示，这种规模及其广泛的犯罪用途使DanaBot成为“电子犯罪领域的巨头”。

DanaBot与俄罗斯政府的关联

更独特的是，DanaBot有时也被用于似乎由国家支持或与俄罗斯政府机构利益相关的黑客活动。根据司法部的起诉书，在2019年和2020年，它被用于针对少数西方政府官员，进行明显的间谍活动。根据Proofpoint的说法，在这些案例中，恶意软件是通过冒充欧洲安全与合作组织和哈萨克斯坦政府实体的网络钓鱼信息传播的。

随后，在2022年2月俄罗斯全面入侵乌克兰的最初几周，DanaBot被用于在受感染的机器上安装分布式拒绝服务（DDoS）工具，并对乌克兰国防部和乌克兰国家安全与国防委员会的电子邮件服务器发起攻击。

Proofpoint的Larson表示，所有这些都使得DanaBot成为一个特别清晰的例子，说明网络犯罪恶意软件如何被俄罗斯国家黑客所采用。Larson说：“历史上有很多关于网络犯罪分子与俄罗斯政府实体勾结的说法，但关于这些日益模糊的界限的公开报道并不多。”她说，DanaBot的案例“非常引人注目，因为它提供了我们看到电子犯罪工具用于间谍目的的公开证据。”

意外感染暴露黑客身份

在刑事控诉中，DCIS调查员Elliott Peterson——一位因调查Mirai僵尸网络创建者而闻名的前联邦调查局特工——声称，DanaBot行动的一些成员是在他们自己的电脑感染了恶意软件后被识别出来的。Peterson表示，这些感染可能是为了测试木马，也可能是意外造成的。无论哪种方式，它们都导致了被指控黑客的身份信息最终出现在DCIS后来查获的DanaBot基础设施上。“这些意外感染常常导致敏感和具有危害性的数据被恶意软件从行动者的电脑中窃取并存储在DanaBot服务器上，其中包括有助于识别DanaBot组织成员的数据，”Peterson写道。

DanaBot的运营者仍然逍遥法外，但Crowdstrike威胁情报研究负责人Adam Meyers表示，清除这个在多种形式的俄罗斯黑客活动中（无论是国家支持的还是犯罪的）扮演重要角色的工具，代表着一个重要的里程碑。

Meyers说：“每次你扰乱一个持续多年的行动，你都会影响他们从中获利的能力。它也会造成一定的真空，其他人会挺身而出取代他们的位置。但我们越能扰乱他们，就越能让他们处于被动。我们应该反复行动，寻找下一个目标。”

关注【黑客联盟】带你走进神秘的黑客世界