De afgelopen periode zijn de digitale aanvallen in Oekraïne in het nieuws geweest. Op deze pagina vindt u een chronologisch overzicht van de cyberaanvallen en de daaropvolgende publicaties.

Tijdlijn

Februari 2023

• 20 februari

De AIVD en MIVD publiceren de brochure: "24/2 - De Russische aanval op Oekraïne: een keerpunt in de geschiedenis". In deze gezamenlijke publicatie geven de AIVD en MIVD inzicht in de betekenis van deze oorlog, nu en in de toekomst.

• 17 februari

De Pro-Russische hacktivistische actor "Mysterious Team" claimt op Telegram 10 Nederlandse publieke websites onbeschikaar te hebben gemaakt in de transportsector, doormiddel van DDoS-aanvallen.

• 8 februari

Symantec heeft een campagne waargenomen, waarbij de aan Rusland gelinkte actor " Nodaria group" malware heeft ingezet voor het verkrijgen van (gevoelige) gegevens. De campagne dateert van oktober 2022 en heeft tot en met januari 2023 plaatsgevonden en was met name gericht op Oekrainse organisaties.

• 7 februari

De Moldavische premier Natalia Gavrilita beschuldigd Rusland van het uitvoeren van digitale aanvallen en het verspreiden van desinformatie om Moldavië te destabiliseren.

• 6 februari

CERT-UA heeft een phishing campagne waargenomen, waarbij de afzender zich voordoet als JSC "Ukrtelecom". De malafide e-mails bevatten een RAR-bestand. Interactie met het RAR-bestand, resulteert in een aanvullende met een wachtwoord beschermd RAR-bestand en een tekstbestand, genaamd: "your personal access code -254507.txt". Dit tweede bestand kan geopend worden door het wachtwoord uit het tekstbestand in te voeren. Dit resulteert in een EXE-bestand. Het uitvoeren van het EXE-bestand door het slachtoffer zorgt voor de installatie van legitieme software om systemen op afstand te beheren. Hiermee kan de actor (gevoelige) gegevens van het slachtoffer te verkrijgen

• 5 februari

Er hebben DDoS-aanvallen plaatsgevonden op publieke websites van diverse Westerse ziekenhuizen waaronder in Nederland. Dit heeft in enkele gevallen geleid tot de onbeschikbaarheid van de websites. De slachtoffer organisaties komen overeen met een door de Pro-Russische hacktivistische hackersgroep KillNet eerder aangekondigde doelwittenlijst.

Januari 2023

• 28 januari

Het ministerie van Defensie van Letland heeft phishing aanvallen waargenomen tegen medewerkers van het ministerie, aldus Therecord. Volgens CERT-LV, was de digitale aanval “ongebruikelijk” omdat de aanvallers in de laatste fase van de aanval, na detectie, bewust met de onderzoekers communiceerde. Een woordvoerder van het Letse Ministerie van Defensie bevestigde dat de digitale aanval hoogstwaarschijnlijk is uitgevoerd door de Russische hackersgroep Gamaredon.

• 27 januari

-NCSC-UK waarschuwt voor (spear)phishing-aanvallen van de Russische hackersgroep SEABORGIUM en de Iraanse hackersgroep TA453. Het doel van de (spear)phishing-aanvallen is het verkrijgen van (gevoelige) informatie van Defensie-, Overheid-, Academische organisaties, NGO’s, journalisten en politici.

-De Pro-Russische hacktivistische hackersgroep "KillNet" heeft op Telegram aangekondigd dat ziekenhuizen uit VS, Portugal, Spanje, Duitsland, Polen, Finland, Noorwegen, Nederland en Het Verenigd Koninkrijk potentieel doelwit van DDoS-aanvallen zijn.

-ESET en CERT-UA hebben een campagne waargenomen waarbij nieuwe de wiper-malware SwiftSlicer is ingezet. De wiper-malware, is samen met HermeticWiper en CaddyWiper op 25 januari 2023 ontdekt op het netwerk van een Oekraïense nieuwsorganisatie. De nieuwe wiper heeft als doel om het systeem zo te beschadigen dat het niet meer functioneert.

• 14 januari

GitHub heeft accounts uitgeschakeld van de Pro-Russische hacktivistische groep "NoName057(16)",. Deze hackersgroep wordt in verband worden gebracht met digitale aanvallen op entiteiten in NAVO-landen, waaronder pogingen om publieke websites van de Deense centrale bank en andere financiële instellingen te verstoren. De actor, NoName057(16), gebruikte het softwareontwikkelingsplatform om zijn gedistribueerde denial of service (DDoS)-software en code, te hosten.

• 5 januari

Mandiant heeft een campagne waargenomen waarbij reeds met ANDROMEDA-malware geïnfecteerde systemen, verder uitgebuit worden met de aanvullende malware KOPILUWAK en QUIETCANARY. De malware KOPILUWAK wordt ingezet voor verkennings doeleinden. QUIETCANARY wordt ingezet voor command-and-control functionaliteit en het uitvoeren van commando’s. De digitale aanvallen zijn gericht op Oekraïense entiteiten.

December 2022

• 18 december

Cert-UA heeft de verspreiding van malafide e-mails uit naam van Oekraïense Defensiemedewerkers waargenomen. De e-mail bevat een link naar een .ZIP-bestand. Interactie met de link resulteert in het downloaden van het .ZIP-bestand met daarin een door VMProtect beschermd .EXE-bestand. Door het uitvoeren van het .EXE-bestand wordt de RomCom-malware gelanceerd, wat vervolgens malware uitvoert voor het verkrijgen van (gevoelige) gegevens.

• 15 december

Mandiant waarschuwt voor de verspreiding van malafide ISO-bestanden via Torrent sites. De ISO-bestanden komen over als legitieme Windows 10-installatieprogramma’s, maar bevatten malware om (gevoelige) gegevens te verkrijgen of om kwaadaardige software uit te voeren. Volgens Mandiant was de activiteit met name gericht op Oekraïense overheidsinstanties.

• 8 december

Cert-UA waarschuwt Oekraïense organisaties voor malafide e-mails uit naam van de Staatshulpdienst Oekraïne. De e-mail bevat een thematiek die zich richt op het waarnemen van kamikaze-drones. De e-mail bevat als bijlage een .RAR-bestand, die een PowerPoint-bestand bevat. Bij interactie met het bestand wordt uiteindelijk de malware DolphinCape-malware uitgevoerd. DolphinCape bevat functionaliteit om gevoelige gegevens te verkrijgen uit systemen.

November 2022

• 23 november

Een DDoS-aanval heeft rond 16:20 geresulteerd in het tijdelijk niet bereikbaar zijn van de website van het Europese parlement. Volgens parlementsvoorzitter Roberta Metsola heeft een pro-Russisch hackerscollectief de verantwoordelijkheid voor de cyberaanval opgeëist.

• 21 november

Op Twitter meldt ESET dat zij bij diverse Oekrainse organisaties digitale aanvallen hebben gedetecteerd , waarbij gebruik wordt gemaakt van de "RansomBoggs" ransomware. De waargenomen kenmerken komen volgens ESET overeen met eerdere digitale aanvallen van de Russische actor Sandworm.

• 18 november

De activistische actor Belarusian Cyber-Partisans claimt op Twitter toegang te hebben tot het netwerk van de General Frequency Control Center (GRFC). De actor zou systemen versleuteld hebben en gevoelige informatie hebben verkregen.

• 16 november

Tijdens de Aspen Cyber Summit zei Mieke Eoyang (plv. adjunct-minister van Defensie voor Cyberbeleid) dat Russisch cyberpersoneel onderpresteert. Aanleiding hiervan zou mede zijn dat Moskou “zich niet had voorbereid dat dit conflict zolang zou duren”, aldus Eoyang

• 10 november

De Microsoft Threat Intelligence Center (MSTIC) schrijft de digitale aanvallen waarbij de "Prestige ransomware” is gebruikt toe aan de Russische actor IRIDIUM. De waargenomen activiteit, zoals beschreven op 14 oktober in deze tijdlijn, heeft overlappende kenmerken met digitale aanvallen van IRIDIUM, ook bekend als Sandworm.

• 4 november

De Federal Bureau of Investigation (FBI) heeft een beveiligingsadvies gepubliceerd waarin zij waarschuwt voor activistische Pro-Russische DDoS-aanvallen. Het advies volgt op diverse waargenomen DDoS-aanvallen op kritieke infrastructuur in de Verenigde staten. Hoewel de DDoS-aanvallen vaak een beperkte impact hebben, adviseert de FBI toch een aantal mitigerende maatregelen te nemen om de kans hierop te verkleinen.

Op de website van het NCSC staat verdiepende informatie om te voorkomen dat uw onlinedienstverlening onbereikbaar wordt door een DDoS-aanval:

- Factsheet Continuïteit van online diensten 

- Factsheet Technische maatregelen voor continuïteit voor online diensten 

- Anti-DDoS-Coalitie

• 1 november

De Britse regering heeft bekend gemaakt, kort na de inval van Rusland een cyber-steunpakket van 6,35 miljoen pond beschikbaar te hebben gesteld aan Oekraïne. Hiermee heeft het VK, Oekraïne ondersteunt in het beschermen van haar kritieke infrastructuur en publieke diensten. Het cyber-steunpakket volgde op het toenemende tempo van Russische cyberactiviteiten richting Oekraïne daags na de invasie.

Oktober 2022

• 21 oktober

Cert-UA heeft verspreiding van malafide e-mails uit naam van de Oekrainse persdienst van de Generale staf van de Oekrainse strijdkrachten waargenomen. De e-mail bevat een link naar een externe website, met daarop de melding dat het noodzakelijk is om een software update uit te voeren. Gebruikersinteractie resulteert in het downloaden van een uitvoerbaar bestand. Bij het uitvoeren daarvan wordt het systeem besmet met RomCom malware. Door o.a. het gebruik van RomCom malware, acht Cert-UA het mogelijk de activiteit toe te wijzen aan de actor achter de Cuba Ransomware.

• 14 oktober

Microsoft Threat Intelligence Center (MSTIC) heeft een nieuwe ransomware-campagne, gericht op transport- en logistieke organisaties in Oekraïne en Polen, waargenomen. De ransomware die hierbij wordt gebruikt, wordt “Prestige ransomware” genoemd.
Volgens MSTIC heeft de campagne een aantal opvallende kenmerken waardoor deze zich onderscheidt van andere, door Microsoft gevolgde, ransomware-campagnes:
- Er (deels) een overlap met de slachtoffers van de HermeticWiper malware
- MSTIC kan de kenmerken van deze nieuwe ransomware-campagne niet verbinden aan een van de 94 ransomwaregroepen die Microsoft actief volgt
- De bedrijfs-brede implementatie van ransomware is niet gebruikelijk in Oekraïne

• 11 oktober

FortiGuard Labs heeft een technische analyse gepubliceerd over de verspreiding van Cobalt Strike Beacon-malware. Hierbij wordt gebruik gemaakt van een malafide Excel-bestand dat zich voordoet als hulpmiddel om de salarissen van Oekraïense militairen te berekenen. De malwarecampagne laat zien hoe kwaadwillenden de oorlog in Oekraïne gebruiken voor de uitvoering van digitale aanvallen.

• 10 oktober

Websites van meerdere Amerikaanse luchthavens, waaronder die van Atlanta (ATL), Los Angeles (LAX), Chicago (ORD) en Orlando (MCO), zijn getroffen door DDoS-aanvallenDaardoor waren de websites tijdelijk ontoegankelijk. De aanvallen worden toegekend aan de hackersgroep Killnet. De aanvallen zouden geen effect hebben gehad op vluchten van en naar de luchthavens.

• 6 oktober

Hackersgroep Killnet claimt een aantal Amerikaanse overheidswebsites offline te hebben gehaald. Het betreft websites van de staten Colorado, Mississippi en Kentucky. De hackersgroep had al op Telegram kenbaar gemaakt Amerikaanse overheidswebsites als doelwit te hebben. De meeste getroffen websites waren op dezelfde dag weer online.

• 2 oktober

Volgens het Oekraïense nieuwsplatform Kyiv Post zouden Russische hackers van de National Republican Army (NRA) een ransomware-aanval op het Russische bedrijf Unisoftware hebben uitgevoerd. Volgens het platform zouden persoonlijke gegevens van klanten zijn gestolen. Ook de Russische overheid zou klant zijn van Unisoftware, volgens de Kyiv Post. De mobilisatie van Russische burgers zou aanleiding zijn geweest voor de digitale aanval.

September 2022

• 29 september

De Finse veiligheids- en inlichtingendienst SUPO waarschuwt voor mogelijk verhoogde Russische digitale spionageactiviteit aankomende winter. De waarschuwing hiervoor zou voortkomen uit een Russisch gebrek aan human intelligence (humint), omdat veel Russische diplomaten westerse landen zijn uitgezet. Ook vanwege de westerse sancties kan Rusland inlichtingen willen vergaren over de ontwikkeling van hoogwaardige technologie, meldt de dienst. Daardoor houdt SUPO extra rekening met industriële spionage vanuit Rusland.

• 26 September

Het Oekraïense ministerie van Defensie waarschuwt voor grootschalige Russische digitale aanvallen op kritieke infrastructuur in Oekraïne en zijn bondgenoten. Volgens het ministerie zou Rusland ook de intensiteit van DDoS-aanvallen proberen te verhogen. Deze aanvallen zouden met name op Polen en de Baltische staten gericht zijn.

• 20 September

Hackers van het Oekraïense leger zouden de website van het Russische huurlingenbedrijf Wagner hebben gehackt. Volgens de Oekraïense minister van Digitale Transformatie zijn daarbij persoonsgegevens buitgemaakt van alle huurlingen die bij de organisatie zijn aangesloten.

• 19 September

Recorded Future heeft een analyse gepubliceerd over de actor UAC-0113, die mogelijk gelinkt is aan de Russische APT Sandworm. De actor doet zich voor als Oekraïense telecomorganisaties en zet html-smuggling in voor de verspreiding van malware. Volgens Recorded Future zijn de digitale aanvallen waarschijnlijk gericht op doelen in Oekraïne.

• 16 September

Cisco Talos waarschuwt voor een campagne van de Russische APT Gamaredon. In deze campagne zet de actor malware in de vorm van een information stealer in. De malware wordt verspreid door middel van phishing-mails over de oorlog en is gericht op Oekraïners.

• 9 september

Google publiceert in een blogpost dat zij een toenemend aantal financieel gemotiveerde hackersgroepen zien die zich specifiek richten op organisaties in Oekraïne. Een van deze groeperingen: UAC-0098, die zich in het verleden als ransomware initial access broker met name heeft gericht op ransomware aanvallen, richt zich nu op Oekrainse (overheids)organisaties en Europese non-profit organisaties. De actor heeft verschillende phishing aanvallen uitgevoerd, waarbij ze zich voor deden als de Nationale Cyber Politie van Oekraine, Microsoft en Starlink.

• 2 september

Hackerscollectief Anonymous beweert de grootste taxi service in Rusland, Yandex Taxi, te hebben gehackt. Door meerdere taxi’s naar dezelfde locatie te sturen zijn diverse files in Moscow veroorzaakt.

Augustus 2022

• 16 augustus

Het Oekraïense nucleaire agentschap Energoatom maakt melding van een Russische digitale aanval tegen zijn website. Volgens het agentschap zette de hackersgroep People’s Cyber Army 7,25 miljoen bots in om de website onbereikbaar te maken. Volgens Energoatom heeft de aanval geen impact gehad op de werking van de site.

• 15 augustus

Microsoft waarschuwt voor phishing-aanvallen van de Russische hackersgroep SEABORGIUM.  Volgens Microsoft is de groep waarschijnlijk uit op spionage. SEABORGIUM richt zich voornamelijk op NAVO-landen, Scandinavië en Oost-Europa, waaronder Oekraïne. De oorlog in Oekraïne wordt door deze groep ook gebruikt als onderwerp voor phishing-mails.

Symantec publiceert een blog over de activiteiten van de Russische APT Gamaredon. Volgens Symantec heeft Gamaredon tussen 15 juli en 8 augustus digitale aanvallen met Infostealer-malware uitgevoerd op Oekraïense organisaties. De blog volgt op de waarschuwing van CERT-UA voor phishing-emails van Gamaredon (zie update 26 juli).

• 13 augustus

De pro-Russische hackersgroep Killnet beweert een DDoS-aanval te hebben uitgevoerd op defensieconcern Lockheed Martin. De groep zou ook persoonlijke gegevens hebben gestolen van medewerkers tijdens een digitale aanval en dreigen deze te publiceren.

• 11 augustus

De nationale CERT van Letland, CERT-LV, meldt op Twitter dat een DDoS-aanval heeft plaatsgevonden op het Letse parlement, de Saeima. De digitale aanval vond plaats nadat de Saeima een verklaring heeft aangenomen die Rusland tot staatssponsor van terrorisme aanwijst. Volgens CERT-LV is het werk van de Saeima niet verstoord geraakt.

• 10 augustus

CERT-UA registreert 203 digitale aanvallen in de maand juli. De CERT van Oekraïne meldt dat het aantal aanvallen op vertegenwoordigers van de Oekraïense staat en financiële instellingen in de maand juli is toegenomen. De twee meest gehackte sectoren zijn de (nationale en lokale) overheid, die in juli werd getroffen door 56 digitale aanvallen, gevolgd door 24 aanvallen op de veiligheids- en defensiesector.

• 9 augustus

De Finse publieke omroep YLE meldt dat website van het Finse parlement is getroffen door een denial of service-aanval. Een Russische hackersgroep die zichzelf NoName057(16) noemt, zegt op zijn Telegram-kanaal achter de aanval te zitten. De aanval begon dinsdag 9 augustus rond 14.30 uur. Om 22.00 uur was de website weer bereikbaar.

The Telegraph schrijft dat Britse autoriteiten onderzoek doen naar digitale aanvallen tegen het Britse cryptocurrency-platform Currency.com. Volgens The Telegraph voeren hackers sinds april bijna dagelijks digitale aanvallen uit op het bedrijf, nadat het zich terugtrok uit Rusland wegens de oorlog.

• 8 augustus

VMWare meldt in haar jaarlijkse Global Incident Response Threat Report een toename van digitale aanvallen sinds de start van de oorlog in Oekraïne. 65% van de ondervraagde cybersecurity-professionals ziet meer digitale aanvallen sinds de Russische invasie.

• 4 augustus

Meta heeft haar Quarterly Adversarial Threat Report (Q2 2022) gepubliceerd. Hierin meldt Meta dat zij afgelopen april een trollenfabriek in St Petersburg heeft ontmanteld. De trollenfabriek zou op sociale media pro-Russisch commentaar leveren over de oorlog.

• 2 augustus

De Oekraïense SSU laat op haar website weten dat ze een botfarm heeft ontmanteld. De botfarm verspreidde desinformatie met als doel de sociale en politieke situatie in Oekraïne te destabiliseren. De verspreide desinformatie ging over activiteiten van de  hoogste militaire en politieke leiders in Oekraïne. Volgens de SSU maakte de makers van de botfarm gebruik van meer dan een miljoen online nep-accounts en social media groepen met meer dan 400.000 gebruikers.

Juli 2022

• 20 juli

Na een toename van digitale aanvallen gerelateerd aan de oorlog tussen Rusland en Oekraïne waarschuwt de Europese Raad voor onaanvaardbare risico’s van spill-over-effecten, verkeerde interpretaties en mogelijk verdere escalatie. De laatste distributed denial-of-service (DDoS)-aanvallen tegen verschillende EU-lidstaten en haar partners die door pro-Russische hackersgroepen werden opgeëist, zijn een voorbeeld van het verhoogde en gespannen cyberdreigingslandschap. De EU roept lidstaten op de bewustwording van cyberdreigingen te vergroten en preventieve maatregelen te nemen om kritieke infrastructuur te beschermen.

Het U.S. Cyber Command heeft in samenwerking met de Oekrainse veiligheidsdienst, indicatoren (IOCs) gedeeld over waargenomen malware in Oekraïne. Ook Mandiant heeft hier een blogpost met aanvullende details over gepubliceerd.

• 19 juli

Na Microsoft en Mandiant waarschuwt ook Unit42 van Palo Alto voor (spear) phishing aanvallen van de uit Rusland opererende actor APT29. De phishing e-mails worden verstuurd uit naam van een organisatie en bevatten een malafide HTML-bestand of een link naar een HTML-bestand op een cloud storage dienst zoals DropBox of Google Drive. Interactie met dit HTML-bestand resulteert in het uitvoeren van Javascript code, waarmee een ISO-bestand of IMG-bestand aan het systeem wordt toegevoegd. In het IMG- of ISO-bestand is een snelkoppeling zichtbaar. Andere bestanden, zoals EXE en DLL-bestanden, zijn onzichtbaar gemaakt. Door de snelkoppeling te openen wordt het systeem uiteindelijk besmet met Cobalt Strike Beacon malware.

Google publiceert in een blogpost dat zij door verschillende actoren, digitale activiteiten heeft waargenomen in relatie tot de oorlog in Oekraïne:

• De vanuit Rusland opererende actoren APT28 en Sandworm hebben volgens Google meerdere phishing aanvallen uitgevoerd, waarbij misbruik werd gemaakt van de kwetsbaarheid met het kenmerk CVE-2022-30190 (Follina). Het NCSC heeft in een beveiligingsadvies gewaarschuwd voor deze kwetsbaarheid
• De organisatie heeft activiteit vanuit de uit Rusland opererende actor COLDRIVER waargenomen. Volgens Google zou de actor phishing-pogingen hebben ondernomen op onder meer overheidsmedewerkers, politici, NGO's en journalisten
• De vanuit Rusland opererende actor TURLA heeft tijdelijke een neppe "anti-ddos" app aangeboden en hierbij deden zij zich voor als het Oekraïense Azov Regiment

• Tot slot meldt Google dat de actor Ghostwriter (Belarus) actief phishing aanvallen heeft uitgevoerd richting Poolse burgers

• 11 juli

Cert-UA waarschuwt voor digitale aanvallen op Oekrainse overheidsinstanties, waarbij gebruik wordt gemaakt van e-mails met een malafide bijlage. De bijlage is een XLS-bestand en bevat een marco.
De activering van de macro leidt tot het uitvoeren van het bestand "baseupd.exe". Hierdoor raakt het systeem uiteindelijk besmet met Cobalt Strike Beacon malware.

• 6 juli

Op 6 juli meldt het Letse Radio en Televisie center LVRTC, langdurige last hebben gehad van een distributed denial-of-serviceaanval (DDoS). Om de digitale aanval te beperken, heeft LVRTC de toegang tot bepaalde diensten tijdelijke beperkt. Met als gevolg dan verschillende diensten niet meer beschikbaar waren.

• 5 juli

NCSC-UK waarschuwt organisaties voor een lange periode van verhoogde dreiging door het conflict in Rusland en Oekraïne. NCSC-UK beoordeelt dat de cyberdreiging voor het VK als gevolg van het conflict blijft toenemen. Organisaties worden opgeroepen om alert te blijven. En zich voor te breiden op veerkracht van de cybersecurityspecialisten binnen hun organisatie op langere termijn.

Juni 2022

• 30 juni

Via een desinformatiecampagne wordt een gerucht verspreidt dat Oekraïense mannelijke vluchtelingen in Polen zouden worden geïdentificeerd en teruggestuurd naar Oekraïne voor militaire dienst. Beveiligingsonderzoekers van Mandiant schrijven dit toe aan de, aan Wit-Rusland gelieerde actor GhostWriter.

Volgens de Oekraïense overheidsinstantie SSSCIP is de intensiteit van cyberaanvallen op Oekraïne niet afgenomen. Sinds het begin van de oorlog, 24 februari 2022, hebben er bijna 800 cyberaanvallen plaatsgevonden.  

• 24 juni

CERT-UA waarschuwt voor digitale aanvallen op telecombedrijven in Oekraïne. Er wordt gebruik gemaakt van e-mails met een malafide bijlage. De e-mails bevatten als bijlage een met wachtwoord bescherm RAR-bestand met hierin een Excel-bestand met macro. Interactie met het bestand resulteert in het uitvoeren van een PowerShell commando, waarmee een EXE-bestand wordt gedownload en uitgevoerd. Hierdoor raakt het systeem besmet met de DarkCrystal malware.

• 22 juni

Nadat Litouwen een verbod heeft ingesteld op alle doorvoer per spoor van Russische goederen (m.u.v. levensmiddelen en personen) naar Kaliningrad, roepen verschillende activistische groeperingen, o.a. via Telegram, op om de vitale infrastructuur van Litouwen digitaal aan te vallen.

• 20 juni

Cert-UA waarschuwt voor twee type aanvallen. Bij de ene wordt malafide bestand xxx.doc meegestuurd bij de ander een xxx.rtf. Beide aanvallen zorgen voor een download van een HTML-bestand en misbruiken de kwetsbaarheid CVE-2022-30190. Bij het doc bestand wordt Cobalt Strike malware uitgevoerd en bij het rtf bestand wordt de CredoMap malware ingezet.

Het NCSC heeft recent in een beveiligingsadvies gewaarschuwd voor de kwetsbaarheid met het kenmerk CVE-2022-30190.

• 17 juni

De actor Killnet roept via Telegram verschillende ransomware actoren als Conti en Revil op om gezamenlijk organisaties in de Verenigde Staten, Italië en Polen digitaal aan te vallen.

Volgens een woordvoerder van het Kremlin heeft een distributed denial-of-service (DDoS) aanval er op vrijdag voor gezorgd dat de speech van president Poetin op het International Economic Forum in St. Petersburg met een uur is uitgesteld.

• 14 juni

De Wit-Russische hacktivistische actor Belarusian Cyber Partisans claimt toegang te hebben tot getapte gesprekken van onder andere de Russische ambassade in Wit-Rusland. Het zou gaan om opnames tussen 2020 en 2021.

• 10 juni

Hackerscollectief Anonymous beweert een Russische drone fabrikant te hebben gehackt. Hierbij heeft de actor afbeeldingen gepubliceerd van een deel van de bemachtigde informatie.

• 9 juni

Rusland waarschuwt Westerse landen voor digitale aanvallen indien zij Russische kritieke infrastructuur aanvallen. Dit naar aanleiding van het interview met de Amerikaanse generaal Paul Nakasone door Sky News (zie update van 1 juni op deze tijdlijn).