Campanie cibernetică asociată Rusiei. Microsoft: Transformă routerele din locuințe în instrumente de spionaj și atac

Microsoft avertizează asupra unei campanii cibernetice sofisticate desfășurate de grupul Forest Blizzard, asociat armatei ruse, care exploatează routere vulnerabile din locuințe și birouri mici pentru a deturna traficul de internet. Operațiunea permite colectarea de date și lansarea unor atacuri avansate, inclusiv interceptarea conexiunilor securizate. Specialiștii atrag atenția că amploarea atacului și metodele folosite marchează o escaladare semnificativă a amenințărilor cibernetice la nivel global.

Microsoft dezvăluie că grupul Forest Blizzard a transformat routerele vulnerabile în infrastructură de spionaj cibernetic la scară largă

Echipa responsabilă de informații privind amenințările cibernetice a Microsoft a publicat un articol pe blogul companiei care dezvăluie operațiunile grupului Forest Blizzard, ce are legături militare cu Rusia. Articolul, publicat în paralel cu o acțiune de neutralizare a FBI, descrie modul în care grupul a transformat routere nesigure din mediul domestic și din birourile mici (SOHO) în platforme de supraveghere la nivel de stat.

Cel puțin din august 2025, Forest Blizzard exploatează dispozitive de internet SOHO vulnerabile pentru a deturna traficul DNS, permițând colectarea pasivă a datelor de rețea, în timp ce ascunde operațiunile ulterioare în spatele unei infrastructuri legitime.

Această abordare permite actorului să obțină vizibilitate în medii mai mari și mai bine protejate, fără a încălca direct rețelele corporative.

Deși infiltrarea dispozitivelor SOHO nu este o noutate, este pentru prima dată când Microsoft observă deturnarea DNS utilizată la scară largă pentru a susține direct atacurile de tip adversar-în-mijloc (AiTM) împotriva conexiunilor TLS.

Microsoft a identificat peste 200 de organizații și 5.000 de dispozitive afectate de infiltrarea Forest Blizzard.

Deși nu s-a observat nicio compromitere a activelor deținute de Microsoft, cercetătorii consideră că operațiunea reprezintă o escaladare semnificativă a modului în care actorii statali transformă dispozitivele periferice neadministrate în arme și ar putea permite interceptarea activă la scară mai largă în viitor.

Forest Blizzard compromite routere din locuințe și birouri mici pentru a crea o infrastructură ascunsă de atac și supraveghere

Forest Blizzard, un actor de amenințare asociat armatei ruse, a compromis echipamente de internet nesigure din locuințe și birouri mici, precum routere, modificându-le apoi setările astfel încât să le transforme în parte a infrastructurii maligne a acestui actor. Actorul de amenințare se ascunde apoi în spatele acestei infrastructuri legitime, dar compromise, pentru a spiona ținte suplimentare sau pentru a lansa atacuri ulterioare.

Microsoft Threat Intelligence a transmis informații despre această campanie pentru a crește gradul de conștientizare cu privire la riscurile asociate dispozitivelor de rutare a internetului nesigure din locuințe și birouri mici și pentru a oferi utilizatorilor și organizațiilor instrumente pentru a atenua, detecta și vâna aceste amenințări cibernetice acolo unde ar putea fi afectate.

Cel puțin din august 2025, actorul de informații militare rusești Forest Blizzard și subgrupul său urmărit ca Storm-2754 au desfășurat o exploatare la scară largă a dispozitivelor vulnerabile din birourile mici și de acasă (SOHO) pentru a deturna cererile Sistemului de Nume de Domeniu (DNS) și a facilita colectarea traficului de rețea. Pentru actorii statali precum Forest Blizzard, deturnarea DNS permite vizibilitate și recunoaștere pasivă și persistentă la scară largă.

Prin compromiterea dispozitivelor periferice care se află în amonte de ținte mai mari, actorii de amenințare pot profita de activele monitorizate sau gestionate mai puțin atent pentru a pătrunde în mediile întreprinderilor. Microsoft Threat Intelligence a identificat peste 200 de organizații și 5.000 de dispozitive de consum afectate de infrastructura DNS rău intenționată a Forest Blizzard; telemetria nu a indicat compromiterea activelor sau serviciilor deținute de Microsoft.

Atacurile de tip adversar-în-mijloc asupra conexiunilor TLS permit interceptarea datelor din cloud și extind riscurile pentru organizații

Forest Blizzard, care colectează în principal informații în sprijinul inițiativelor de politică externă ale guvernului rus, și-a folosit, de asemenea, activitatea de deturnare DNS pentru a susține atacuri de tip adversar-în-mijloc (AiTM) post-compromis asupra conexiunilor Transport Layer Security (TLS) împotriva domeniilor web Microsoft Outlook.

Această activitate permite interceptarea conținutului găzduit în cloud, afectând numeroase sectoare, inclusiv guvernul, tehnologia informației (IT), telecomunicațiile și energia — toate ținte obișnuite pentru acest actor.

Deși numărul organizațiilor vizate în mod specific pentru TLS AiTM este doar un subset al rețelelor cu dispozitive SOHO vulnerabile, Microsoft Threat Intelligence estimează că accesul extins al actorului de amenințare ar putea permite atacuri AiTM la scară mai mare, care ar putea include interceptarea activă a traficului.

Țintirea dispozitivelor SOHO nu este o tactică, tehnică sau procedură nouă pentru actorii serviciilor de informații militare ruse, dar aceasta este prima dată când Microsoft a observat că Forest Blizzard utilizează deturnarea DNS la scară largă pentru a susține AiTM-ul conexiunilor TLS după exploatarea dispozitivelor de margine.

Este important ca organizațiile să țină cont de dispozitivele SOHO neadministrate – în special de cele utilizate de angajații care lucrează de la distanță și în regim hibrid – deoarece infrastructura de rețea compromisă de acasă și din birourile mici poate expune accesul la cloud și datele sensibile, chiar și atunci când mediile de întreprindere și serviciile cloud rămân sigure, se mai arată în articolul publicat pe blogul Microsoft.

Operațiunea Forest Blizzard (spionaj cibernetic 2025-2026)

Categorie	Detalii Specifice	Impact și Metodologie
Actor Amenințare	Forest Blizzard (Storm-2754)	Grup asociat serviciilor de informații militare ruse.
Ținte Principale	Routere SOHO (Home & Small Office)	Dispozitive periferice vulnerabile, adesea neadministrate.
Amploarea Atacului	> 5.000 dispozitive / 200 organizații	Infiltrare la scară largă pentru colectare pasivă de date.
Tehnică Utilizată	Deturnare DNS și TLS AiTM	Interceptarea traficului criptat (ex: Microsoft Outlook).
Data Debutului	August 2025	Operațiune persistentă, detectată activ în aprilie 2026.
Sectoare Vizate	Guvern, IT, Telecomunicații, Energie	Colectare de informații pentru politica externă rusă.
Acțiune de Răspuns	Microsoft & FBI	Neutralizarea infrastructurii și alertarea organizațiilor.