Russische staatshackers zouden gezondheidsinstituten in de VS, het Verenigd Koninkrijk en Canada die werken aan een coronavaccin actief aanvallen, stellen verschillende nationale beveiligingscentra. Het zou gaan om APT29, een hackersgroep die gelieerd wordt aan het Kremlin.
Onder andere het Britse National Cyber Security Centre en het Canadese Communications Security Establishment waarschuwen voor de aanvallen. Ook de Amerikaanse NSA zou de bevindingen onderschrijven. De securitycentra waarschuwen dat een advanced persistent threat-groep die bekend staat als APT29, The Dukes, of Cozy Bear bezig is met spionagecampagnes. De centra zeggen dat APT29 'bijna zeker' onderdeel is van de Russische inlichtingendiensten. Cozy Bear wordt daar door de meeste beveiligingsonderzoekers aan gelinkt.
De hackers zouden gedurende de afgelopen maanden verschillende organisaties hebben aangevallen in Canada, de VS en Groot-Brittannië. Het gaat om organisaties die werken aan een vaccin voor het coronavirus. De securitycentra zeggen dat de hackers 'hoogstwaarschijnlijk' de intentie hebben om informatie te stelen over de ontwikkeling van het vaccin.
De groep zou publieke bekende exploits gebruiken om te zoeken naar kwetsbare systemen. De NCSC beschrijft de methodes in het onderzoek. De hackers zoeken specifiek naar systemen die Citrix of de Pulse Secure-vpn gebruiken, waarvan bekend is dat er ernstige kwetsbaarheden in zitten, waarvoor overigens wel een patch is. Op die manier hopen de hackers in de systemen te komen en daar verdere toegang te kunnen behouden. In sommige gevallen gebruiken de hackers ook malware genaamd WellMess en WellMail. Die kunnen shell-commands uitvoeren op een server.
De securitycentra raden bedrijven en gezondheidsinstellingen aan om te luisteren naar nationale veiligheidsdiensten voor tips. Ook zouden de instellingen goed moeten letten op indringers, en kwetsbare systemen zo snel mogelijk moeten patchen.