Aktér, kterého Microsoft eviduje jako Aqua Blizzard (ACTINIUM), je státní aktivistickou skupinou se základnou mimo Rusko. Ukrajinská vláda tuto skupinu veřejně připisuje bezpečnostní ruské Federální službě bezpečnosti (FSB). Je známo, že Aqua Blizzard (ACTINIUM) se soustředí na ukrajinské organizace, včetně státní správy, vojenských, nevládních organizací, soudní moci, bezpečnostních složek a neziskových organizací, jakož i subjektů souvisejících s ukrajinskými záležitostmi. Aqua Blizzard (ACTINIUM) se zaměřuje na špionáž a exfiltraci citlivých informací. Taktiky Aqua Blizzard (ACTINIUM) se neustále vyvíjí a zahrnují velké množství pokročilých technik a postupů. Tento aktér je známý především svými spear-phishingovými emaily s nebezpečnými přílohami umožňujícími škodlivou činnost viru prvního stupně, která stahuje a spouští další škodlivou činnost viru. Aktér používá řadu vlastních nástrojů a malwaru, aby dosáhl svých cílů, přičemž často používá matoucí VBScripty, příkazy PowerShellu, samorozbalovací archivy, soubory zástupců Windows (LNK) nebo kombinaci zmíněných nástrojů. Aqua Blizzard (ACTINIUM) se ve snaze udržet si přítomnost často spoléhá na naplánované úlohy v těchto skriptech.
Aqua Blizzard (ACTINIUM) také často nasazuje nástroje jako Pterodo – neustále se vyvíjející rodinu malwaru – s cílem získat interaktivní přístup k cíleným sítím, udržet si přítomnost a shromáždit informace. V některých případech nasazuje také UltraVNC — nástroj softwaru vzdálené plochy — s cílem povolit interaktivnější spojení s cílem. Aqua Blizzard (ACTINIUM) používá různorodé rodiny malwaru, jako jsou DinoTrain, DesertDown, DilongTrash, ObfuBerry, ObfuMerry a PowerPunch. Činnost skupiny Aqua Blizzard (ACTINIUM) je sledována dalšími bezpečnostními firmami, jako jsou Gamaredon, Armageddon, Primitive Bear a UNC530.
Sledujte zabezpečení od Microsoftu