Riikliku taustaga küberrühmitused
Sellise ulatusliku ja koordineeritud kübertegevuse praktiliseks elluviimiseks kasutab Venemaa režiim muu hulgas riikliku taustaga küberrühmitusi, mida rahvusvaheliselt kutsutakse APTdeks (advanced persistent threat). Need suudavad läbi viia keerukaid ja sihitud küberoperatsioone, mille eesmärk on muu hulgas luureinfo kogumine, kompromiteeritud infosüsteemides püsiva ligipääsu hoidmine ning ka häirivate või destruktiivsete rünnete elluviimine.
Need rühmitused tegutsevad Venemaa eriteenistuste ja sõjaliste struktuuride huvides ning täidavad luure- ja ettevalmistusülesandeid nii rahuajal kui ka täiemahuliste sõjaliste konfliktide taustal.
Vene APT-rühmituste tegevus ei piirdu Ukraina vastu suunatud küberoperatsioonidega, vaid on sihitud ka nende riikide vastu, kes toetavad Ukrainat poliitiliselt, majanduslikult või sõjaliselt.
Euroopa Liidu (EL) ja NATO liikmesriigid on jäänud Vene APT-rühmituste püsivateks sihtmärkideks, kusjuures rünnete eesmärgiks on olnud nii tundliku teabe kogumine kui ka võimalike edasiste mõjutus- või ründeoperatsioonide ettevalmistamine.
Veel üks karu: Laundry Bear
Lisaks varem tuntud ja laialdaselt kajastatud Vene APT-rühmitustele (näiteks Cozy Bear ja Fancy Bear), mis on juba aastaid sihtinud ELi ja NATO liikmesriike, kerkis 2025. aastal esile uus, seni teadmata Vene rühmitus.
Küberturbekogukondades sai see nimeks Laundry Bear (Microsofi järgi Void Blizzard).
Hollandi julgeoleku- ja luureteenistuste (AIVD ja MIVD) hinnangul on suure tõenäosusega tegemist Venemaa riigi sponsoreeritava rühmitusega, kelle tegevus on alates 2024. aastast keskendunud peamiselt lääneriikide vastu suunatud küberrünnakutele. Eelkõige on Laundry Beari fookuses ELi ja NATO liikmesriikide valitsusasutused, kaitseorganisatsioonid, välisministeeriumid, kaitsetööstusettevõtted ning muud asutused, mis on seotud Ukraina toetamisega.
Laundry Beari küberrünnakute iseloom ja sihtmärkide valik viitavad eelkõige luuretegevusele, mitte häirivatele või destruktiivsetele küberoperatsioonidele. Rühmituse tegevuse peamiseks eesmärgiks on tundliku teabe kogumine, sealhulgas e-kirjavahetuste, kontaktandmete ja muude organisatsioonisiseste andmete varastamine, mis võimaldab Vene eriteenistustel saada paremat ülevaadet lääneriikide poliitilistest, sõjalistest ja kaitsealastest kavatsustest.
Tehnilisest vaatenurgast ei iseloomusta Laundry Beari tegevust uute või eriti keerukate ründevektorite kasutamine. Vastupidi, rühmitus tugineb pigem suhteliselt lihtsakoelistele, kuid tõhusatele meetoditele, nagu varastatud kasutajakontoandmete kuritarvitamine, paroolide pihustamine (password spraying), autentimisküpsiste (session cookies) ja pilvepõhiste e-posti keskkondade (eelkõige Microsoft Exchange Online’i) kuritarvitamine.
Sageli hangitakse vajalikud autentimisandmed kolmandate osapoolte kaudu, kasutades tumeveebi turuplatvormidel müüdavaid, nuhkvaraga kogutud andmeid. Sellist lähenemist illustreerib näiteks 2024. aastal Hollandi politsei vastu toime pandud rünne, mille käigus sai Laundry Bear ligipääsu ühe töötaja kasutajakontole, kasutades varastatud sisselogimissessiooni. Selle kaudu koguti organisatsiooni kesksetest süsteemidest tööalaseid kontaktandmeid ja muud teavet, mida saab kasutada edasiste sihitud rünnete ettevalmistamiseks.
See juhtum näitab taas, et sihtmärgiks võib sattuda iga töötaja asutustes, mille vastu ründaja huvi tunneb, sõltumata tema ametikohast või ligipääsu ulatusest.
Samal ajal tuleb silmas pidada, et suurem osa säärastest rünnakutest on kergesti ennetatavad elementaarsete küberhügieeni põhimõtete (mitmeastmeline autentimine, tugev paroolihaldus ja kasutajate teadlikkuse tõstmine) järgimise abil.
Venomous Bear ja Cozy Bear luurasid diplomaatide järele
Diplomaatilised sihtmärgid on Venemaa riikliku küberluure jaoks strateegiliselt tähtsad juba aastaid ning 2025. aasta ei toonud ses osas muutust. Välisministeeriumid, saatkonnad ja muud diplomaatilised esindused kujutavad endast Venemaa jaoks kõrge väärtusega luureobjekte, kuna nende kaudu on võimalik koguda varajast infot poliitiliste seisukohtade, otsustusprotsesside, liitlassuhete ning Ukraina-teemaliste arutelude kohta.
2025. aastal paistsid selles vallas silma kaks pikaajalise tegevuslooga Vene APT-rühmitust: APT29 ehk Cozy Bear ja Venomous Bear (tuntud ka kui Turla).
APT29, keda seostatakse Venemaa välisluureteenistusega (SVR), jätkas 2025. aastal sihitud õngitsuskampaaniatega Euroopa diplomaatiliste asutuste töötajate vastu.
Rünnete aluseks oli usaldusväärne ja kontekstipõhine peibutuslugu, mille raames esineti välisministeeriumite või muude sarnaste institutsioonide nimel ning edastati e-kirja teel näiliselt ametlikke kutseid ja teateid, näiteks diplomaatiliste ürituste või kohtumistega seoses.
Need kutsed sisaldasid pahaloomulisi linke või manuseid ning kui sihtmärk ei olnud piisavalt ettevaatlik ja nendele vajutas, andis see ründajatele ligipääsu tema tööarvutile ja e-posti kontole. Selle kaudu sai APT29 jälgida ohvri suhtlust, koguda dokumente ning kasutada kompromiteeritud kontot edasiste sihitud luurerünnete ettevalmistamiseks.
Venomous Bear, keda peetakse Venemaa üheks pikaajalisemaks ja tehniliselt võimekamaks APT-rühmituseks ning keda seostatakse Venemaa föderaalse julgeolekuteenistusega (FSB), jätkas 2025. aastal diplomaatiliste sihtmärkide vastu suunatud tegevust teistsuguse lähenemisega. Kui APT29 tugines eelkõige petukirjadele, mis olid suunatud välismaal asuvatele ELi diplomaatidele, siis Venomous Bear keskendus hoopis diplomaatilistele esindustele ja töötajatele, kes viibisid Venemaa territooriumil ning kasutasid sealset side- ja võrgutaristut.
See võimaldas Venomous Bearil suunata diplomaatide veebiliiklust nn vahepeatusse (adversary-in-the-middle), kus kasutajale kuvati näiline sertifikaadiviga või turvateade. Selle lahendamiseks paluti ohvril alla laadida ja paigaldada vastav tarkvarakomponent, mille abil said ründajad ligipääsu seadmele ning võimaluse jälgida diplomaatilist suhtlust.
Vene luureteenistusega seotud APT-rühmitused
| Fancy Bear/APT28 | Cozy Bear/APT29 | Venomous Bear / Turla | Laundry Bear / Void Blizzard | |
|---|---|---|---|---|
| Sihtmärgid | Riigiasutused, kaitsetööstus, tehnoloogia- ja logistikaettevõtted, kriitiline taristu, ning NATO ja ELga seotud rahvusvahelised institutsioonid. | Peamiselt ELi ja USA valitsusasutused, valitsusvälised organisatsioonid (NGO), energiasektor, välis- ja julgeolekupoliitikaga seotud institutsioonid ning tehnoloogia- ja pilveteenuste pakkujad. | Ida-Euroopa ja Kagu-Aasia valitsusasutused, sh välisministeeriumid, diplomaatilised esindused ning julgeolekuasutused Euroopas ja Euraasias, samuti rahvusvahelised organisatsioonid ja teadusasutused. | NATO liikmesriikide valitsusasutused, telekomiettevõtted, tervishoiusektor, kaitsetööstus ning meedia- ja transpordisektor. |
| Seotud luureteenistus |
Venemaa sõjaväeluure (GRU) 
|
Venemaa välisluureteenistus (SVR) 
|
Venemaa julgeolekuteenistus (FSB) 
|
Pole teada |
| Rünnakud | Viimastel aastatel viis läbi mitmeid luurekampaaniaid Ukraina toetamisega seotud lääneriikide logistika- ja transpordiettevõtete vastu. | Jätkas Euroopa diplomaatiliste asutuste vastu suunatud luurekampaaniatega, kasutades pahavara sisaldavaid peibutuskirju. | Möödunud aastal viis läbi luurekampaaniaid Euroopa diplomaatiliste välisteenistuste vastu. | Viimati seostati Hollandi politsei vastu suunatud küberluureintsidendiga, mille käigus sai rühmitus volitamata ligipääsu organisatsioonisisestele kontaktandmetele. |
Sammud autonoomse pahavara suunas
Viimastel aastatel toimunud tehisaru ja suurte keelemudelite hoogne areng on loonud uusi võimalusi igapäevaste tööülesannete automatiseerimiseks ja tõhustamiseks, kuid samal ajal on need tehnoloogiad leidnud laialdast rakendust ka küberkuritegevuses.
Näiteks on need võimaldanud automatiseerida ja kiirendada küberrünnakute ettevalmistavaid etappe, nagu petusõnumite koostamine, sihtmärkide profileerimine ning ründestsenaariumite kohandamine vastavalt kontekstile ja sihtmärgile.
Vene riikliku taustaga ohustajate seas on üks silmapaistvamaid selliste võimaluste kasutaja APT28 ehk Fancy Bear. Tegu on Vene sõjaväeluurega seotud rühmitusega, kes kasutas 2025. aastal küberrünnakutes oma kodukootud pahavara, mis sai küberturbekogukonnas nimeks LAMEHUG.
Mitme uurija hinnangul on tegemist esimese avalikult dokumenteeritud pahavaraga, mis kasutab ründeoperatsiooni käigus otseselt suurt keelemudelit (LLM). Nimelt rakendab LAMEHUG rünnaku käigus suurt keelemudelit selleks, et genereerida konkreetseid pahaloomulisi süsteemikäske ja skripte, mida pahavara nakatunud süsteemis seejärel täidab.
Need käsud on mõeldud muu hulgas nakatunud seadme süsteemiinfo kogumisele, kasutajafailide otsimisele ning seejärel kogutud andmete koondamisele ja ründajale edastamisele. See tähendab, et erinevalt tavalisest pahavarast ei põhine LAMEHUG staatilisel koodil, vaid võib ründeoperatsiooni käigus esineda erinevates vormides ja variatsioonides. Nõnda jätab see pahavara vähem korduvaid mustreid ja raskendab selle tuvastamist traditsiooniliste viirustõrje- ja signatuuripõhiste kaitselahenduste poolt.
LAMEHUG pole küll veel otseselt iseseisvalt otsuseid langetav tehisarupõhine pahavara, vaid pigem näide sellest, kuidas ründajad kasutavad keelemudeleid olemasolevate ründetaktikate paindlikumaks ja kiiremaks rakendamiseks. Kuid tasub silmas pidada, et need on alles esimesed sammud.
Tõenäoliselt näeme lähiaastatel senisest autonoomsemaid pahavarasid, mis suudavad iseseisvalt kohandada oma käitumist vastavalt kompromiteeritud süsteemile ja kaitsemeetmetele. Selline areng tähendaks kvalitatiivset hüpet pahavara arengus ning paneks proovile senised tuvastus- ja kaitselahendused.
Viimati uuendatud 04.02.2026
