TL;DR
Operation Disruption: FBI demonterade ett ryskt GRU DNS-kapningsnätverk kallat FrostArmada som äventyrade 18 000 routrar i 120 länder. Attackmetod: Angripare förvandlade komprometterade MikroTik-och TP-Link-routrar till osynliga proxyservrar för att fånga upp Microsoft 365-inloggningar och stjäla autentiseringstokens. Skala: Microsoft identifierade mer än 200 organisationer och 5 000 konsumentenheter i nätverket vid sin topp i december 2025. Eskaleringstrigger: Kampanjen expanderade kraftigt efter att en brittisk NCSC-rapport i augusti 2025 avslöjade gruppens verktygskapacitet. Användarvägledning: SOHO-routeranvändare bör uppdatera firmware, kontrollera DNS-inställningar och blockera exponerade fjärrhanteringsgränssnitt.
Föderala myndigheter avvecklade ett ryskt militärt underrättelsenätverk den 7 april, vilket avslutade en FrostArmada-kampanj som avlyssnade Microsoft 365-inloggningar från 18 000 komprometterade routrar i 120 länder. En enda avslagen webbläsarevarning skilde offren från operationen.
Court-auktoriserad “BIa kapning av nätverket DNS”Microsofts offer har fler än 0 enheter än identifierats och 0 enheter har identifierats
How The Attacked>How The Attacked routrar bar den största delen av kampanjen. MikroTik-och TP-Link-modellerna stod inför den tyngsta inriktningen tillsammans med brandväggsprodukter från Nethesis och äldre Fortinet-hårdvara. Efter att ha fått åtkomst skickade angripare skadliga DNS-inställningar via DHCP till alla anslutna enheter. Trafik som omdirigerades genom motståndarinfrastruktur utan användarkännedom.
En webbläsarvarning om ett ogiltigt TLS-certifikat fungerade som den enda synliga varningen. Att avfärda det gav hotaktören tillgång till okrypterad internetkommunikation, inklusive Microsoft 365-sessioner och Outlook på webben. Angripare förfalskade också DNS-svar i vissa fall, och tvingade slutpunkter direkt till attackinfrastrukturen istället för att bara omdirigera genom modifierade resolvers.
Black Lotus Labs-forskare på Lumen
proxytjänst som körs på motståndaren i mitten. En automatiserad filtreringsprocess sorterad genom avlyssnade DNS-förfrågningar för att identifiera värdefulla mål. FrostArmada kunde kompromissa brett och sedan fokusera selektivt. “Alla letar efter någon sofistikerad skadlig programvara för att släppa något på dina mobila enheter eller något. De här killarna använde inte skadlig programvara. De gjorde detta på ett gammaldags gråskäggssätt som inte är riktigt sexigt men det får jobbet gjort” att dela ett nätverk med en komprometterad router utsattes för okrypterade lösenord, autentiseringstokens och e-postmeddelanden. FrostArmada nådde 18 000 infekterade enheter i 120 länder vid sin topp i december 2025. Statliga myndigheter, brottsbekämpande myndigheter, IT-leverantörer och organisationer som driver sina egna servrar drog primär inriktning. Utöver Microsoft 365-ekosystemet avlyssnade kampanjen även DNS-förfrågningar från tre afrikanska statliga organisationer som inte finns på Microsofts infrastruktur. Forskare observerade inriktning på enheter med lokala e-postservrar i Nordafrika, Centralamerika och Sydostasien. En koppling till en nationell identitetsplattform i ett europeiskt land dök också upp. Komprometterade routrar inom USA sträckte sig över mer än 23 delstater. FBI-och DOJ-team ledde störningen, med polsk regeringsstöd. FBI-ingenjörer utvecklade kommandon för att , vilket tvingar dem att skaffa legitima lösare från sina internetleverantörer. Omfattande testning av TP-Link-firmware och hårdvara föregick distributionen. Kommandon skulle inte störa normal routerfunktionalitet eller samla in legitima användardata. Fabriksåterställningar kan ångra de domstolsauktoriserade ändringarna. Samordning med Internetleverantörer fortsätter för användaravisering. Federala utredare publicerade saneringsvägledning i ett public service-meddelande (PSA260407) via Internet Crime Complaint Center. “Operation Masquerade demonstrerar FBI:s engagemang för att identifiera, avslöja och störa den ryska regeringens ansträngningar att äventyra amerikanska enheter, stjäla känslig information, riktig information “Leatherman, biträdande direktör för FBI:s cyberdivision (via U.S.A. Justitiedepartementet)Escension> APT28, även spårad som Fancy Bear, Sofacy, Strontium, Storm-2754 och Sednit, har kopplats till Rysslands GRU-enhet 26165. Sedan 2024 har gruppen äventyrat TP-Link-routrar och utnyttjat kända sårbarheter för att stjäla referenser från maj till aktivitetsdata från maj. 2025, när den första motståndaren-i-mitt-noden identifierades som tog emot DNS-trafik från en afghansk regerings MikroTik-router. Publiceringen av UK NCSC:s Authentic Antics-rapport i augusti förra året utlöste en kraftig acceleration. Lumen upptäckte utbredd exploatering med början nästa dag. Före publiceringen använde gruppen kapaciteten sparsamt. Efteråt distribuerade de det systemiskt mot varje sårbar router de kunde hitta, enligt säkerhetsingenjörer på Black Lotus Labs. Två distinkta team drev operationen. En expansionsgrupp fokuserade på att utöka botnätet, medan en separat grupp hanterade motståndare-i-mitten-attacker och insamling av autentiseringsuppgifter. SOHO-routeranvändare bör ersätta enheter som inte stöds, installera den senaste firmware, kontrollera DNS-inställningar och blockera exponerade regler för fjärrhantering av brandväggar. Att fästa certifikat på företagsenheter som hanteras genom MDM-lösningar kommer att generera fel när angriparens infrastruktur fångar upp trafik, enligt Black Lotus Labs. IC3:s public service-meddelande ger ytterligare åtgärdsvägledning för berörda användare.
Skala och mål
Operation Masquerade Details
Vad användare bör göra
