Monitapaustutkimus valikoiduista Kiinaan ja Venäjään liitetyistä kyberhyökkäysryhmistä : kohdennetut haittaohjelmahyökkäykset - Karsikas, Jyrki (2021)
Informaatioekosysteemien muutos on ollut vaikuttamassa kohdennettujen haittaohjelmahyökkäysten syntyyn. Kohdennetulla haittaohjelmahyökkäyksellä tarkoitetaan hyökkäystä, missä sofistikoitunut hyökkääjä toimii tietoverkossa peitellysti ja pitkäaikaisesti. Nykypäivänä tiedusteluoperaatioita voidaan suorittaa tietoverkossa lähes mistä tahansa menemättä kohdemaahan. Meneillään oleva COVID-19-pandemia on siirtänyt vakoilun painopistettä enemmän tietoverkkoihin. Monet valtiot tai niihin liittyvät kyberhyökkäysryhmät suorittavat vakoilua tietoverkoissa. Kiina ja Venäjä kuuluvat suurimpiin toimijoihin kybervakoilussa. Ne ovat myös merkittävimmät Suomen etuja vastaan tiedustelullisesti toimivat valtiot. Tässä pro gradu–tutkielmassa käsiteltiin muutamia valikoituja Kiinaan ja Venäjään liitettyjä kyberhyökkäysryhmiä. Tutkielman päätutkimuskysymyksessä tarkasteltiin kyseisten valtioiden ja niihin liittyvien kyberhyökkäysryhmien eroja. Ennen varsinaista päätutkimuskysymykseen vastaamista pyrittiin selvittämään yhtäläisyyksiä erikseen Kiinaan sekä Venäjään liittyvien ryhmien toiminnassa sekä työkaluissa, tekniikoissa ja proseduureissa. Tutkimusstrategiana käytettiin monitapaustutkimusta, joka soveltuu hyvin tämän tyyppiseen tutkimukseen, jossa on useita tarkasteltavia tapauksia ja hyödynnetään erityyppisiä tiedonkeräysmenetelmiä. Tutkimus on myös aineistolähtöistä, joten tässä tutkimuksessa käytettiin kvalitatiivista tutkimusotetta. Tiedon keräämisen ohjaukseen hyödynnettiin kyberattribuutiomallia, joka toimi myös analyysityökaluna yhdessä MITRE:n ATT&CK-kehyksen kanssa. Tutkitut kyberhyökkäysryhmät olivat Kiinaan liittyvät APT3, APT10 ja APT41 sekä Venäjään liittyvät APT28, APT29 ja Turla. Tutkimustuloksista käy ilmi, että kiinalaiset kyberhyökkäysryhmät tekevät yhteistyötä ja jakavat muun muassa työkaluja. Sen sijaan venäläisten ryhmien osalta työkalujen jakamisesta ei ole havaintoja, sillä niiden operaatioissa operaatioturvallisuuden merkitys korostuu. Vasta viimeisimmältä vuodelta on noussut esiin epäilys kahden venäläisen ryhmän yhteistyöstä. Varsinaisten tutkimuskysymyksien ulkopuolelta nousikin esiin alustava havainto, että COVID-19-pandemia on voinut muuttaa ryhmien toimintaa enemmän yhteistyössä tehtyjen operaatioiden suuntaan ja niillä on myös mahdollisesti pyritty saamaan taloudellista etua vakoilun lisäksi.