Hanya setelah intrusi berikutnya, ketika Volexity berhasil mendapatkan catatan lalu lintas peretas yang lebih lengkap, para analisnya berhasil memecahkan misteri tersebut: Perusahaan menemukan bahwa mesin yang dibajak yang digunakan para peretas untuk menggali sistem pelanggannya membocorkan nama tersebut. dari domain tempatnya dihosting—bahkan, nama organisasi lain tepat di seberang jalan. “Pada saat itu, 100 persen jelas dari mana asalnya,” kata Adair. “Ini bukan mobil di jalan. Itu gedung sebelah.”
Dengan kerja sama tetangga tersebut, Volexity menyelidiki jaringan organisasi kedua tersebut dan menemukan bahwa laptop tertentu adalah sumber gangguan Wi-Fi. Para peretas telah menembus perangkat tersebut, yang dicolokkan ke dok yang terhubung ke jaringan lokal melalui Ethernet, dan kemudian mengaktifkan Wi-Fi-nya, sehingga memungkinkannya bertindak sebagai relai berbasis radio ke jaringan target. Volexity menemukan bahwa, untuk membobol Wi-Fi target, para peretas telah menggunakan kredensial yang mereka peroleh secara online tetapi tampaknya tidak dapat mengeksploitasinya di tempat lain, kemungkinan karena otentikasi dua faktor.
Volexity akhirnya melacak para peretas di jaringan kedua tersebut ke dua kemungkinan titik intrusi. Para peretas tampaknya telah menyusupi alat VPN milik organisasi lain. Namun mereka juga membobol Wi-Fi organisasi tersebut lain perangkat jaringan di gedung yang sama, menunjukkan bahwa peretas mungkin telah melakukan daisy-chain sebanyak tiga jaringan melalui Wi-Fi untuk mencapai target akhir mereka. “Siapa yang tahu berapa banyak perangkat atau jaringan yang mereka gunakan untuk melakukan peretasan dan melakukan hal ini,” kata Adair.
Faktanya, bahkan setelah Volexity mengusir para peretas dari jaringan pelanggan mereka, para peretas mencoba lagi pada musim semi itu untuk menerobos melalui Wi-Fi, kali ini mencoba mengakses sumber daya yang dibagikan di jaringan Wi-Fi tamu. “Orang-orang ini sangat gigih,” kata Adair. Dia mengatakan bahwa Volexity mampu mendeteksi upaya pelanggaran berikutnya, dan dengan cepat mengunci penyusup.
Volexity telah menduga sejak awal penyelidikannya bahwa para peretas tersebut berasal dari Rusia karena mereka menargetkan staf individu di organisasi pelanggan yang berfokus di Ukraina. Kemudian pada bulan April, dua tahun setelah intrusi awal, Microsoft memperingatkan adanya kerentanan pada print spooler Windows yang telah digunakan oleh kelompok peretas APT28 Rusia—Microsoft menyebut kelompok tersebut sebagai Forest Blizzard—untuk mendapatkan hak administratif pada mesin target. Sisa-sisa yang tertinggal di komputer pertama yang dianalisis Volexity dalam pelanggaran berbasis Wi-Fi pada pelanggannya sama persis dengan teknik tersebut. “Itu adalah pertandingan satu lawan satu,” kata Adair.
