научно-популярное приложение к газете "Голос Армении"
Menu

Операция "Красный Октябрь"

Касперский

"Лаборатория Касперского" опубликовала отчет об исследовании масштабной кампании, проводимой киберпреступниками с целью шпионажа за дипломатическими, правительственными и научными организациями в различных странах мира. Действия злоумышленников были направлены на получение конфиденциальной информации, данных, открывающих доступ к компьютерным системам, персональным мобильным устройствам и корпоративным сетям, а также сбор сведений геополитического характера. Основной акцент атакующие сделали на республиках бывшего СССР, странах Восточной Европы, а также на некоторых государствах Центральной Азии.

В ОКТЯБРЕ 2012 ГОДА ЭКСПЕРТЫ "ЛАБОРАТОРИИ КАСПЕРСКОГО" НАЧАЛИ РАССЛЕДОВАНИЕ серии атак на компьютерные сети международных дипломатических представительств. В процессе изучения этих инцидентов специалисты обнаружили масштабную кибершпионскую сеть. По итогам ее анализа эксперты пришли к выводу, что операция под кодовым названием "Красный октябрь" началась еще в 2007 году и продолжается до сих пор.

Основной целью киберпреступников стали дипломатические и правительственные структуры по всему миру. Однако среди жертв встречаются и научно-исследовательские институты, компании, занимающиеся вопросами энергетики, в том числе ядерной, космические агентства и торговые предприятия. Создатели "Красного октября" разработали собственное вредоносное ПО, имеющее уникальную модульную архитектуру, состоящую из вредоносных расширений, модулей, предназначенных для кражи информации. В антивирусной базе "Лаборатории Касперского" данная вредоносная программа имеет название Backdoor.Win32.Sputnik.

Для контроля сети зараженных машин киберпреступники использовали более 60 доменных имен и серверы, расположенные в различных странах мира. При этом значительная их часть была расположена на территории Германии и России. Анализ инфраструктуры серверов управления, проведенный экспертами "Лаборатории Касперского", показал, что злоумышленники использовали целую цепочку прокси-серверов, чтобы скрыть местоположение главного сервера управления.

Преступники похищали из зараженных систем информацию, содержащуюся в файлах различных форматов. Среди прочих эксперты обнаружили файлы с расширением acid*, говорящие об их принадлежности к секретному программному обеспечению Acid Cryptofiler, которое использует ряд организаций, входящих в состав Европейского Союза и НАТО.

Для заражения систем преступники использовали фишинговые письма, адресованные конкретным получателям в той или иной организации. В состав письма входила специальная троянская программа, для установки которой письма содержали коды, использующие уязвимые стороны Microsoft Office. Эти коды уже были созданы другими злоумышленниками и ранее использовались в различных кибератаках, нацеленных как на тибетских активистов, так и на военный и энергетический секторы ряда государств Азиатского региона.

ДЛЯ ОПРЕДЕЛЕНИЯ ЖЕРТВ КИБЕРШПИОНАЖА ЭКСПЕРТЫ "ЛАБОРАТОРИИ КАСПЕРСКОГО" анализировали данные, полученные из двух основных источников: облачного сервиса Kaspersky Security Network (KSN) и sinkhole-серверов, предназначенных для наблюдения за инфицированными машинами, выходящими на связь с командными серверами.

Статистические данные KSN помогли обнаружить несколько сотен уникальных инфицированных компьютеров, большинство из которых принадлежали посольствам, консульствам, государственным организациям и научно-исследовательским институтам. Значительная часть зараженных систем была обнаружена в странах Восточной Европы.

Данные sinkhole-серверов были получены в период со 2 ноября 2012 года по 10 января 2013-го. За это время было зафиксировано более 55000 подключений с 250 зараженных IP-адресов, зарегистрированных в 39 странах. Большинство соединений, установленных с зараженных IP-адресов, были зафиксированы в Швейцарии, Казахстане и Греции.

Киберпреступники создали многофункциональную платформу для совершения атак, содержащую несколько десятков расширений и вредоносных файлов, способных быстро подстраиваться под разные системные конфигурации и собирать конфиденциальные данные с зараженных компьютеров.

К НАИБОЛЕЕ ПРИМЕЧАТЕЛЬНЫМ ХАРАКТЕРИСТИКАМ МОДУЛЕЙ МОЖНО ОТНЕСТИ:

МОДУЛЬ ВОССТАНОВЛЕНИЯ, позволяющий преступникам воссоздавать зараженные машины. Модуль встраивается как плагин (компилирующий программный модуль) в Adobe Reader и Microsoft Office и обеспечивает атакующим повторный доступ к системе в случае, если основная вредоносная программа была детектирована и удалена или если произошло обновление системы;

УСОВЕРШЕНСТВОВАННЫЕ криптографические шпионские модули, предназначенные для кражи информации, в том числе из различных криптографических систем, например, из Acid Cryptofiler, которая используется с 2011 года для защиты информации в таких организациях, как НАТО, Европейский Союз, Европарламент и Еврокомиссия;

ВОЗМОЖНОСТЬ ИНФИЦИРОВАНИЯ мобильных устройств: помимо заражения традиционных рабочих станций это вредоносное ПО способно красть данные с мобильных устройств, в частности смартфонов (iPhone, Nokia и Windows Phone). Злоумышленники также могли красть информацию о конфигурации с сетевого промышленного оборудования (маршрутизаторы, коммутационные устройства) и даже удаленные файлы с внешних USB-накопителей.

Регистрационные данные командных серверов и информация, содержащаяся в исполнительных файлах вредоносного ПО, дают все основания предполагать наличие у киберпреступников русскоязычных корней.

"Лаборатория Касперского" совместно с международными организациями, правоохранительными органами и национальными командами реагирования на компьютерные инциденты (Computer Emergency Response Teams, CERT) продолжает расследование операции, предоставляя техническую экспертизу и ресурсы для информирования и проведения мероприятий по лечению зараженных систем.

SECURELIST

Опубликовано в Взгляд
Прочитано 1024 раз
Оцените материал
(0 голосов)
Другие материалы в этой категории: « Тренировки по-самурайски Страсти по Армагеддону »

Оставить комментарий

Убедитесь, что вы вводите (*) необходимую информацию, где нужно
HTML-коды запрещены

Наверх