Операция Red October (Rocra): кибершпионская сеть в Восточной Европе

image

Исследовательский центр «Лаборатории Касперского» по наводке «анонимного партнёра, который был заказчиком исследования», разоблачил ещё одну кибероперацию мирового масштаба. На этот раз речь идёт о сети Red October — обширной сети кибершпионажа против дипломатических и государственных структур, НИИ, промышленных компаний и военных ведомств разных стран, преимущественно, на территории России и стран СНГ, хотя жертвы встречаются буквально по всему миру.

Bookmark and Share

Как сообщается, атака была нацелена на конкретные организации в Восточной Европе, странах бывшего Советского Союза и Центральной Азии, а также Западной Европы и Северной Америки. Неизвестные злоумышленники атаковали конкретные цели по одной, устанавливая индивидуальный вариант вредоносной программы Backdoor.Win32.Sputnik практически вручную. Шпионская деятельность продолжается с 2007 года, а дата компиляции самого свежего файла — 8 января 2013 года, то есть операцию можно считать активной до настоящего момента. «Лаборатория Касперского» составила список стран с наибольшим количеством зарегистрированных случаев заражения (в таблицу включены страны с количеством заражений не менее пяти). Все заражения относятся к организациям высокого ранга, таким, например, как правительственные сети и дипломатические структуры.

Страна

Число заражений

Россия38
Казахстан21
Азербайджан15
Бельгия15
Индия14
Афганистан10
Армения10
Иран7
Туркменистан7
Украина6
США6
Вьетнам6
Беларусь5
Греция5
Италия5
Марокко5
Пакистан5
Швейцария5
Уганда5
Объединённые Арабские Эмираты5

Несколько главных выводов, которые «Лаборатория Касперского» делает по результатам предварительного анализа атаки.

  • Атакующие были активны на протяжении последних пяти лет, фокусируясь на дипломатических и государственных ведомствах в разных странах мира.
  • Информация, собранная из заражённых сетей, использовалась в последующих атаках. Например, украденные учётные данные были собраны в специальный список и использовались, когда атакующим требовалось подобрать логины и пароли в других сетях.
  • Инфраструктура серверов управления представляет собой цепочку прокси-серверов и скрывает местоположение реального финального сервера, где собираются данные.
  • Многофункциональная платформа позволяет быстро применять новые расширенные модули для сбора информации (детектируются «Лабораторией Касперского» как Backdoor.Win32.Sputnik). Система также имеет механизм противодействия закрытию серверов управления и позволяет атакующим восстановить доступ к заражённым системам, используя альтернативные каналы связи.
  • Помимо традиционных целей атак (рабочие станции) система способна красть данные с мобильных устройств, таких как смартфоны (iPhone, Nokia, Windows Mobile); собирать информацию с сетевого оборудования (Cisco); осуществлять сбор файлов с USB-дисков (включая ранее удалённые файлы, для чего использует собственную технологию восстановления файлов); красть почтовые базы данных из локального хранилища Outlook или с удаленного POP/IMAP сервера, а также извлекать файлы с локальных FTP-серверов в сети.
  • Обнаружено использование как минимум трёх различных эксплойтов к уже известным уязвимостям: CVE-2009-3129 (MS Excel), CVE-2010-3333 (MS Word) и CVE-2012-0158 (MS Word). В 2010-2011 годах в известных нам атаках использовались эксплойты для MS Excel, с лета 2012 года начались атаки с использованием уязвимости в MS Word.
  • Эксплойты, которые использовались в документах, рассылаемых в ходе целевых фишинговых атак, были созданы другими людьми. Предположительно, китайскими хакерами. Они изначально использовались в атаках, направленных на тибетских активистов, а также на военные структуры и энергетические компании азиатских стран. Организаторы Red October только заменяли исполняемые файлы в документах на свои.
  • В ходе последовательного распространения в локальной сети жертвы, атакующие внедряли модуль для сканирования сети с целью поиска станций, уязвимых для эксплойта к MS08-067 (уязвимость, использованная червем Conficker) или доступных при помощи администраторского аккаунта и собственной базы паролей. Отдельный модуль использовался для сбора информации для заражения серверов в той же сети.
  • Регистрационные данные серверов управления и различные «артефакты», оставленные в исполняемых файлах, дают веские основания для предположения, что атакующие — русскоязычные.
  • Эта группа атакующих и используемые ими файлы были неизвестны ранее, и они никак не связаны с какими-либо другими известными целевыми атаками. Примечательно, что одна из команд в троянском модуле инсталляции переключает кодовую страницу инфицируемой системы на 1251. Это требуется для того, чтобы иметь возможность обращаться к файлам и каталогам, содержащим кириллические символы.

Для контроля и получения данных жертв злоумышленники использовали более 60 доменных имен на нескольких десятках IP-адресов, расположенных в основном в Германии и России.

Операция Red October (Rocra): кибершпионская сеть в Восточной Европе

Неизвестно, из какой страны произошло нападение, но в коде вредоносных модулей встречаются неправильные слова, вроде “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”.

Список вредоносных модулей Backdoor.Win32.Sputnik и их предназначение приводится в таблице.

Операция Red October (Rocra): кибершпионская сеть в Восточной Европе

Во второй части обзора операции Red October «Лаборатория Касперского» обещает опубликовать дополнительную техническую информацию.

Подробнее: http://www.xakep.ru/post/59940/default.asp

Читать комменты и комментировать

Добавить комментарий / отзыв



Защитный код
Обновить

Операция Red October (Rocra): кибершпионская сеть в Восточной Европе | | 2013-01-15 12:06:00 | | Статьи об Интернет безопасности | | Исследовательский центр «Лаборатории Касперского» по наводке «анонимного партнёра, который был заказчиком исследования», разоблачил ещё одну кибероперацию мирового масштаба. На этот раз речь идёт о | РэдЛайн, создание сайта, заказать сайт, разработка сайтов, реклама в Интернете, продвижение, маркетинговые исследования, дизайн студия, веб дизайн, раскрутка сайта, создать сайт компании, сделать сайт, создание сайтов, изготовление сайта, обслуживание сайтов, изготовление сайтов, заказать интернет сайт, создать сайт, изготовить сайт, разработка сайта, web студия, создание веб сайта, поддержка сайта, сайт на заказ, сопровождение сайта, дизайн сайта, сайт под ключ, заказ сайта, реклама сайта, хостинг, регистрация доменов, хабаровск, краснодар, москва, комсомольск |
 
Поделиться с друзьями: