Crveni listopad zlonamjerni softver otkriven nakon godina krađe podataka u divljini

Sjenovita skupina hakera prošla je više od pet godina informacijske podatke iz diplomatskih, državnih i znanstvenih istraživačkih računalnih mreža, uključujući ciljeve u Sjedinjenim Državama, Kaspersky Lab je započeo istraživanje napada zlonamjernih programa u listopadu i nazvao ih "Rocra", kratko za "Crveno listopad". Rocra koristi brojne sigurnosne propuste u vrstama programa Microsoft Excel, Word i PDF dokumenti koji mogu inficirati Računala, pametnih telefona i opreme za umrežavanje računala. U utorak su istraživači otkrili da platforma zlonamjernih programa koristi i Java-iskorištavanje na webu.

Nije jasno tko je iza napada, no Rocra koristi barem tri javno poznata eksploatacija koje su izvorno stvorili kineski hakeri. Rocra programiranje, međutim, čini se da je iz zasebne skupine operativaca ruskog govornog područja, prema izvješću tvrtke Kaspersky Lab.

[Daljnje čitanje: Vaše novo računalo treba tih 15 besplatnih, izvrsnih programa]

Napadi su u tijeku i usmjerene na institucije na visokoj razini u onim što su poznate kao napadi na kopljima. Kaspersky procjenjuje da su napadi u listopadu prošle godine vjerojatno dobili stotine terabajta podataka u vrijeme kada je operativan, što bi moglo biti već u svibnju 2007.

Rocra infekcije otkrivene su u više od 300 zemalja u razdoblju od 2011. do 2012. godine, o informacijama iz Kasperskyjevih protuvirusnih proizvoda. Pogođene zemlje bile su pretežno bivše članice SSSR-a, uključujući Rusiju (35 infekcije), Kazahstan (21) i Azerbajdžan (15).

Ostale zemlje s velikim brojem infekcija uključuju Belgiju (15), Indiju (14) Afganistan (10) i Armenija (10). Šest zaraza otkrivene su na veleposlanstvima smještenom u Sjedinjenim Državama. Kaspersky je rekao da zlonamjerni softver korišten u Rocra može ukrasti podatke s PC radnih stanica i pametnih telefona koji su povezani s računalima, uključujući i one koji rade na računalima. iPhone, Nokia i Windows Mobile slušalice. Rocra može nabaviti podatke o konfiguraciji mreže iz opreme tvrtke Cisco i iskoristiti datoteke s prijenosnih diskovnih pogona uključujući i izbrisane podatke.

Malware platforma može ukrasti poruke e-pošte i privitke, bilježiti sve tipke zaraženih računala, snimiti snimke zaslona, i iskoristite povijest pregledavanja iz preglednika Chrome, Firefox, Internet Explorer i Opera. Kao da to nije dovoljno, Rocra također prima datoteke pohranjene na FTP poslužiteljima lokalne mreže i može se replicirati preko lokalne mreže.

Par za tečaj

Iako se Rocra sposobnosti pojavljuju opsežne, a ne sve u sigurnosnom polju bio je impresioniran Rocrinim metodama napada. "Čini se da iskorištava koja su korištena nisu ni na koji način napredovala", rekla je tvrtka za sigurnost F-Secure na svom blogu tvrtke. "Napadači su koristili staru, dobro poznatu Riječ, Excel i Java iskorištavanje. Do sada nema naznaka nultog dana ranjivosti koja se koristi. "Nula-dnevna ranjivost se odnosi na prethodno nepoznate eksploatacije otkrivene u divljini.

Unatoč tome što nije impresioniran tehničkim kapacitetima, F-Secure kaže da su napada Red October zanimljivi su zbog dugotrajnosti aktivnosti Rocre i razmjera špijunaže koju poduzima jedna grupa. "Međutim," dodao je F-Secure. "Tužna istina je da tvrtke i vlade stalno dolaze pod sličnim napadima iz raznih izvora."

Rocra počinje kada žrtva preuzme i otvori zlonamjernu datoteku produktivnosti (Excel, Word, PDF) koja zatim može preuzeti više zlonamjernih programa od Rocra zapovjedne i kontrolne poslužitelje, metoda poznata kao Trojan dropper. Ovaj drugi krug zlonamjernih programa uključuje programe koji prikupljaju podatke i šalju te podatke natrag hakerimaUkradeni podaci mogu uključivati ​​svakodnevne vrste datoteka kao što su obični tekst, bogati tekst, Word i Excel, ali crveni listopadni napadi idu i nakon kriptografskih podataka kao što su ppp i gpg šifrirane datoteke.

Osim toga, Rocra traži datoteke koje koriste Proširenja "Acid Cryptofile", što je kriptografski softver koji koriste vlade i organizacije, uključujući Europsku uniju i Sjevernoatlantskog saveza. Nije jasno jesu li ljudi koji stoje iza Rocre sposobni dešifrirati sve šifrirane podatke koje dobiju.

Preporod e-pošte

Rocra je također osobito otporna na smetnje u provedbi zakona, prema Kasperskyju. Ako su poslužitelji za naredbu i kontrolu kampanje bili isključeni, hakeri su osmislili sustav kako bi ponovno dobili kontrolu nad malware platformom jednostavnom e-poštom.

Jedna od komponenti tvrtke Rocra traži bilo koji dolazni PDF ili Office dokument koji sadrži izvršni kôd i označen je posebnim oznakama metapodataka. Dokument će proći sve sigurnosne provjere, kaže Kaspersky, ali nakon što se preuzme i otvori, Rocra može pokrenuti zlonamjernu aplikaciju pričvršćenu za dokument i nastaviti hraniti podatke negativcima. Koristeći ovaj trik, svi hakeri moraju napraviti postaviti neke nove poslužitelje i zlonamjerne dokumente e-poštom poslati ranijim žrtvama da se vrate u posao.

Rocrini poslužitelji postavljeni su kao niz proxija (poslužitelji koji se skrivaju iza drugih poslužitelja), što ga čini teže otkriti izvor napada. Kasperksy kaže kako je složenost Rocrene infrastrukture konkurentna onom od zlonamjernog softvera Plame, koji je također korišten za zarazu računala i krađu osjetljivih podataka. Nema poznate veze između Rocre, Plamena ili zlonamjernog softvera kao što je Duqu, koji je izgrađen na kodu sličnom Stuxnetu.

Kao što je istaknuto u F-Secureu, napadi Red October nisu činili ništa posebno novo, no količina vremena ove malware kampanje je u divljini je impresivan. Slično ostalim internetskim špijunskim kampanjama kao što je Flame, Red October oslanja se na duping korisnika u preuzimanju i otvaranju zlonamjernih datoteka ili posjetu zlonamjernim web mjestima na kojima se kôd može ubrizgati u svoje uređaje. To sugerira da dok špijunaža računala može biti u porastu, osnove računalne sigurnosti mogu dugo trajati kako bi spriječili ove napade.

Poduzmite mjere predostrožnosti

Korisne mjere opreza kao što su oprezni u datotekama nepoznatih pošiljatelja ili promatranje datoteke koje su izvan karaktera od njihovih pretpostavljenih pošiljatelja dobar je početak. Korisno je također paziti na posjete web-lokacija koje ne poznajete niti vjerujete, naročito kada koristite korporativnu opremu. Konačno, provjerite imate li sva najnovija sigurnosna ažuriranja za svoju verziju sustava Windows i ozbiljno razmislite o isključivanju Java ako ga apsolutno niste potrebni. Možda nećete moći spriječiti sve vrste napada, ali pridržavanje osnovnih sigurnosnih praksi može vas zaštititi od mnogih loših glumaca na mreži.

Kaspersky kaže da nije jasno je li napadi na crvenom listopadu rad nacionalne države ili kriminalaca koji traže da prodaju osjetljive podatke na crnom tržištu. Sigurnosna tvrtka planira objaviti više informacija o Rocri u nadolazećim danima.

Ako ste zabrinuti jesu li Rocra pogođeni bilo koji od vaših sustava, F-Secure kaže da njegov protuvirusni softver može otkriti trenutno poznate eksploatacije korištene u Crveni listopadni napadi. Kasperskyjev antivirusni softver također može otkriti prijetnje od Rocre.