Istraživači otkrivaju novu globalnu operaciju cyberespionage pod nazivom Sigurno

Istraživači sigurnosti Trend Microa otkrili su aktivnu operaciju internetskog operacija koja je do sada ugrozila računala koja pripadaju vladinim ministarstvima, tehnološkim tvrtkama, medijima, akademskim istraživačkih institucija i nevladinih organizacija iz više od 100 zemalja.

Operacija, koju Trend Micro naziva Sigurno, cilja potencijalne žrtve pomoću e-pošte s malicioznim privicima.

Dvije taktike uočene

Istraživanje je otkrilo dva niza komandi i kontrole (C & C) poslužitelja koji se koriste za ono što čini se da su dva odvojena sigurna kampanje koje imaju različite ciljeve, ali koriste isti zlonamjerni softver.

[Dodatna čitanja: Kako ukloniti zlonamjerni softver s računala sa sustavom Windows]

Jedna kampanja koristi poruke e-pošte s podacima o krađi identiteta s sadržajem povezanim s Tibetom i Mongolijom. Ove e-pošte imaju.doc privitke koji iskorištavaju Microsoftovu ranjivost koju je Microsoft zakrpao u travnju 2012.

Pristupni zapisi prikupljeni iz C & C poslužitelja ove kampanje otkrili su ukupno 243 jedinstvene adrese IP adrese IP adrese (žrtava interneta) iz 11 različitih zemalja. Međutim, istraživači su pronašli samo tri žrtve koje su još bile aktivne u vrijeme njihove istrage, s IP adresama iz Mongolije i Južnog Sudana.

C & C poslužitelji koji odgovaraju drugoj kampanji napao su 11.563 jedinstvene IP adrese žrtava iz 116 različitih zemalja, no stvarni broj žrtava vjerojatno će biti znatno niži, rekli su istraživači. U prosjeku, 71 žrtva aktivno je komuniciralo s ovim skupom poslužitelja za C & C u bilo kojem trenutku tijekom istrage.

Napadne poruke e-pošte korištene u drugoj kampanji nisu identificirane, ali kampanja je veća opseg i žrtve koje su šire rasprostranjene zemljopisno. Najveći pet zemalja prema broju IP adresa žrtve su Indija, SAD, Kina, Pakistan, Filipini i Rusija.

Zlonamjerni softver na misiji

Zlonamjerni softver instaliran na zaraženim računalima prvenstveno je dizajniran za krađu informacija, ali njegova funkcionalnost može se poboljšati dodatnim modulima. Istraživači su pronašli komponente dodataka za posebne namjene na poslužiteljskim i upravljačkim poslužiteljima, kao i na programima koji se mogu koristiti za ekstrakciju spremljenih zaporki s Internet Explorera i Mozilla Firefox, kao i vjerodajnice Remote Desktop Protocol pohranjene u "Dok određujemo namjeru i identitet napadača, često je i dalje teško utvrditi, utvrdili smo da se kampanja Sigurna cilja i koristi zlonamjerni softver razvijen od strane profesionalnog softverskog inženjera koji može biti povezan s cybercriminalnim podzemljem u Kini" istraživači Trend Microa izjavili su u svom radu. "Ovaj je pojedinac studirao na istaknutom tehničkom sveučilištu u istoj zemlji i čini se da ima pristup izvoru kodova izvornog koda tvrtke za usluge internetskih usluga."

Operatori poslužitelja C & C pristupali su im iz IP adresa u nekoliko zemalja, ali najčešće iz Kina i Hong Kong, rekli su istraživači Trend Micro. "Također smo vidjeli upotrebu VPN-ova i proxy alata, uključujući Tor, što je doprinijelo zemljopisnoj raznolikosti IP adresa operatora."

Članak ažuriran u 9:36 sati PT da bi odražavao da je Trend Micro promijenio naziv operacija kiberespionage koja je bila predmet priče i veza s njegovim istraživačkim izvješćem.