Исследовательский центр «Лаборатории Касперского» по наводке «анонимного партнёра, который был заказчиком исследования», разоблачил ещё одну кибероперацию мирового масштаба. На этот раз речь идёт о сети Red October — обширной сети кибершпионажа против дипломатических и государственных структур, НИИ, промышленных компаний и военных ведомств разных стран, преимущественно, на территории России и стран СНГ, хотя жертвы встречаются буквально по всему миру.
Как сообщается, атака была нацелена на конкретные организации в Восточной Европе, странах бывшего Советского Союза и Центральной Азии, а также Западной Европы и Северной Америки. Неизвестные злоумышленники атаковали конкретные цели по одной, устанавливая индивидуальный вариант вредоносной программы Backdoor.Win32.Sputnik практически вручную.
Шпионская деятельность продолжается с 2007 года, а дата компиляции самого свежего файла — 8 января 2013 года, то есть операцию можно считать активной до настоящего момента. «Лаборатория Касперского» составила список стран с наибольшим количеством зарегистрированных случаев заражения (в таблицу включены страны с количеством заражений не менее пяти). Все заражения относятся к организациям высокого ранга, таким, например, как правительственные сети и дипломатические структуры.
Страна |
Число заражений |
|---|---|
| Россия | 38 |
| Казахстан | 21 |
| Азербайджан | 15 |
| Бельгия | 15 |
| Индия | 14 |
| Афганистан | 10 |
| Армения | 10 |
| Иран | 7 |
| Туркменистан | 7 |
| Украина | 6 |
| США | 6 |
| Вьетнам | 6 |
| Беларусь | 5 |
| Греция | 5 |
| Италия | 5 |
| Марокко | 5 |
| Пакистан | 5 |
| Швейцария | 5 |
| Уганда | 5 |
| Объединённые Арабские Эмираты | 5 |
Несколько главных выводов, которые «Лаборатория Касперского» делает по результатам предварительного анализа атаки.
- Атакующие были активны на протяжении последних пяти лет, фокусируясь на дипломатических и государственных ведомствах в разных странах мира.
- Информация, собранная из заражённых сетей, использовалась в последующих атаках. Например, украденные учётные данные были собраны в специальный список и использовались, когда атакующим требовалось подобрать логины и пароли в других сетях.
- Инфраструктура серверов управления представляет собой цепочку прокси-серверов и скрывает местоположение реального финального сервера, где собираются данные.
- Многофункциональная платформа позволяет быстро применять новые расширенные модули для сбора информации (детектируются «Лабораторией Касперского» как Backdoor.Win32.Sputnik). Система также имеет механизм противодействия закрытию серверов управления и позволяет атакующим восстановить доступ к заражённым системам, используя альтернативные каналы связи.
- Помимо традиционных целей атак (рабочие станции) система способна красть данные с мобильных устройств, таких как смартфоны (iPhone, Nokia, Windows Mobile); собирать информацию с сетевого оборудования (Cisco); осуществлять сбор файлов с USB-дисков (включая ранее удалённые файлы, для чего использует собственную технологию восстановления файлов); красть почтовые базы данных из локального хранилища Outlook или с удаленного POP/IMAP сервера, а также извлекать файлы с локальных FTP-серверов в сети.
- Обнаружено использование как минимум трёх различных эксплойтов к уже известным уязвимостям: CVE-2009-3129 (MS Excel), CVE-2010-3333 (MS Word) и CVE-2012-0158 (MS Word). В 2010-2011 годах в известных нам атаках использовались эксплойты для MS Excel, с лета 2012 года начались атаки с использованием уязвимости в MS Word.
- Эксплойты, которые использовались в документах, рассылаемых в ходе целевых фишинговых атак, были созданы другими людьми. Предположительно, китайскими хакерами. Они изначально использовались в атаках, направленных на тибетских активистов, а также на военные структуры и энергетические компании азиатских стран. Организаторы Red October только заменяли исполняемые файлы в документах на свои.
- В ходе последовательного распространения в локальной сети жертвы, атакующие внедряли модуль для сканирования сети с целью поиска станций, уязвимых для эксплойта к MS08-067 (уязвимость, использованная червем Conficker) или доступных при помощи администраторского аккаунта и собственной базы паролей. Отдельный модуль использовался для сбора информации для заражения серверов в той же сети.
- Регистрационные данные серверов управления и различные «артефакты», оставленные в исполняемых файлах, дают веские основания для предположения, что атакующие — русскоязычные.
- Эта группа атакующих и используемые ими файлы были неизвестны ранее, и они никак не связаны с какими-либо другими известными целевыми атаками. Примечательно, что одна из команд в троянском модуле инсталляции переключает кодовую страницу инфицируемой системы на 1251. Это требуется для того, чтобы иметь возможность обращаться к файлам и каталогам, содержащим кириллические символы.
Для контроля и получения данных жертв злоумышленники использовали более 60 доменных имен на нескольких десятках IP-адресов, расположенных в основном в Германии и России.
Неизвестно, из какой страны произошло нападение, но в коде вредоносных модулей встречаются неправильные слова, вроде “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”.
Список вредоносных модулей Backdoor.Win32.Sputnik и их предназначение приводится в таблице.
Во второй части обзора операции Red October «Лаборатория Касперского» обещает опубликовать дополнительную техническую информацию.
