Исследовательский центр «Лаборатории Касперского» по наводке «анонимного партнёра, который был заказчиком исследования», разоблачил ещё одну кибероперацию мирового масштаба. На этот раз речь идёт о сети Red October — обширной сети кибершпионажа против дипломатических и государственных структур, НИИ, промышленных компаний и военных ведомств разных стран, преимущественно, на территории России и стран СНГ, хотя жертвы встречаются буквально по всему миру.

Как сообщается, атака была нацелена на конкретные организации в Восточной Европе, странах бывшего Советского Союза и Центральной Азии, а также Западной Европы и Северной Америки. Неизвестные злоумышленники атаковали конкретные цели по одной, устанавливая индивидуальный вариант вредоносной программы Backdoor.Win32.Sputnik практически вручную.
Шпионская деятельность продолжается с 2007 года, а дата компиляции самого свежего файла — 8 января 2013 года, то есть операцию можно считать активной до настоящего момента. «Лаборатория Касперского» составила список стран с наибольшим количеством зарегистрированных случаев заражения (в таблицу включены страны с количеством заражений не менее пяти). Все заражения относятся к организациям высокого ранга, таким, например, как правительственные сети и дипломатические структуры.

Страна

Число заражений

Россия 38
Казахстан 21
Азербайджан 15
Бельгия 15
Индия 14
Афганистан 10
Армения 10
Иран 7
Туркменистан 7
Украина 6
США 6
Вьетнам 6
Беларусь 5
Греция 5
Италия 5
Марокко 5
Пакистан 5
Швейцария 5
Уганда 5
Объединённые Арабские Эмираты 5

Несколько главных выводов, которые «Лаборатория Касперского» делает по результатам предварительного анализа атаки.

  • Атакующие были активны на протяжении последних пяти лет, фокусируясь на дипломатических и государственных ведомствах в разных странах мира.
  • Информация, собранная из заражённых сетей, использовалась в последующих атаках. Например, украденные учётные данные были собраны в специальный список и использовались, когда атакующим требовалось подобрать логины и пароли в других сетях.
  • Инфраструктура серверов управления представляет собой цепочку прокси-серверов и скрывает местоположение реального финального сервера, где собираются данные.
  • Многофункциональная платформа позволяет быстро применять новые расширенные модули для сбора информации (детектируются «Лабораторией Касперского» как Backdoor.Win32.Sputnik). Система также имеет механизм противодействия закрытию серверов управления и позволяет атакующим восстановить доступ к заражённым системам, используя альтернативные каналы связи.
  • Помимо традиционных целей атак (рабочие станции) система способна красть данные с мобильных устройств, таких как смартфоны (iPhone, Nokia, Windows Mobile); собирать информацию с сетевого оборудования (Cisco); осуществлять сбор файлов с USB-дисков (включая ранее удалённые файлы, для чего использует собственную технологию восстановления файлов); красть почтовые базы данных из локального хранилища Outlook или с удаленного POP/IMAP сервера, а также извлекать файлы с локальных FTP-серверов в сети.
  • Обнаружено использование как минимум трёх различных эксплойтов к уже известным уязвимостям: CVE-2009-3129 (MS Excel), CVE-2010-3333 (MS Word) и CVE-2012-0158 (MS Word). В 2010-2011 годах в известных нам атаках использовались эксплойты для MS Excel, с лета 2012 года начались атаки с использованием уязвимости в MS Word.
  • Эксплойты, которые использовались в документах, рассылаемых в ходе целевых фишинговых атак, были созданы другими людьми. Предположительно, китайскими хакерами. Они изначально использовались в атаках, направленных на тибетских активистов, а также на военные структуры и энергетические компании азиатских стран. Организаторы Red October только заменяли исполняемые файлы в документах на свои.
  • В ходе последовательного распространения в локальной сети жертвы, атакующие внедряли модуль для сканирования сети с целью поиска станций, уязвимых для эксплойта к MS08-067 (уязвимость, использованная червем Conficker) или доступных при помощи администраторского аккаунта и собственной базы паролей. Отдельный модуль использовался для сбора информации для заражения серверов в той же сети.
  • Регистрационные данные серверов управления и различные «артефакты», оставленные в исполняемых файлах, дают веские основания для предположения, что атакующие — русскоязычные.
  • Эта группа атакующих и используемые ими файлы были неизвестны ранее, и они никак не связаны с какими-либо другими известными целевыми атаками. Примечательно, что одна из команд в троянском модуле инсталляции переключает кодовую страницу инфицируемой системы на 1251. Это требуется для того, чтобы иметь возможность обращаться к файлам и каталогам, содержащим кириллические символы.

Для контроля и получения данных жертв злоумышленники использовали более 60 доменных имен на нескольких десятках IP-адресов, расположенных в основном в Германии и России.

Неизвестно, из какой страны произошло нападение, но в коде вредоносных модулей встречаются неправильные слова, вроде “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”.

Список вредоносных модулей Backdoor.Win32.Sputnik и их предназначение приводится в таблице.

Во второй части обзора операции Red October «Лаборатория Касперского» обещает опубликовать дополнительную техническую информацию.



1 комментарий

  1. 17.02.2015 at 22:40

    Ну надо-же Россию поссорить с Китаем….

Оставить мнение