В сети обнаружен новый вирус Turla

В сети обнаружен новый вирус Turla

Ранее неизвестное шпионское программное обеспечение уже смогло инфицировать сотни правительственных компьютеров в Европе и США. Специалисты говорят, что по своей логике вредонос является одним из сложнейших за всю историю.

Несколько западных специалистов по ИТ-безопасности и разведывательных агентств полагают, что вредоносное программное обеспечение Turla работает в интересах официальных российских властей и связано с тем же программным обеспечением, которое уже поражало американские военные сети в 2008 году.

Подобные утверждения основаны на анализе тактики хакеров, а также на множестве технических индикаторов и жертвах, которые были атакованы Turla. «Это сложное программное обеспечение, похожее на другие эксплоиты российского производства. Оно использует шифрование и ориентировано на западные правительства», - говорит Джим Льюис, экс-служащий дипломатической службы США, в настоящее время старший научный сотрудник Центра стратегических и международных исследований в Вашингтоне, сообщает cybersecurity.ru.

Тем не менее, эксперты по безопасности предупреждают: связь с Россией - это лишь догадка, которую невозможно подтвердить до тех пор, пока (и если) Москва не возьмет на себя ответственность за создание кода. В Turla разработчики используют много технологий для сокрытия собственной личности.

Отметим, что слухи о новом российском супер-вредоносе изначально были заявлены небольшой немецкой компанией G Data, однако в терминологии этой компании код получил названием Uroburos. Здесь говорят, что российские про-правительственные хакеры пишут достаточно качественный с точки зрения функционала софт и умело скрывают свою личность, кроме того, они очень эффективно поддерживают контроль над зараженными ресурсами и сетями. Здесь тактика атак выбирается очень избранно и подгоняется под конкретную жертву. Китайские про-правительственные хакеры действуют совершенно иначе - они атакуют максимально широко, надеясь хотя бы единожды попасть в цель.

«Все они знают, что большинство людей не имеют технических знаний, чтобы победить. Кроме того, большинство людей не задумываются о хакерской угрозе и делают многие вещи в спящем состоянии», - говорит Льюис.

В пятницу британский оборонный подрядчик BAE Systems Applied Intelligence также сообщил о выявлении нового вредоносного кода, атакующего британские правительственные учреждения. В терминологии BAE код именуется Snake. В BAE также говорят о чрезвычайно высокой сложности кода. Сейчас невозможно установить, явлются ли Turla, Uroburos и Snake одним и тем же кодом.

В корпорации Symantec говорят, что сейчас жертвами Turla стали около 1000 сетей. Кроме того, здесь убеждены, что за Turla и ранее обнаруженным кодом Agent BTZ стоят одни и те же люди. В Symantec не называют жертв вирусов, но говорят, что подавляющее большинство - это правительственные агентства.

В финской F-Secure говорят, что они впервые с Turla столкнулись еще в прошлом году, когда расследовали комплексную атаку в интересах одного из заказчиков. «Turla похож на русский код, однако достоверно говорить об этом нельзя», - говорит технический специалист F-Secure Микко Хиппонен. По его словам, Turla и Agent.BTZ - это коды одного семейства. Первые примеры этого семейства были использованы для атаки на Центральное командование США в 2008 году. При этом, сам Вашингтон не признает факт данной атаки и по сей день.

В F-Secure говорят, что про-российские коды использовались в том же 2008 году для атаки сетей НАТО. Сейчас неизвестны названия кодов, использованных тогда для атак. Хиппонен говорит, что в прошлом году похожий код был использован для нападения на Министерство иностранных дел Финляндии.

Эрик Чен, технический директор Symantec Security Response, говорит, что Turla - это «дальнейшая эволюция» Agent.BTZ. «Очевидно, что группа, работающая над этими вредоносами активна и в наши дни», - полагает он.

Хайме Бласко, директор AlienVault Labs, говорит, что им также известно о Turla. Здесь данный вредонос описывают как «фреймворк» для шпионажа, а не как единичное вредоносное ПО. Выявленный ими код создает клиентский руткит, который прячет свое присутствие посредством создания шифрованной виртуальной файловой системы, в которую уводятся краденные данные. Кроме того, архитектура вредоноса такова, что оператор атаки может добавлять во вредонос дополнительные модули с новым функционалом.

Эрик Чен говорит, что кодами Turla пользуются и в данный момент, так как управляющие серверы, на которые стекаются данные постоянно обновляются и при отключении одного сервера в сети тут же появляется новый.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники начали атаковать абитуриентов, поступающих на платные отделения

Мошенники начали активно использовать сезон поступления в вузы, предлагая абитуриентам, претендующим на платные места, заранее внести оплату за обучение. Под предлогом «гарантированного поступления» злоумышленники выманивают деньги у поступающих, вводя их в заблуждение и обещая помощь в зачислении.

О появлении такой схемы сообщили эксперты, опрошенные «Известиями». Главный эксперт Московского антикоррупционного комитета, доцент кафедры политического анализа и социально-психологических процессов РЭУ им. Г. В. Плеханова Александр Перенджиев связал эту активность с сокращением числа платных мест во многих вузах и ростом конкуренции среди абитуриентов.

Существование подобной схемы подтвердили изданию основатель сервиса разведки утечек данных и мониторинга даркнета DLBI Ашот Оганесян и эксперт проекта «За права заемщиков» и платформы «Мошеловка» Александра Пожарская. Она отметила, что мошенники давно используют схожие схемы, включая продажу дипломов, сертификатов и «услуг» по гарантированному поступлению. Также применяются различные методы социальной инженерии, в том числе фишинг и телефонные звонки с целью сбора личных данных.

По словам Пожарской, злоумышленники могут даже показывать поддельные приказы о зачислении или предлагать внести плату за якобы дополнительный набор. Такая практика используется и при «продаже» бюджетных мест.

В свою очередь, Александр Перенджиев напомнил, что оплата обучения осуществляется исключительно после подписания официального договора и только по реквизитам, указанным на сайте университета. Это — необходимое условие для возврата средств в случае расторжения договора.

«Все решения в вузах принимаются открыто, а любые попытки «ускорить процесс» за деньги — это обман», — подчеркнула Александра Пожарская.

Как отметил Ашот Оганесян, чаще всего жертвами мошенников становятся абитуриенты тех вузов, где списки поступающих публикуются с открытыми ФИО. Там, где используются обезличенные идентификаторы, злоумышленникам сложнее получить доступ к данным, и активность снижается.

Тем не менее, как предупредил руководитель направления по детской онлайн-безопасности в «Лаборатории Касперского» Андрей Сиденко, в зоне риска остаются и уже зачисленные студенты. Под видом сотрудников деканата или бухгалтерии злоумышленники могут требовать оплату «дополнительных сборов» или приглашать в фейковые группы в мессенджерах.

Чтобы избежать обмана, эксперты рекомендуют всегда сверять информацию на официальных сайтах вузов — особенно когда речь идёт о платежных реквизитах и сроках оплаты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru