ЛК раскрыла подробности кампании кибершпионажа ProjectSauron

ЛК раскрыла подробности кампании кибершпионажа ProjectSauron

ЛК раскрыла подробности кампании кибершпионажа ProjectSauron

«Лаборатория Касперского» вышла на след ранее неизвестной кибергруппировки ProjectSauron. Это произошло в сентябре 2015 года, когда эксперты компании с помощью решения для детектирования целевых атак Kaspersky Anti Targeted Attack Platform обнаружили необычную деятельность в корпоративной сети одного из своих клиентов.

От атак кибергруппировки, ведущей свою деятельность с июня 2011 года, уже пострадали как минимум 30 организаций в России, Иране, Руанде и, возможно, некоторых италоговорящих странах, в том числе государственные и военные учреждения, научно-исследовательские центры, телекоммуникационные и финансовые компании. Высокая стоимость, сложность, длительность и конечная цель кампании (кража конфиденциальной информации у государственных организаций) дает основания предполагать, что злоумышленникам оказывается поддержка на правительственном уровне.

Весьма вероятно, что число жертв намного больше, а география заражения шире, поскольку в случае ProjectSauron традиционные способы выявления атак не работают. Как именно нападающие проникают в сеть, неизвестно, поскольку каждый раз они задействуют уникальный набор инструментов, тщательно избегают уже использовавшихся образцов, адаптируя вредоносную инфраструктуру для каждой новой жертвы. Это, а также применение множества разных способов для кражи информации, в том числе легитимных почтовых каналов и доменных имен, и ее копирование под видом рядовой передачи данных, позволяет ProjectSauron долго и успешно вести свою деятельность в сетях жертв.

Лакомым куском для атакующих является доступ к зашифрованным каналам связи. Злоумышленники тщательно изучают программы, которые организации-жертвы используют для шифрования электронной почты, звонков, документооборота, особенный интерес проявляя к информации о компонентах ПО для шифрования, ключах, конфигурационных файлах и расположении серверов для передачи зашифрованных сообщений между узлами.

Отличительными особенностями ProjectSauron является применение легитимных скриптов для обновления ПО для загрузки новых зловредов и выполнения нужных команд прямо в памяти атакованного компьютера; проникновение в отключенные от Интернета сети с помощью USB-флешек с тайными ячейками для хранения украденных данных; а также использование весьма редких во вредоносном ПО LUA-скриптов, которые ранее встречались в атаках Flame и Animal Farm.

Похоже, что ProjectSauron активно перенимает опыт своих «коллег», среди которых Duqu, Flame, Equation и Regin, адаптирует и улучшает некоторые их наиболее инновационные техники и способы сокрытия следов. 

«Иногда целевые атаки проводятся с помощью дешевых готовых инструментов, но ProjectSauron — совсем другое дело. В данном случае киберпреступники всякий раз разрабатывают новые техники и код скрипта. Стратегия однократного обращения к уникальным инструментам, таким как сервер контроля и ключи шифрования, в сочетании с самыми современными методами других кибергруппировок — довольно новое явление. Помочь справиться с подобными угрозами может только многоуровневый подход к безопасности, включающий в себя средства, позволяющие улавливать любые необычные действия в корпоративной сети, а также сервисы информирования об угрозах и метод криминалистического анализа для поиска самых скрытых и хитроумных зловредов», — рассказывает Виталий Камлюк, антивирусный эксперт «Лаборатории Касперского».

Для защиты от подобных атак «Лаборатория Касперского» рекомендует организациям регулярно проводить полноценный аудит IT-сетей и конечных устройств; установить в дополнение к защите конечных устройств решение для обнаружения целевых атак; использовать сервисы, дающие доступ к новейшей информации об актуальных угрозах; разработать и тщательно следить за соблюдением сотрудниками политик информационной безопасности, а в случае обнаружения необычной активности в сети обращаться к профессиональным исследователям киберугроз, поскольку иногда только их вмешательство может помочь остановить крупную атаку и устранить ее последствия.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новый ботнет использует утилиту hping3 для проведения DDoS-атак

В интернете объявился новый, активно развиваемый DDoS-зловред. Проведенный в NSFOCUS анализ показал, что новобранец, нареченный hpingbot, написан с нуля на Go и нацелен на платформы Windows и Linux/IoT.

Обнаруженный в прошлом месяце троян (результат VirusTotal на 4 июля — 13/72) также поддерживает множество архитектур CPU, включая amd64, mips, arm и 80386. В настоящее время в состав созданного на его основе ботнета входят немногим более 14,6 тыс. зараженных устройств.

Для своей работы hpingbot использует совсем другие ресурсы, нежели многочисленные производные Mirai и Gafgyt: прячет полезную нагрузку на Pastebin, а DDoS-атаки проводит с помощью hping3 — бесплатного инструмента диагностики сетей, похожего на ICMP ping.

Подобный подход не только повышает шансы зловреда на сокрытие от обнаружения, но также значительно снижает стоимость его разработки и операционные расходы.

Ссылки на Pastebin жестко прописаны в коде hpingbot. Отдаваемый с сайта пейлоад (IP-адреса C2, скрипты для загрузки дополнительных компонентов) часто сменяется.

Из техник DDoS вредоносу подвластен флуд — SYN, TCP, ACK, UDP и многовекторный. Примечательно, что Windows-версия трояна не способна оперировать hping3 из-за ограничений по внешним условиям, она в основном заточена под загрузку и запуск дополнительных модулей.

Из последних был выявлен написанный на Go генератор DDoS-флуда (UDP и TCP), который с 19 июня загружается на ботнет для тестирования. Он связан с теми же C2, но не имеет доступа к Pastebin, не вызывает hping3 и не умеет обновляться.

Распространяется hpingbot через брутфорс SSH, используя специальный модуль. Закрепиться в системе зловреду помогают Systemd, SysVinit и Cron, после выполнения своих задач он удаляет свои файлы и подчищает логи.

Зафиксированные DDoS-атаки с ботнета пока немногочисленны — по всей видимости, операторы пока сосредоточены на наращивании потенциала.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru