ЛК раскрыла подробности кампании кибершпионажа ProjectSauron

ЛК раскрыла подробности кампании кибершпионажа ProjectSauron

«Лаборатория Касперского» вышла на след ранее неизвестной кибергруппировки ProjectSauron. Это произошло в сентябре 2015 года, когда эксперты компании с помощью решения для детектирования целевых атак Kaspersky Anti Targeted Attack Platform обнаружили необычную деятельность в корпоративной сети одного из своих клиентов.

От атак кибергруппировки, ведущей свою деятельность с июня 2011 года, уже пострадали как минимум 30 организаций в России, Иране, Руанде и, возможно, некоторых италоговорящих странах, в том числе государственные и военные учреждения, научно-исследовательские центры, телекоммуникационные и финансовые компании. Высокая стоимость, сложность, длительность и конечная цель кампании (кража конфиденциальной информации у государственных организаций) дает основания предполагать, что злоумышленникам оказывается поддержка на правительственном уровне.

Весьма вероятно, что число жертв намного больше, а география заражения шире, поскольку в случае ProjectSauron традиционные способы выявления атак не работают. Как именно нападающие проникают в сеть, неизвестно, поскольку каждый раз они задействуют уникальный набор инструментов, тщательно избегают уже использовавшихся образцов, адаптируя вредоносную инфраструктуру для каждой новой жертвы. Это, а также применение множества разных способов для кражи информации, в том числе легитимных почтовых каналов и доменных имен, и ее копирование под видом рядовой передачи данных, позволяет ProjectSauron долго и успешно вести свою деятельность в сетях жертв.

Лакомым куском для атакующих является доступ к зашифрованным каналам связи. Злоумышленники тщательно изучают программы, которые организации-жертвы используют для шифрования электронной почты, звонков, документооборота, особенный интерес проявляя к информации о компонентах ПО для шифрования, ключах, конфигурационных файлах и расположении серверов для передачи зашифрованных сообщений между узлами.

Отличительными особенностями ProjectSauron является применение легитимных скриптов для обновления ПО для загрузки новых зловредов и выполнения нужных команд прямо в памяти атакованного компьютера; проникновение в отключенные от Интернета сети с помощью USB-флешек с тайными ячейками для хранения украденных данных; а также использование весьма редких во вредоносном ПО LUA-скриптов, которые ранее встречались в атаках Flame и Animal Farm.

Похоже, что ProjectSauron активно перенимает опыт своих «коллег», среди которых Duqu, Flame, Equation и Regin, адаптирует и улучшает некоторые их наиболее инновационные техники и способы сокрытия следов. 

«Иногда целевые атаки проводятся с помощью дешевых готовых инструментов, но ProjectSauron — совсем другое дело. В данном случае киберпреступники всякий раз разрабатывают новые техники и код скрипта. Стратегия однократного обращения к уникальным инструментам, таким как сервер контроля и ключи шифрования, в сочетании с самыми современными методами других кибергруппировок — довольно новое явление. Помочь справиться с подобными угрозами может только многоуровневый подход к безопасности, включающий в себя средства, позволяющие улавливать любые необычные действия в корпоративной сети, а также сервисы информирования об угрозах и метод криминалистического анализа для поиска самых скрытых и хитроумных зловредов», — рассказывает Виталий Камлюк, антивирусный эксперт «Лаборатории Касперского».

Для защиты от подобных атак «Лаборатория Касперского» рекомендует организациям регулярно проводить полноценный аудит IT-сетей и конечных устройств; установить в дополнение к защите конечных устройств решение для обнаружения целевых атак; использовать сервисы, дающие доступ к новейшей информации об актуальных угрозах; разработать и тщательно следить за соблюдением сотрудниками политик информационной безопасности, а в случае обнаружения необычной активности в сети обращаться к профессиональным исследователям киберугроз, поскольку иногда только их вмешательство может помочь остановить крупную атаку и устранить ее последствия.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Эксперты нашли персональные данные почти каждого жителя Эквадора

Исследователи в области кибербезопасности Ноам Ротем и Рэн Локар, работающие в компании vpnMentor, раскрыли ужасающую своими масштабами утечку персональных данных. Согласно грубым оценкам, была скомпрометирована личная информация всего населения Эквадора.

По словам специалистов, 20,8 миллионов записей, общий размер которых составлял 18 Гб, лежали в открытом виде на сервере, расположенном в Майами. Сам сервер принадлежал эквадорской компании.

Известно, что население Эквадора составляет 16,6 миллионов — поэтому эксперты предположили, что скомпрометированы оказалось данные всех жителей южноамериканской страны.

«Большинство затронутых утечкой граждан проживают в Эквадоре. Однако подробности на данном этапе выяснить не удалось. Судя по всему, открытая база данных содержала информацию, полученную из внешних источников», — гласит отчёт vpnMentor.

«Одними из этих источников могли быть государственные реестры и национальный банк Эквадора».

Интересно, что среди утёкших данных была информация о Джулиане Ассанже, которому в 2012 году предоставили политическое убежище в Эквадоре.

Незащищенная база данных содержала целый спектр различной информации, среди которой можно выделить: полное имя, пол, дату и место рождения, домашний адрес, адрес электронной почты, номера телефонов (как рабочие, так и домашние с мобильными), образование, дата бракосочетания, дата смерти (если есть), информация о работе.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru