Η ESET δημοσιεύει αποτελέσματα έρευνας για εκστρατεία κυβερνοκατασκοπείας που βρίσκεται σε εξέλιξη

Τα ευρήματα πολύμηνης έρευνας που σχετίζονται με μία υπό εξέλιξη εκστρατεία κυβερνοκατασκοπείας έδωσε στη δημοσιότητα η ESET. Στο white paper «Quasar, Sobaken and Vermin: a deeper look into an ongoing espionage campaign», οι ερευνητές της εταιρίας αναλύουν τα εργαλεία απομακρυσμένης πρόσβασης που χρησιμοποιούν οι κυβερνοεγκληματίες για να κατασκοπεύουν συστηματικά κρατικούς οργανισμούς στην Ουκρανία, αποσπώντας τους δεδομένα.

Η ESET έχει εντοπίσει τη συγκεκριμένη ομάδα κυβερνοεγκληματιών από τα μέσα του 2017, από τότε όμως φαίνεται ότι βελτιώνουν διαρκώς τις εκστρατείες τους αναπτύσσοντας νέες εκδόσεις εργαλείων κατασκοπείας. Σύμφωνα με τα συστήματα τηλεμετρίας της ESET, οι επιθέσεις στοχεύουν κρατικούς οργανισμούς στην Ουκρανία, μετρώντας μερικές εκατοντάδες θύματα σε διαφορετικούς φορείς. Στις επιθέσεις χρησιμοποιούνται εργαλεία απομακρυσμένης πρόσβασης – RAT, με στόχο την απόσπαση ευαίσθητων εγγράφων από τους υπολογιστές των θυμάτων.

Σχήμα 1 – Η εξάπλωση του malware σύμφωνα με τα συστήματα ανίχνευσης της ESET (Map data ©2018 Google, ORION ME).

Στις εκστρατείες αυτές, οι ερευνητές της ESET έχουν εντοπίσει τρία διαφορετικά στελέχη κακόβουλου λογισμικού .NET: το RAT Quasar, το RAT Sobaken και ένα εξειδικευμένο backdoor RAT, που ονομάζεται Vermin. Και τα τρία στελέχη παρουσιάζουν ενεργή δράση ταυτόχρονα σε διαφορετικούς στόχους, έχουν ομοιότητες στη δομή τους και συνδέονται με τους ίδιους διακομιστές C&C. Οι εκστρατείες έχουν βασιστεί σε μεθόδους βασικής κοινωνικής μηχανικής, αλλά χρησιμοποιούνται και πολλά τεχνάσματα με μορφή συνημμένων σε email, για να ξεγελούν τα θύματα και να κατεβάζουν και να εκτελούν το κακόβουλο λογισμικό.

Η συγκεκριμένη ομάδα κυβερνοεγκληματιών δεν είναι ιδιαίτερα γνωστή στο κοινό σε σχέση με άλλες ομάδες, που στοχεύουν σε μεγάλους οργανισμούς στην Ουκρανία. Ωστόσο, έχει αποδείξει ότι με έξυπνα κόλπα κοινωνικής μηχανικής, οι επιθέσεις κυβερνοκατασκοπείας μπορούν να επιτύχουν ακόμη και χωρίς να χρησιμοποιούν εξελιγμένα κακόβουλα προγράμματα. Το γεγονός αυτό υπογραμμίζει, ότι πέρα από την ύπαρξη αξιόπιστων λύσεων ασφάλειας, είναι πολύ σημαντικό να εκπαιδεύονται οι εργαζόμενοι μίας επιχείρησης σε θέματα κυβερνοασφάλειας.

Εκτενέστερη περιγραφή των μεθόδων που χρησιμοποιήθηκαν από τη συγκεκριμένη ομάδα στις εκστρατείες κυβερνοκατασκοπείας βρίσκεται στο πλήρες κείμενο του white paper «Quasar, Sobaken and Vermin: a deeper look into an ongoing espionage campaign», στο blog της ESET WeliveSecurity.com.