Η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky Lab αποκαλύπτει τη δράση της ομάδας Desert Falcons, ενός φορέα ψηφιακής κατασκοπείας με στόχο πολλούς οργανισμούς και μεμονωμένα πρόσωπα υψηλού κύρους από χώρες της Μέσης Ανατολής.

 

 

 

 

 Οι ειδικοί της Kaspersky Lab θεωρούν τον φορέα αυτό ως την πρώτη γνωστή Αραβική ομάδα «ψηφιακών μισθοφόρων», οι οποίοι έχουν αναπτύξει και πραγματοποιούν ολοκληρωμένες επιχειρήσεις ψηφιακής κατασκοπείας.

  • Η εκστρατεία είναι ενεργή εδώ και τουλάχιστον δύο χρόνια. Η ομάδα DesertFalcons άρχισε να αναπτύσσει και να εδραιώνει τη λειτουργία της μέσα στο 2011. Ωστόσο, το ξεκίνημα της βασικής δράσης της ομάδας και των μολύνσεις μέσω του malwareτης τοποθετείται στο 2013. Η αιχμή της δραστηριότητάς τους καταγράφεται στις αρχές του 2015.
  • Η συντριπτική πλειοψηφία των στόχων βρίσκεται στην Αίγυπτο, την Παλαιστίνη, το Ισραήλ και την Ιορδανία.
  • Εκτός από τις χώρες της Μέσης Ανατολής, οι οποίες αποτέλεσαν τους αρχικούς στόχους, η ομάδα DesertFalcons δραστηριοποιείται και εκτός της περιοχής αυτής. Συνολικά, τα μέλη της έχουν καταφέρει να επιτεθούν σε περισσότερα από 3.000 θύματα, σε περισσότερες από 50 χώρες παγκοσμίως, έχοντας υποκλέψει πάνω από 1 εκατομμύριο αρχεία.
  • Οι επιτιθέμενοι χρησιμοποιούν κακόβουλα εργαλεία που έχουν αναπτύξει οι ίδιο, ώστε να εξαπολύουν επιθέσεις σε υπολογιστές Windows και συσκευές Android.
  • Οι ειδικοί της KasperskyLab έχουν πολλούς λόγους να πιστεύουν ότι η μητρική γλώσσα των μελών της ομάδας Desert Falcons είναι η Αραβική.

Η λίστα των θυμάτων που στοχοποιήθηκαν περιλαμβάνει στρατιωτικούς και κυβερνητικούς οργανισμούς – και ειδικότερα, στελέχη επιφορτισμένα με την αντιμετώπιση του ξεπλύματος μαύρου χρήματος. Επίσης, η εκστρατεία στράφηκε εναντίον στελεχών από τους κλάδους της υγείας και της οικονομίας, κορυφαίων Μέσων Μαζικής Ενημέρωσης, ερευνητικών και εκπαιδευτικών ιδρυμάτων, παρόχων ενέργειας και υπηρεσιών κοινής ωφέλειας, ακτιβιστών και πολιτικών ηγετών, εταιρειών προσωπικής ασφάλειας και άλλων στόχων που έχουν στην κατοχή τους σημαντικές γεωπολιτικές πληροφορίες.

Συνολικά, οι ειδικοί της Kaspersky Lab κατάφεραν να εντοπίσουν σημάδια των επιθέσεων σε πάνω από 3.000 θύματα, σε περισσότερες από 50 χώρες, διαπιστώνοντας την υποκλοπή άνω του ενός εκατομμυρίων αρχείων. Παρότι, ο φορέας της επίθεσης φαίνεται να δρα σε χώρες όπως η Αίγυπτος, η Παλαιστίνη, το Ισραήλ και η Ιορδανία, πολλά θύματα βρέθηκαν επίσης στο Κατάρ, τη Σαουδική Αραβία, τα Ηνωμένα Αραβικά Εμιράτα, την Αλγερία, το Λίβανο, τη Νορβηγία, την Τουρκία, τη Σουηδία, τη Γαλλία, τις Ηνωμένες Πολιτείες, τη Ρωσία και άλλες χώρες.

Μεταφορά, «Μόλυνση», Κατασκοπεία

Η κύρια μέθοδος που χρησιμοποιήθηκε την ομάδα Desert Falcons για τη μεταφορά κακόβουλου φορτίου ήταν το spearphishing μέσω email, μηνυμάτων σε μέσα κοινωνικής δικτύωσης και μηνυμάτων σε chat. Τα μηνύματα phishing περιείχαν κακόβουλα αρχεία (ή link που οδηγούσαν σε κακόβουλα αρχεία), τα οποία μιμούνταν νόμιμα έγγραφα ή εφαρμογές. Η ομάδα Desert Falcons χρησιμοποιεί διάφορες τεχνικές για να δελεάσει τα θύματα της και να τα αναγκάσει να εκτελέσουν τα κακόβουλα αρχεία. Μία από τις πιο χαρακτηριστικές τεχνικές που χρησιμοποιεί η ομάδα είναι το λεγόμενο “Right-to-Left Override”.

Η τεχνική αυτή εκμεταλλεύεται έναν ειδικό χαρακτήρα στο Unicode, για να αντιστρέψει τη σειρά των χαρακτήρων στην ονομασία ενός αρχείου, κρύβοντας μια επικίνδυνη επέκταση στη μέση της ονομασίας και τοποθετώντας μία ψεύτικη επέκταση αρχείου, η οποία μοιάζει ακίνδυνη, κοντά στο τέλος της ονομασίας του αρχείου. Χρησιμοποιώντας αυτήν την τεχνική, κακόβουλα αρχεία (.exe, .scr) μοιάζουν με ένα αβλαβές έγγραφο ή αρχείο PDF, ενώ ακόμη και οι προσεκτικοί χρήστες με καλές τεχνικές γνώσεις είναι δυνατό να παρασυρθούν και «τρέξουν» αυτά τα αρχεία. Για παράδειγμα, ένα αρχείο με κατάληξη “.fdp.scr” θα παρουσιαζόταν ως “.rcs.pdf”.

Μετά την επιτυχή «μόλυνση» του θύματος, τα μέλη της ομάδας Desert Falcons χρησιμοποιούν ένα από τα δύο διαφορετικά Backdoors, είτε το βασικό Trojan τους ή το DHS Backdoor, τα οποία φαίνεται να έχουν αναπτυχθεί από την αρχή και να βρίσκονται σε συνεχή ανάπτυξη. Οι ειδικοί της Kaspersky Lab κατάφερνα να ταυτοποιήσουν πάνω από 100 δείγματα κακόβουλου λογισμικού που χρησιμοποιούνται από αυτή την ομάδα για επιθέσεις.

Τα κακόβουλα εργαλεία που χρησιμοποιούνται έχουν πλήρη Backdoor λειτουργικότητα. Έτσι, μπορούν να τραβούν screenshots, να υποκλέπτουν πληκτρολογήσεις, να κάνουν upload ή download αρχεία, να συλλέγουν πληροφορίες σχετικά με όλα τα αρχεία Word και Excel στο σκληρό δίσκο ή τις συνδεδεμένες συσκευές USB ενός θύματος, να υποκλέπτουν κωδικούς πρόσβασης που αποθηκεύονται στο μητρώο του συστήματος (Internet Explorer και Live Messenger) και να κάνουν ηχογραφήσεις. Οι ειδικοί της Kaspersky Lab κατάφεραν επίσης να εντοπίσουν ίχνη από τη δραστηριότητας ενός κακόβουλου λογισμικού, το οποίο φαίνεται να αποτελεί backdoor για Android, με δυνατότητες υποκλοπής κλήσεων και αρχείων καταγραφής SMS.

Χρησιμοποιώντας αυτά τα εργαλεία, τα μέλη της ομάδας Desert Falcons δημιούργησαν και διαχειρίζονταν τουλάχιστον τρεις διαφορετικές κακόβουλες εκστρατείες, με στόχο διαφορετικά θύματα σε διάφορες χώρες.

Ένα «σμήνος» στο κυνήγι μυστικών

Οι ερευνητές της Kaspersky Lab εκτιμούν ότι τουλάχιστον 30 άτομα, σε τρεις ομάδες, διαμοιρασμένα σε διαφορετικές χώρες, πραγματοποιούν τις εκστρατείες κακόβουλου λογισμικού της ομάδας Desert Falcons.

«Τα άτομα πίσω από αυτόν τον φορέα είναι εξαιρετικά αποφασισμένα, ενεργά, με καλές τεχνικές γνώσεις και καλή πληροφόρηση σχετικά με πολιτικά και πολιτιστικά θέματα. Χρησιμοποιώντας μόνο phishing email, τεχνικές κοινωνικής μηχανικής, εργαλεία και backdoorsπου ανέπτυξαν οι ίδιοι, τα μέλη της ομάδας DesertFalconsμπόρεσαν να «μολύνουν» εκατοντάδες σημαντικά θύματα στην περιοχή της Μέσης Ανατολής, μέσω των ηλεκτρονικών υπολογιστών ή των φορητών συσκευών τους, καθώς και να αποκωδικοποιήσουν ευαίσθητα δεδομένα. Αναμένουμε ότι αυτή η εκστρατεία θα συνεχίσει να αναπτύσσει περισσότερα Trojans κι ότι θα χρησιμοποιήσει ακόμη πιο εξελιγμένες τεχνικές. Με επαρκή χρηματοδότηση, θα μπορούσαν να αποκτήσουν ή να αναπτύξουν exploits, τα οποία θα μπορούσαν να αυξήσουν την αποτελεσματικότητα των επιθέσεων τους», δήλωσε ο Dmitry Bestuzhev, ειδικός σε θέματα ασφάλειας και μέλος της Παγκόσμιας Ομάδας Έρευνας και Ανάλυσης της Kaspersky Lab.

Τα προϊόντα της Kaspersky Lab εντοπίζουν και εμποδίζουν με επιτυχία το κακόβουλο λογισμικό που χρησιμοποιείται από την ομάδα Desert Falcons.

Περισσότερες πληροφορίες σχετικά με την εκστρατεία είναι διαθέσιμες στο Securelist.com.