Jump to content

[Интернет][Шпионаж] Операция Red October (Rocra): кибершпионская сеть в Восточной Европе


frost1g

Recommended Posts

Операция Red October (Rocra): кибершпионская сеть в Восточной Европе

Исследовательский центр «Лаборатории Касперского» по наводке «анонимного партнёра, который был заказчиком исследования», разоблачил ещё одну кибероперацию мирового масштаба. На этот раз речь идёт о сети Red October — обширной сети кибершпионажа против дипломатических и государственных структур, НИИ, промышленных компаний и военных ведомств разных стран, преимущественно, на территории России и стран СНГ, хотя жертвы встречаются буквально по всему миру.

207764395.png

Как сообщается, атака была нацелена на конкретные организации в Восточной Европе, странах бывшего Советского Союза и Центральной Азии, а также Западной Европы и Северной Америки. Неизвестные злоумышленники атаковали конкретные цели по одной, устанавливая индивидуальный вариант вредоносной программы Backdoor.Win32.Sputnik практически вручную. Шпионская деятельность продолжается с 2007 года, а дата компиляции самого свежего файла — 8 января 2013 года, то есть операцию можно считать активной до настоящего момента. «Лаборатория Касперского» составила список стран с наибольшим количеством зарегистрированных случаев заражения (в таблицу включены страны с количеством заражений не менее пяти). Все заражения относятся к организациям высокого ранга, таким, например, как правительственные сети и дипломатические структуры.

Snap_2013-01-16_at_01.39.18.jpg

Несколько главных выводов, которые «Лаборатория Касперского» делает по результатам предварительного анализа атаки.

  • [*:e8daa41763]Атакующие были активны на протяжении последних пяти лет, фокусируясь на дипломатических и государственных ведомствах в разных странах мира.
    [*:e8daa41763]Информация, собранная из заражённых сетей, использовалась в последующих атаках. Например, украденные учётные данные были собраны в специальный список и использовались, когда атакующим требовалось подобрать логины и пароли в других сетях.
    [*:e8daa41763]Инфраструктура серверов управления представляет собой цепочку прокси-серверов и скрывает местоположение реального финального сервера, где собираются данные.
    [*:e8daa41763] Многофункциональная платформа позволяет быстро применять новые расширенные модули для сбора информации (детектируются «Лабораторией Касперского» как Backdoor.Win32.Sputnik). Система также имеет механизм противодействия закрытию серверов управления и позволяет атакующим восстановить доступ к заражённым системам, используя альтернативные каналы связи.
    [*:e8daa41763]Помимо традиционных целей атак (рабочие станции) система способна красть данные с мобильных устройств, таких как смартфоны (iPhone, Nokia, Windows Mobile); собирать информацию с сетевого оборудования (Cisco); осуществлять сбор файлов с USB-дисков (включая ранее удалённые файлы, для чего использует собственную технологию восстановления файлов); красть почтовые базы данных из локального хранилища Outlook или с удаленного POP/IMAP сервера, а также извлекать файлы с локальных FTP-серверов в сети.
    [*:e8daa41763]Обнаружено использование как минимум трёх различных эксплойтов к уже известным уязвимостям: CVE-2009-3129 (MS Excel), CVE-2010-3333 (MS Word) и CVE-2012-0158 (MS Word). В 2010-2011 годах в известных нам атаках использовались эксплойты для MS Excel, с лета 2012 года начались атаки с использованием уязвимости в MS Word.
    [*:e8daa41763]Эксплойты, которые использовались в документах, рассылаемых в ходе целевых фишинговых атак, были созданы другими людьми. Предположительно, китайскими хакерами. Они изначально использовались в атаках, направленных на тибетских активистов, а также на военные структуры и энергетические компании азиатских стран. Организаторы Red October только заменяли исполняемые файлы в документах на свои.
    [*:e8daa41763]В ходе последовательного распространения в локальной сети жертвы, атакующие внедряли модуль для сканирования сети с целью поиска станций, уязвимых для эксплойта к MS08-067 (уязвимость, использованная червем Conficker) или доступных при помощи администраторского аккаунта и собственной базы паролей. Отдельный модуль использовался для сбора информации для заражения серверов в той же сети.
    [*:e8daa41763]Регистрационные данные серверов управления и различные «артефакты», оставленные в исполняемых файлах, дают веские основания для предположения, что атакующие — русскоязычные.
    [*:e8daa41763]Эта группа атакующих и используемые ими файлы были неизвестны ранее, и они никак не связаны с какими-либо другими известными целевыми атаками. Примечательно, что одна из команд в троянском модуле инсталляции переключает кодовую страницу инфицируемой системы на 1251. Это требуется для того, чтобы иметь возможность обращаться к файлам и каталогам, содержащим кириллические символы.

servers.jpg

Неизвестно, из какой страны произошло нападение, но в коде вредоносных модулей встречаются неправильные слова, вроде “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”.

modules.png

Во второй части обзора операции Red October «Лаборатория Касперского» обещает опубликовать дополнительную техническую информацию.

Источник


Собственное мнение топикстартера: Китайцы пхд
Link to comment
Китайцы пишут “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”?

Еще эти "китайцы" наверное пишут "komp", "klava", "hav4ik".

Самое интересное это не "кто работал", а "на кого работали"!

Работали прицельно и больше всего накинули сеть на Россию и Казахстан ... :(

Link to comment
Китайцы пишут “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”?

Еще эти "китайцы" наверное пишут "komp", "klava", "hav4ik".

А там не было надписей типа "Sovershenno sekretno. Lichno Putinu v ruki. Slava Rossii"?

ЦРУ, Ми-6 или Массада

наверно поэтому в США зараженные компы есть, а в Китае нет

нелюбовь некоторых к Западу просто поражает *facepalm

:facepalm: EPIC FAIL.

Link to comment

Artur001, крайне опрометчиво было бы оставлять такой очевидный сигнал как отсутствие заражения собственных компьютеров, который сразу выдаст с потрохами организатора.

А насчет китайских. Может просто потому что Китай в отличие от всех доноров США пользуется Linux?

Link to comment

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...