[Интернет][Шпионаж] Операция Red October (Rocra): кибершпионская сеть в Восточной Европе

[frost1g]

Операция Red October (Rocra): кибершпионская сеть в Восточной Европе

Исследовательский центр «Лаборатории Касперского» по наводке «анонимного партнёра, который был заказчиком исследования», разоблачил ещё одну кибероперацию мирового масштаба. На этот раз речь идёт о сети Red October — обширной сети кибершпионажа против дипломатических и государственных структур, НИИ, промышленных компаний и военных ведомств разных стран, преимущественно, на территории России и стран СНГ, хотя жертвы встречаются буквально по всему миру.

Как сообщается, атака была нацелена на конкретные организации в Восточной Европе, странах бывшего Советского Союза и Центральной Азии, а также Западной Европы и Северной Америки. Неизвестные злоумышленники атаковали конкретные цели по одной, устанавливая индивидуальный вариант вредоносной программы Backdoor.Win32.Sputnik практически вручную. Шпионская деятельность продолжается с 2007 года, а дата компиляции самого свежего файла — 8 января 2013 года, то есть операцию можно считать активной до настоящего момента. «Лаборатория Касперского» составила список стран с наибольшим количеством зарегистрированных случаев заражения (в таблицу включены страны с количеством заражений не менее пяти). Все заражения относятся к организациям высокого ранга, таким, например, как правительственные сети и дипломатические структуры.

Несколько главных выводов, которые «Лаборатория Касперского» делает по результатам предварительного анализа атаки.

• [*:e8daa41763]Атакующие были активны на протяжении последних пяти лет, фокусируясь на дипломатических и государственных ведомствах в разных странах мира.
  [*:e8daa41763]Информация, собранная из заражённых сетей, использовалась в последующих атаках. Например, украденные учётные данные были собраны в специальный список и использовались, когда атакующим требовалось подобрать логины и пароли в других сетях.
  [*:e8daa41763]Инфраструктура серверов управления представляет собой цепочку прокси-серверов и скрывает местоположение реального финального сервера, где собираются данные.
  [*:e8daa41763] Многофункциональная платформа позволяет быстро применять новые расширенные модули для сбора информации (детектируются «Лабораторией Касперского» как Backdoor.Win32.Sputnik). Система также имеет механизм противодействия закрытию серверов управления и позволяет атакующим восстановить доступ к заражённым системам, используя альтернативные каналы связи.
  [*:e8daa41763]Помимо традиционных целей атак (рабочие станции) система способна красть данные с мобильных устройств, таких как смартфоны (iPhone, Nokia, Windows Mobile); собирать информацию с сетевого оборудования (Cisco); осуществлять сбор файлов с USB-дисков (включая ранее удалённые файлы, для чего использует собственную технологию восстановления файлов); красть почтовые базы данных из локального хранилища Outlook или с удаленного POP/IMAP сервера, а также извлекать файлы с локальных FTP-серверов в сети.
  [*:e8daa41763]Обнаружено использование как минимум трёх различных эксплойтов к уже известным уязвимостям: CVE-2009-3129 (MS Excel), CVE-2010-3333 (MS Word) и CVE-2012-0158 (MS Word). В 2010-2011 годах в известных нам атаках использовались эксплойты для MS Excel, с лета 2012 года начались атаки с использованием уязвимости в MS Word.
  [*:e8daa41763]Эксплойты, которые использовались в документах, рассылаемых в ходе целевых фишинговых атак, были созданы другими людьми. Предположительно, китайскими хакерами. Они изначально использовались в атаках, направленных на тибетских активистов, а также на военные структуры и энергетические компании азиатских стран. Организаторы Red October только заменяли исполняемые файлы в документах на свои.
  [*:e8daa41763]В ходе последовательного распространения в локальной сети жертвы, атакующие внедряли модуль для сканирования сети с целью поиска станций, уязвимых для эксплойта к MS08-067 (уязвимость, использованная червем Conficker) или доступных при помощи администраторского аккаунта и собственной базы паролей. Отдельный модуль использовался для сбора информации для заражения серверов в той же сети.
  [*:e8daa41763]Регистрационные данные серверов управления и различные «артефакты», оставленные в исполняемых файлах, дают веские основания для предположения, что атакующие — русскоязычные.
  [*:e8daa41763]Эта группа атакующих и используемые ими файлы были неизвестны ранее, и они никак не связаны с какими-либо другими известными целевыми атаками. Примечательно, что одна из команд в троянском модуле инсталляции переключает кодовую страницу инфицируемой системы на 1251. Это требуется для того, чтобы иметь возможность обращаться к файлам и каталогам, содержащим кириллические символы.

Неизвестно, из какой страны произошло нападение, но в коде вредоносных модулей встречаются неправильные слова, вроде “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”.

Во второй части обзора операции Red October «Лаборатория Касперского» обещает опубликовать дополнительную техническую информацию.

Источник

---

Собственное мнение топикстартера: Китайцы пхд

[maxx1101]

главной строкой по новостям

Китайцы пхд

угу - все косо смотрят туда

[BRRIDER]

Китайцы пишут “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”?

Еще эти "китайцы" наверное пишут "komp", "klava", "hav4ik".

[user08042005]

Китайцы пишут “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”?

Еще эти "китайцы" наверное пишут "komp", "klava", "hav4ik".

Самое интересное это не "кто работал", а "на кого работали"!

Работали прицельно и больше всего накинули сеть на Россию и Казахстан ...

[ESS]

угу - все косо смотрят туда

можно любую страну бывшего союза назвать

укров например

[Johns]

ошибки там типа "русские" так это не сложно их специально сделать, чтобы отвести подозрения в сторону

[spqr1945]

Не иначе проделки ЦРУ, Ми-6 или Массада.

[Artur001]

ЦРУ, Ми-6 или Массада

наверно поэтому в США зараженные компы есть, а в Китае нет

нелюбовь некоторых к Западу просто поражает *facepalm

[Вадимка]

Китайцы пишут “massage” вместо “message”, “zakladka” вместо “bookmark” и “proga” вместо “software”?

Еще эти "китайцы" наверное пишут "komp", "klava", "hav4ik".

А там не было надписей типа "Sovershenno sekretno. Lichno Putinu v ruki. Slava Rossii"?

ЦРУ, Ми-6 или Массада

наверно поэтому в США зараженные компы есть, а в Китае нет

нелюбовь некоторых к Западу просто поражает *facepalm

EPIC FAIL.

[Mac]

Artur001, крайне опрометчиво было бы оставлять такой очевидный сигнал как отсутствие заражения собственных компьютеров, который сразу выдаст с потрохами организатора.

А насчет китайских. Может просто потому что Китай в отличие от всех доноров США пользуется Linux?