Red October malware natuklasan pagkatapos ng taon ng pagnanakaw ng data sa ligaw

Ang isang malabo na pangkat ng mga hacker ay naghahain ng data ng katalinuhan sa buong daigdig mula sa diplomatiko, gobyerno, at siyentipikong mga network ng computer sa pananaliksik ng higit sa limang taon, kabilang ang mga target sa Estados Unidos, ayon sa isang ulat mula sa Kaspersky Lab.

Kaspersky Lab ay nagsimulang magsaliksik ng mga pag-atake ng malware noong Oktubre at tinawag itong "Rocra," para sa "Red October." Ang Rocra ay gumagamit ng maraming mga kahinaan sa seguridad sa mga uri ng dokumento ng Microsoft Excel, Word, at PDF upang makahawa Mga PC, smartphone, at computer networking equipment. Sa Martes, natuklasan ng mga mananaliksik na ang platform ng malware ay gumagamit din ng Java-based exploits.

Hindi malinaw kung sino ang nasa likod ng mga pag-atake, ngunit ang Rocra ay gumagamit ng hindi bababa sa tatlong pampublikong kilalang pagsasamantala na orihinal na nilikha ng mga hacker ng Tsino. Ang programming ni Rocra, gayunpaman, ay nagmumula sa isang hiwalay na grupo ng mga operatiba na nagsasalita ng Ruso, ayon sa ulat mula sa Kaspersky Lab.

[Karagdagang pagbabasa: Ang iyong bagong PC ay nangangailangan ng mga 15 libreng, mahusay na mga programa]

Ang mga pag-atake ay patuloy at naka-target sa mataas na antas ng institusyon sa kung ano ang kilala bilang pag-atake ng sibat-pangingisda. Tinatantiya ng Kaspersky na ang pag-atake ng Red Oktubre ay malamang na nakakuha ng daan-daang mga terabytes ng data sa oras na ito ay na-pagpapatakbo, na maaaring maging kasing maaga ng Mayo 2007.

Rocra impeksiyon ay natuklasan sa higit sa 300 mga bansa sa pagitan ng 2011 at 2012, batay sa impormasyon mula sa mga produkto ng antivirus ng Kaspersky. Ang mga apektadong bansa ay mga dating dating miyembro ng USSR, kabilang ang Russia (35 impeksiyon), Kazakhstan (21), at Azerbaijan (15).

Ang iba pang mga bansa na may mataas na bilang ng mga impeksiyon ay ang Belgium (15), India (14) Afghanistan (10), at Armenia (10). Anim na impeksiyon ang natuklasan sa mga embahada na matatagpuan sa Estados Unidos. Dahil ang mga numerong ito ay nagmula lamang sa mga makina na gumagamit ng Kaspersky software, ang tunay na bilang ng mga impeksiyon ay maaaring mas mataas.

Dalhin ang lahat ng ito

Kaspersky sinabi na ang malware na ginamit sa Rocra ay maaaring magnakaw ng data mula sa PC workstations at smartphone na nakakonekta sa PC kabilang ang iPhone, Nokia, at Windows Mobile na mga handset. Ang Rocra ay makakakuha ng impormasyon sa pagsasaayos ng network mula sa Cisco-branded na kagamitan, at kukuha ng mga file mula sa mga naaalis na disk drive kasama ang natanggal na data.

Ang platform ng malware ay maaari ring magnakaw ng mga e-mail na mensahe at mga attachment, i-record ang lahat ng mga keystroke ng isang nahawaang machine, at i-grab ang kasaysayan ng pagba-browse mula sa Chrome, Firefox, Internet Explorer, at Mga browser ng Opera sa Web. Tulad ng kung hindi sapat, kinuha din ni Rocra ang mga file na naka-imbak sa mga lokal na network ng FTP server at maaaring magtiklop mismo sa isang lokal na network.

Par para sa kurso

Kahit na ang Rocra's kakayahan ay lumalawak na malawak, hindi lahat sa security field ay impressed sa pamamagitan ng Rocra's paraan ng pag-atake. "Lumilitaw na ang mga pagsasamantala na ginamit ay hindi pa advanced sa anumang paraan," sinabi ng seguridad firm F-Secure sa blog ng kumpanya nito. "Gumagamit ang mga attackers ng lumang, kilalang Salita, Excel at Java exploits. Sa ngayon, walang tanda ng zero-day na mga kahinaan na ginagamit. "Ang isang zero-day na kahinaan ay tumutukoy sa mga naunang di-kilalang mga pagsasamantala na natuklasan sa ligaw.

Sa kabila ng hindi nakakalugod sa pamamagitan ng kakayahang teknikal nito, sinabi ng F-Secure na ang pag-atake ng Red October ay kagiliw-giliw na dahil sa ang haba ng oras Rocra ay aktibo at ang scale ng paniniktik na isinagawa ng isang solong grupo. "Gayunpaman," idinagdag ni F-Secure. "Ang malungkot na katotohanan ay ang mga kumpanya at pamahalaan ay patuloy sa ilalim ng mga katulad na pag-atake mula sa maraming iba't ibang mga mapagkukunan."

Rocra ay nagsisimula kapag ang isang biktima nagda-download at nagbubukas ng isang nakakahamak na file ng pagiging produktibo (Excel, Word, PDF) na maaaring makuha ang higit pang malware mula kay Rocra's command-and-control server, isang paraan na kilala bilang isang Trojan dropper. Kasama sa ikalawang round ng malware ang mga program na kinokolekta ang data at ipadala ang impormasyong iyon pabalik sa mga hacker.

Ang ninakaw na data ay maaaring magsama ng araw-araw na mga uri ng file tulad ng plain text, rich text, Word, at Excel, ngunit ang pag-atake ng Red Oktubre ay sumunod din sa cryptographic na data tulad ng pgp at gpg na naka-encrypt na mga file.

Bilang karagdagan, ang Rocra ay naghahanap ng mga file na gumagamit Mga extension na "Acid Cryptofile", na isang cryptographic software na ginagamit ng mga pamahalaan at organisasyon kabilang ang European Union at ang North Atlantic Treaty Organization. Ito ay hindi malinaw kung ang mga tao sa likod ng Rocra ay may kakayahang deciphering anumang naka-encrypt na data na makuha nila.

E-mail muling pagsilang

Rocra ay partikular na lumalaban sa pagkagambala mula sa pagpapatupad ng batas, ayon sa Kaspersky. Kung ang mga command-and-control server ng kampanya ay na-shut down, ang mga hacker ay dinisenyo ang sistema upang maibalik nila ang kontrol sa kanilang malware platform gamit ang isang simpleng e-mail.

Isa sa mga bahagi ni Rocra na naghahanap para sa anumang papasok na dokumentong PDF o Office na naglalaman ng maipapatupad na code at na-flag na may mga espesyal na tag ng metadata. Ang dokumento ay pumasa sa lahat ng mga tseke sa seguridad, sabi ni Kaspersky, ngunit sa sandaling ito ay na-download at binuksan, maaaring magsimula si Rocra ng isang malisyosong application na naka-attach sa dokumento at patuloy na pagpapakain ng data sa mga masamang tao. Ang paggamit ng lansihin na ito, ang lahat ng mga hacker ay kailangang mag-set up ng ilang mga bagong server at mga e-mail na nakakahamak na dokumento sa mga nakaraang biktima upang makabalik sa negosyo.

Mga server ng Rocra ay naka-set up bilang isang serye ng mga proxy (mga server na nagtatago sa likod ng iba pang mga server), na kung saan ay ginagawang mas mahirap upang matuklasan ang pinagmulan ng pag-atake. Sinasabi ni Kasperksy ang pagiging kumplikado ng mga karibal na pang-imprastraktura ng Rocra na ng Flame malware, na ginagamit din upang mahawa ang mga PC at magnakaw ng sensitibong data. Walang kilalang koneksyon sa pagitan ng Rocra, Flame, o malware tulad ng Duqu, na binuo sa code na katulad ng Stuxnet.

Tulad ng nabanggit sa pamamagitan ng F-Secure, ang pag-atake ng Red Oktubre ay hindi lumilitaw na gumagawa ng anumang bagay lalo na bago, ngunit ang dami ng oras na ito sa malware kampanya ay nasa ligaw ay kahanga-hanga. Katulad ng iba pang mga kampanya ng cyber espionage tulad ng Flame, Red October ay nakasalalay sa pag-duping ng mga user sa pag-download at pagbubukas ng mga nakakahamak na file o pagbisita sa mga nakakahamak na website kung saan maaaring ipasok ang code sa kanilang mga device. Ito ay nagpapahiwatig na habang ang paniniktik ng computer ay maaaring tumaas, ang mga pangunahing kaalaman ng seguridad sa computer ay maaaring magawa ng mahabang paraan upang maiwasan ang mga pag-atake na ito.

Mag-ingat

Mga kapaki-pakinabang na pag-iingat tulad ng pagiging maingat sa mga file mula sa hindi kilalang mga nagpapadala o pagmamasid para sa Ang mga file na wala sa karakter mula sa kanilang sinasabing nagpadala ay isang magandang simula. Kapaki-pakinabang din na maging maingat sa pagbisita sa mga website na hindi mo alam o pinagkakatiwalaan, lalo na kapag gumagamit ng mga kagamitan sa korporasyon. Sa wakas, siguraduhin na mayroon ka ng lahat ng mga pinakabagong update sa seguridad para sa iyong bersyon ng Windows, at sineseryoso mong isaalang-alang ang pag-off ng Java maliban kung talagang kailangan mo ito. Hindi mo maaaring maiwasan ang lahat ng paraan ng pag-atake, ngunit ang pagsunod sa mga pangunahing kasanayan sa seguridad ay maaaring maprotektahan ka mula sa maraming mga masasamang aktor online.

Kaspersky sabi ni ito ay hindi malinaw kung ang pag-atake ng Red Oktubre ay ang gawain ng isang bansa ng estado o mga kriminal na naghahanap upang magbenta ng sensitibong data sa itim na merkado. Plano ng seguridad ng kumpanya na maglabas ng higit pang impormasyon tungkol kay Rocra sa mga darating na araw.

Kung nag-aalala ka kung ang alinman sa iyong mga system ay naapektuhan ng Rocra, sinabi ng F-Secure na ang antivirus software nito ay maaaring makakita ng mga kasalukuyang kilalang pagsasamantala na ginagamit sa Atake ng Red October. Ang antivirus software ng Kaspersky ay maaari ding makakita ng mga banta mula sa Rocra.