Mga mananaliksik na tumuklas ng bagong pandaigdigang cyber-espionage na kampanya

Mga mananaliksik ng seguridad ay nakilala ang isang patuloy na cyber-espionage na kampanya na naka-kompromiso sa 59 mga computer na kabilang sa mga organisasyon ng pamahalaan, mga instituto ng pananaliksik, think tank at pribadong kumpanya mula sa 23 bansa sa Sa nakalipas na 10 araw.

Ang kampanyang pag-atake ay natuklasan at sinuri ng mga mananaliksik mula sa seguridad firm Kaspersky Lab at ng Laboratory of Cryptography at System Security (CrySyS) ng Budapest University of Technology at Economics. ginagamit ang mga naka-target na mga mensaheng email - isang pamamaraan na kilala bilang phishing na sibat - na nagdala ng mga nakakahamak na PDF file na pinutol na may isang recen tly patched exploit para sa Adobe Reader 9, 10 at 11.

[Karagdagang pagbabasa: Paano mag-alis ng malware mula sa iyong Windows PC]

Ang pagsamantalahan ay orihinal na natuklasan sa mga aktibong pag-atake mas maaga sa buwan na ito sa pamamagitan ng mga mananaliksik sa kaligtasan mula sa FireEye at may kakayahang ng pag-bypass sa proteksyon ng sandbox sa Adobe Reader 10 at 11. Inilabas ng Adobe ang mga patch sa seguridad para sa mga kahinaan na na-target ng pagsasamantalang sa Pebrero 20.

Ang bagong pag-atake ng MiniDuke ay gumagamit ng parehong mapagsamantalang nakilala sa FireEye, ngunit may ilang mga advanced na pagbabago, sinabi Costin Raiu, direktor ng global research and analysis team ng Kaspersky Lab, sa Miyerkules. Ito ay maaaring magmungkahi na ang mga attackers ay may access sa toolkit na ginamit upang lumikha ng orihinal na maningning na tagumpay.

Ang mga nakakahamak na PDF file ay pusong mga kopya ng mga ulat na may nilalaman na may kaugnayan sa mga target na organisasyon at may kasamang ulat sa impormal na Asia-Europe Meeting (ASEM) seminar tungkol sa mga karapatang pantao, isang ulat sa plano ng pagkilos ng pagiging miyembro ng NATO ng Ukraine, isang ulat sa pampook na patakarang panlabas ng Ukraine at isang ulat sa 2013 Armenian Economic Association, at higit pa.

Kung ang pagsasamantala ay matagumpay, mag-install ng piraso ng malware na naka-encrypt na may impormasyong natipon mula sa apektadong sistema. Ang pamamaraan ng pag-encrypt na ito ay ginamit din sa gauss-espionage malware ng Gauss at pinipigilan ang malware na ma-aralan sa ibang system, sinabi ni Raiu. Kung tumatakbo sa ibang computer, gagawin ang malware, ngunit hindi nito simulan ang malisyosong pag-andar nito, sinabi niya.

Isa pang kawili-wiling aspeto ng banta na ito ay na ito ay 20KB lamang ang laki at isinulat sa Assembler, isang paraan na bihirang ginagamit ngayon sa pamamagitan ng mga tagalikha ng malware. Ang maliit na sukat nito ay kakaiba rin kumpara sa laki ng modernong malware, sinabi ni Raiu. Ito ay nagpapahiwatig na ang mga programmer ay "lumang-paaralan," sinabi niya.

Ang piraso ng malware na naka-install sa panahon ng unang yugto ng pag-atake ay nagkokonekta sa mga partikular na Twitter account na naglalaman ng mga naka-encrypt na command na tumuturo sa apat na mga website na kumilos bilang command- kontrol ng mga server. Ang mga website na ito, na naka-host sa US, Germany, France at Switzerland, naka-host ng naka-encrypt na mga file ng GIF na naglalaman ng pangalawang backdoor program.

Ang ikalawang backdoor ay isang pag-update sa una at nagkokonekta pabalik sa mga command-and-control server upang mag-download pa ng isa pang backdoor program na natatanging idinisenyo para sa bawat biktima. Sa Miyerkules, ang mga server ng command-and-control ay nagho-host ng limang magkakaibang programa ng backdoor para sa limang natatanging biktima sa Portugal, Ukraine, Germany at Belgium. Sinabi ni Raiu. Ang mga natatanging programang backdoor ay nakakonekta sa iba't ibang mga command-and-control server sa Panama o Turkey, at pinahihintulutan nila ang pagpapatupad ng mga utos sa mga nahawaang sistema.

Ang mga tao sa likod ng kampanya ng Mini-cyber-espiya sa MiniDuke ay nagpapatakbo mula nang hindi bababa sa Abril 2012, nang ang isa sa mga espesyal na Twitter account ay unang nilikha, sinabi ni Raiu. Gayunpaman, posible na ang kanilang aktibidad ay mas mahiwaga hanggang kamakailan lamang, nang nagpasya silang samantalahin ang bagong Adobe Reader exploit upang makompromiso ang maraming mga organisasyon hangga't maaari bago mahuli ang mga kahinaan, sinabi niya.

Ang malware na ginamit sa mga bagong pag-atake ay natatangi at hindi pa nakita bago, kaya maaaring gumamit ang grupo ng iba't ibang malware sa nakaraan, sinabi ni Raiu. Ang mga biktima ng MiniDuke ay kinabibilangan ng mga organisasyon mula sa Belgium, Brazil, Bulgaria, Czech Republic, Georgia, Germany, Hungary, Ireland.

Sa Estados Unidos, isang instituto ng pananaliksik, dalawang pro-US Sa tingin ng mga tangke at isang kumpanya ng pangangalagang pangkalusugan ay naapektuhan ng pag-atake na ito, sinabi ni Raiu na walang pagbibigay ng pangalan sa mga biktima.

Ang pag-atake ay hindi kasing sophisticated gaya ng Flame o Stuxnet, ngunit mataas ang antas, gayunman, sinabi ni Raiu. Walang mga palatandaan kung saan maaaring gumana ang mga mang-aatake o kung ano ang mga interes na maaaring itaguyod nila.

Na sinabi, ang backdoor coding style ay nakapagpapaalaala sa isang pangkat ng mga manunulat na malware na kilala bilang 29A, na naniniwala na wala na mula 2008. Mayroong Ang "666" na pirma sa code at ang 29A ay ang hexadecimal na representasyon ng 666, sinabi ni Raiu. Ang

A "666" na halaga ay natagpuan din sa malware na ginamit sa naunang pag-atake na sinuri ng FireEye, ngunit ang banta ay iba sa MiniDuke, Sinabi ni Raiu. Ang tanong kung ang dalawang pag-atake ay may kaugnayan ay nananatiling bukas.

Balita ng cyber-espionage na kampanya na ito ay dumating sa mga takong ng na-renew na mga talakayan tungkol sa Chinese cyber-espionage na pagbabanta, lalo na sa US, na sinenyasan ng isang kamakailang ulat mula seguridad firm Mandiant. Ang ulat ay naglalaman ng mga detalye tungkol sa isang taon na aktibidad ng isang pangkat ng mga cyberattackers na tinawag na Crew ng Komento na naniniwala na si Mandiant ay isang lihim na cyberunit ng Chinese Army. Sinabi ni Raiu na wala sa mga biktima ng MiniDuke ang nakilala sa ngayon mula sa Tsina, ngunit tinanggihan ang isipin ang kahalagahan ng katotohanang ito. Noong nakaraang linggo, ang mga mananaliksik ng seguridad sa nakaraang linggo mula sa ibang mga kumpanya ay kinilala ang mga target na pag-atake na ipinamamahagi ang parehong PDF na pagsasamantala na nagtatampok bilang mga kopya ng ulat ng Mandiant.

Mga pag-atake na naka-install na malware na malinaw na pinanggalingan ng Intsik, sinabi ni Raiu. Gayunpaman, ang paraan kung saan ginamit ang pagsasamantalang ito sa mga pag-atake ay napaka-krudo at ang malware ay hindi sopistikado kung ikukumpara sa MiniDuke, sinabi niya.