תוכנות זדוניות של אוקטובר האדום שהתגלו לאחר שנים של גניבת נתונים בטבע

קבוצה מעורפלת של האקרים יש siphoned נתונים מודיעיני ברחבי העולם מן הדיפלומטיה, הממשלה, מדעי המחשב רשתות במשך יותר מחמש שנים, כולל מטרות בארצות הברית, על פי דיווחו על מעבדת קספרסקי.

מעבדת קספרסקי החלה לחקור את התקפות התוכנה הזדונית באוקטובר וכינתה אותם "רוקרה", קיצור של "אוקטובר האדום". רוקרה משתמש במספר פגיעויות אבטחה במסמכי Microsoft Excel, Word ו- PDF כדי להדביק מחשבים אישיים, סמארטפונים ורשתות מחשבים. ביום שלישי גילו החוקרים שפלטפורמת תוכנות זדוניות משתמשת גם ביישומי ג'אווה מבוססי אינטרנט.

לא ברור מי עומד מאחורי ההתקפות, אבל רוקרה משתמש לפחות בשלושה ניצולים ידועים שנוצרו במקור על ידי האקרים סינים. עם זאת, נראה כי התכנות של רוקרה נמנות עם קבוצה נפרדת של פעילים דוברי רוסית, על פי הדיווח של מעבדת קספרסקי. [

[לקריאה נוספת: המחשב החדש שלך זקוק ל -15 תוכניות חינם, מצוינות]

ההתקפות הן מתמשך ומכוון למוסדות ברמה גבוהה במה שמכונה "התקפות דיג חנית". קספרסקי מעריך כי ההתקפות של "אוקטובר האדום" השיגו כנראה מאות טרה-בתים של נתונים בזמן שהיא פעילה, שעשויה להיות כבר במאי 2007.

זיהומים של Rocra התגלו ביותר מ -300 מדינות בין השנים 2011 ל -2012 על מידע מפני מוצרי האנטי וירוס של קספרסקי. המדינות הנגועות היו בעיקר חברות בברית המועצות לשעבר, כולל רוסיה (35 זיהומים), קזחסטן (21) ואזרביג'אן (15).

מדינות אחרות עם מספר גבוה של זיהומים הן בלגיה (15), הודו (14) אפגניסטן (10) וארמניה (10). שש זיהומים נחשפו בשגרירויות בארצות הברית. מכיוון שמספרים אלה הגיעו רק ממכונות המשתמשות בתוכנת Kaspersky, המספר האמיתי של זיהומים יכול להיות הרבה יותר גבוה.

קח את הכל

קספרסקי אמר שתוכנות זדוניות המשמשות ברוקרה יכולות לגנוב נתונים מתחנות עבודה של מחשבים אישיים וטלפונים חכמים המחוברים למחשבים אישיים, כולל iPhone, Nokia, ו- Windows Mobile מכשירים. Rocra יכול לרכוש מידע על תצורת הרשת מהציוד הממותג של Cisco, ותופס קבצים מכונני דיסקים נשלפים, כולל נתונים שנמחקו.

פלטפורמת התוכנה הזדונית יכולה גם לגנוב הודעות דואר אלקטרוני וקבצים מצורפים, להקליט את כל הקשות של מחשב נגוע, לקחת צילומי מסך, ותופסת את היסטוריית הגלישה מ- Chrome, Firefox, Internet Explorer ו- Opera Browser. אם זה לא מספיק, רוקרה תופס גם קבצים המאוחסנים בשרתים מקומיים של רשת FTP ויכול לשכפל את עצמו ברשת מקומית.

Par עבור הקורס

למרות שיכולותיו של רוקרה נראות נרחבות, לא כולם בתחום האבטחה התרשמה משיטות ההתקפה של רוקרה. "נראה כי המנצלים המשמשים לא היו מתקדמים בשום אופן", אמרה חברת האבטחה F-Secure בבלוג הבלוג שלה. "התוקפים השתמשו ב- Word הישן, הידוע ב- Word, Excel ו- Java מנצל. עד כה, אין שום סימן לפגיעות של יום אפס בשימוש ". פגיעות של יום אפס מתייחסת למיצויים לא ידועים שהתגלו בעבר בטבע. למרות שלא התרשמה מיכולתה הטכנית, F-Secure אומר שהתקפות אוקטובר האדום מעניינים בגלל משך הזמן שרוקרה היה פעיל וממדי הריגול של קבוצה אחת. "עם זאת," הוסיף F-Secure. "האמת העצובה היא שחברות וממשלות נמצאות תמיד תחת מתקפות דומות ממקורות רבים ושונים".

Rocra מתחיל כאשר הקורבן מוריד ופותח קובץ פרודוקטיביות זדוני (Excel, Word, PDF), אשר יכול לאחזר עוד תוכנות זדוניות מ- Rocra שרתי פקודות ובקרה, שיטה המכונה טרופר טרויאני. הסיבוב השני של תוכנות זדוניות כולל תוכניות שאוספות נתונים ושולחות מידע זה לאקרים.

נתונים גנובים יכולים לכלול סוגי קבצים יומיומיים כגון טקסט רגיל, טקסט עשיר, Word ו- Excel, אבל התקפות אוקטובר האדום גם ללכת אחרי נתונים קריפטוגרפיים כגון pgp ו- gpg קבצים מוצפנים.

בנוסף, רוקרה מחפש קבצים המשתמשים "חומצה Cryptofile" הרחבות, המהווה תוכנה קריפטוגרפית בשימוש על ידי ממשלות וארגונים כולל האיחוד האירופי וארגון הצפון אטלנטי. לא ברור אם אנשים מאחורי רוקרה מסוגלים לפענח את כל הנתונים המוצפנים שהם מקבלים.

E-mail לידה מחדש

Rocra גם עמיד במיוחד להתערבות של אכיפת החוק, על פי קספרסקי. אם שרתי הפיקוד והבקרה של הקמפיין נסגרו, האקרים תכננו את המערכת כדי שיוכלו לקבל מחדש את השליטה על פלטפורמת התוכנות הזדוניות שלהם באמצעות דואר אלקטרוני פשוט.

אחד מהרכיבים של Rocra מחפש כל מסמך PDF או מסמך נכנס שמכיל קוד הפעלה ומסומן בתגי מטא נתונים מיוחדים. המסמך יעבור את כל בדיקות האבטחה, אומר קספרסקי, אבל ברגע שזה הורד ופתח, Rocra יכול להתחיל יישום זדוני המצורפת למסמך ולהמשיך להאכיל את הנתונים הרעים. באמצעות הטריק הזה, כל האקרים צריך לעשות הוא להגדיר כמה שרתים חדשים דואר אלקטרוני מסמכים זדוניים לקורבנות קודמים לחזור לעסקים.

שרתי Rocra נקבעים כסדרה של פרוקסי (שרתים מתחבאים מאחורי שרתים אחרים), מה שהופך את זה הרבה יותר קשה לגלות את מקור ההתקפות. קספרסקי אומר כי המורכבות של התשתית של רוקרה מתחרה בתוכנות הזדוניות של Flame, אשר שימשה גם להדבקת מחשבים ולגניבת נתונים רגישים. אין קשר בין רוקרה, להבה או תוכנה זדונית דוגמת Duqu, שנבנתה על קוד דומה ל- Stuxnet. [

] כפי שצוין על ידי F-Secure, התקפות אוקטובר האדום לא עשו שום דבר חדש במיוחד, אבל את כמות הזמן קמפיין זה תוכנות זדוניות כבר בטבע מרשים. בדומה למסעות ריגול סייבר אחרים כגון להבה, אוקטובר האדום מסתמך על משתמשים duping לתוך הורדת ופתח קבצים זדוניים או ביקור באתרים זדוניים שבו קוד יכול להיות מוזרק לתוך המכשירים שלהם. זה אומר כי בעוד ריגול המחשב עשוי להיות במגמת עלייה, את היסודות של אבטחת המחשב יכול ללכת דרך ארוכה כדי למנוע התקפות אלה.

קח אמצעי זהירות

אמצעי זהירות שימושיים כגון להיות זהיר של קבצים שולחים ידוע או צופה עבור קבצים שאינם אופי של השולח לכאורה שלהם היא התחלה טובה. כדאי גם להיזהר בביקורים באתרים שאינך מכיר או בוטח בהם, במיוחד בעת שימוש בציוד הארגוני. לבסוף, ודא שיש ברשותך את כל עדכוני האבטחה האחרונים עבור גירסת Windows שברשותך, ושקול ברצינות לבטל את Java, אלא אם כן אתה זקוק לה לחלוטין. אתה לא יכול למנוע כל סוג של התקפות, אבל שמירה על נוהלי אבטחה בסיסיים יכול להגן עליך מפני שחקנים רעים רבים באינטרנט.

קספרסקי אומר שזה לא ברור אם התקפות אוקטובר האדום הם עבודה של מדינת לאום או פושעים מחפש כדי למכור נתונים רגישים בשוק השחור. חברת האבטחה מתכננת לשחרר מידע נוסף על Rocra בימים הקרובים. אם אתה מודאג אם המערכות שלך מושפעות על ידי Rocra, F-Secure אומרת שתוכנת האנטי-וירוס שלה יכולה לזהות את המנצלים הידועים כיום התקפות אוקטובר האדום. תוכנת האנטי וירוס של קספרסקי יכולה גם לזהות איומים מרוקרה