Cum a reușit sub radar campania de atacuri cibernetice „roșu”

Kaspersky Lab a lansat primul raport din două părți despre „Octombrie Roșu”, un atac malware pe care compania consideră că îl infestează sisteme guvernamentale la nivel înalt în Europa și ar putea viza în mod special documentele clasificate. Potrivit raportului, datele furate sunt de ordinul „sute de terabyți” și au fost în mare parte nedetectate timp de aproximativ cinci ani.

Octombrie Roșu, sau „Rocra”, își ia numele din luna în care a fost descoperită pentru prima dată și submarinul rusesc silențios titular imaginat de autorul Tom Clancy. Puteți despre Red October și fondul său la PC Mag.

Atacuri specifice vizate

Raportul descrie Octombrie Roșu drept un „cadru”, care poate fi modernizat rapid pentru a profita de punctele slabe ale victimelor sale. Atacatorii și-au început asaltul prin e-mailuri sau cu documente infectate adaptate pentru a face apel la țintele lor. Odată infectate, intrușii ar aduna informații despre sistem înainte de a instala module specifice pentru a crește intruziunea. Kaspersky număra aproximativ 1.000 de astfel de fișiere unice care se încadrează în aproximativ 30 de categorii de module.

Aceasta este o abordare semnificativ diferită față de Flamă sau de alte programe malware care prind titluri. Raportul spune că "există un grad mare de interacțiune între atacatori și victimă - operația este determinată de tipul de configurație pe care o are victima, ce tip de documente utilizează, software-ul instalat, limba maternă și așa mai departe".

„În comparație cu Flame și Gauss, care sunt campanii de cyberespionaj extrem de automatizate, Rocra este mult mai„ personală ”și bine ajustată pentru victime”, scrie Kaspersky.

Atacatorii erau la fel de scârbiți ca și metodici, schimbând de fapt tactica pentru a utiliza informații furate. „Informațiile culese din rețelele infectate sunt reutilizate în atacurile ulterioare”, scrie Kaspersky. "De exemplu, acreditările furate au fost compilate într-o listă și utilizate atunci când atacatorii au avut nevoie să ghicească parolele și datele de rețea din alte locații."

Rămânând în afara radarului

Acest tip de atac vizat nu numai că le-a permis celor din spatele lui Octombrie Roșu să meargă după ținte la nivel înalt, dar a ajutat și operația să rămână nedetectată ani de zile. "Combinația de atacatori cu înaltă calificare, bine finanțate și o distribuție limitată înseamnă, în general, malware este capabil să rămână sub radar o perioadă semnificativă de timp", a declarat pentru SecurityWatch, cercetătorul principal Kaspersky, Roel Schouwenberg. „În plus, nu am văzut utilizarea niciunei vulnerabilități pentru o zi zero, ceea ce arată din nou cât de important este patching-ul."

Schouwenberg a spus că mai multe straturi de securitate pot ajuta la blocarea acestor tipuri de atacuri. El a spus pentru SecurityWatch , „acesta este motivul pentru care apărarea în profunzime este importantă și abordările precum refuzul implicit, listarea în alb și controlul aplicațiilor intră în joc. Atacurile pot fi oprite chiar și fără detectare exactă.

Nu în mod necesar Opera Națiunilor

În ciuda țintelor la nivel înalt, Kaspersky subliniază că nu există nicio legătură definitivă cu un atac sponsorizat de stat. Raportul spune că, în timp ce informațiile vizate ar putea fi valoroase pentru națiuni, „astfel de informații ar putea fi tranzacționate în subteran și vândute celui mai mare ofertant, care poate fi desigur, oriunde”.

Amenințările adaptate precum Octombrie Roșu sunt genul de scenarii cele mai grave, care mențin securitatea la Pentagon toată noaptea. Din fericire, specificul care a făcut ca Octombrie Roșu să aibă succes înseamnă și că este puțin probabil să amenințe consumatorii obișnuiți ca tine și cu mine.

Din păcate, asta nu schimbă faptul că un jucător nou și puternic funcționează în culise de ani buni.

Pentru mai multe de la Max, urmați-l pe Twitter @wmaxeddy.