Рубрикатор |
Все новости | Новости отрасли |
Не только Flamer – подробности расследования
17 сентября 2012 |
Корпорация Symantec совместно с CERT-Bund и "Лабораторией Касперского" провела детальный криминалистический анализ сервера управления атаками W32.Flamer, выявленными этой весной.
W32.Flamer – это комплексное средство кибершпионажа, ориентированное, в первую очередь, на страны Ближнего Востока. В рамках проводимого исследования C&C-сервер был запущен 18 мая 2012 года, и примерно через 5 часов после его запуска было зарегистрировано первое взаимодействие с клиентом -- компьютером, инфицированном вирусом Flamer. За последующие несколько недель данный исследуемый C&C-сервер получил контроль как минимум над несколькими сотнями аналогичных клиентов.Исследование показало, что управление клиентами осуществляется с помощью веб-приложения Newsforyou (дословно с англ. – новости для вас). Оно обеспечивает взаимодействие клиентов с C&C-сервером и предоставляет злоумышленнику простую панель управления для загрузки дополнительного программного кода на клиента и скачивания с него похищенной информации. Не похоже, чтобы оно было создано исключительно для Flamer – в нём содержится функционал взаимодействия по различным протоколам с клиентами, заражёнными множеством других вредоносных программ. В таблице ниже отражена взаимосвязь между идентификаторами различных вредоносных программ и множеством поддерживаемых протоколов:
Client |
Internal ID |
Протокол |
Угроза |
CLIENT_TYPE_SP |
1 |
PROTOCOL_OLD |
Unknown |
CLIENT_TYPE_SPE |
2 |
PROTOCOL_OLD_E |
Unknown |
CLIENT_TYPE_FL |
3 |
PROTOCOL_OLD |
W32.Flamer |
CLIENT_TYPE_IP |
4 |
PROTOCOL_SIGNUP |
Unknown |
N/A |
N/A |
PROTOCOL_RED |
Unknown |
Как видно из таблицы, несколько угроз, поддерживаемых данной средой, всё ещё неизвестны. Это, скорее всего, не обнаруженные модификации Flamer, либо совершенно не связанные с ним другие вредоносные программы.
Сервер был настроен так, чтобы записывать лишь минимальные объёмы информации, конфигурация системы предусматривала журналирование лишь необходимых событий, а записи базы данных регулярно удалялись. Файлы журналов невосстановимо вычищались с сервера также на регулярной основе. Всё это было предпринято с целью затруднить расследование в случае непредусмотренного получения доступа к серверу.
Однако злоумышленники подошли к делу недостаточно тщательно – остался доступным файл, в котором был отражён весь процесс установки и настройки сервера. Кроме того, по оставшимся в базе данных зашифрованным записям удалось определить, что подключение заражённых клиентов осуществлялось из стран Ближнего Востока. Нам также удалось установить псевдонимы четырёх авторов: DeMo, Hikaru, OCTOPUS и Ryan, работавших над созданием программного кода на разных стадиях и по различным аспектам, начиная ещё с 2006 года.
@автор |
Измененные файлы |
Даты |
Панель управления |
Протоколы |
База данных |
Очистка |
Шифрование |
DeMo |
33 |
12/4/2006 01/23/2007 |
X |
X |
X |
X |
X |
Hikaru |
10 |
09/02/2007 |
X |
X |
X |
|
X |
OCTOPUS |
4 |
12/3/2006 |
|
|
X |
|
|
Ryan |
1 |
2011 |
|
|
|
X |
|
Структура проекта отражает четкое распределение ролей между злоумышленниками: одни занимались настройкой сервера (администраторы), другие отвечали за загрузку вредоносного кода и скачивание украденной информации через панель управления (операторы), а третьи обладали ключом для расшифровки полученной информации. При этом операторы могли совсем ничего не знать о характере украденной информации. Налицо использование злоумышленниками методов фрагментации (разделения на зоны безопасности) для обеспечения защиты информации. Использование подобного подхода характерно, прежде всего, для военных и разведывательных подразделений, хотя ими не ограничивается.
Несмотря на все усилия злоумышленников предотвратить утечку информации в случае получения несанкционированного доступа к серверу, нам удалось обнаружить, что C&C-сервер распространил модуль, содержащий инструкции самоуничтожения Flamer в конце мая 2012 года – поведение, которое мы также наблюдали у инфицированных компьютеров-приманок.
И, наконец, для доступа к панели управления требуется пароль, соответствующий его хранимому хешу. Несмотря на все предпринятые нами попытки подбора, восстановить пароль из его хеша нам не удалось. Если кто-нибудь может восстановить пароль из нижеприведённого хеша, пожалуйста, свяжитесь со специалистами Symantec через официальный сайт корпорации:
Хеш пароля: 27934e96d90d06818674b98bec7230fa.
Читайте также:
STEP LOGIC внедрил комплексное решение для защиты ОКИИ на горнодобывающем предприятии
beeline cloud и «Лаборатория Касперского» запустили Cloud SD-WAN
В 2023 году число заблокированных фишинговых ссылок в России выросло в 5 раз
«Лаборатория Касперского» и билайн объединяют усилия в борьбе с мошенничеством
Оставить свой комментарий:
Комментарии по материалу
Данный материал еще не комментировался.