Miniduke - новый инструмент кибершпионажа

Просмотр списком
MiniDuke - новый инструмент кибершпионажа

Лаборатория Касперског опубликовала отчёт об исследовании ряда инцидентов, произошедших на прошлой неделе и связанных с очередным примером кибершпионажа против правительственных учреждений и научных организаций по всему миру. В ходе атаки злоумышленники применили сочетание сложных вредоносных кодов «старой школы» вирусописательства и новых продвинутых технологий использования уязвимостей в Adobe Reader – и всё это для того, чтобы получить данные геополитического характера из соответствующих организаций.

Вредоносная программа MiniDuke распространялась при помощи недавно обнаруженного эксплойта для Adobe Reader (CVE-2013-6040). По данным исследования, проведенного «Лабораторией Касперского» совместно с венгерской компанией CrySys Lab, среди жертв кибершпионской программы MiniDuke оказались государственные учреждения Украины, Бельгии, Португалии, Румынии, Чехии и Ирландии. Кроме того, от действий киберпреступников пострадали исследовательский институт, два научно-исследовательскийх центра и медицинское учреждение в США, а также исследовательский фонд в Венгрии.



«Это очень необычная кибератака, – поясняет Евгений Касперский, генеральный директор «Лаборатории Касперского». – Я хорошо помню, что подобный стиль программирования в вредоносном ПО использовался в конце 1990-х-начале 2000-х. Пока не очень понятно, почему эти вирусописатели «проснулись» через 10 лет и присоединились к «продвинутым» киберпреступникам. Эти элитные писатели вредоносных программ старой закалки успешные в создании сложных вирусов сейчас совмещают свои способности с новыми методами ухода от защитных технологий для того, чтобы атаковать государственные учреждения и научные организации в разных странах».

«Созданный специально для этих атак бэкдор MiniDuke написан на Ассемблере и чрезвычайно мал– всего 20 Кб, – добавляет Касперский. – Сочетание опыта «олдскульных» вирусописателей с новейшими эксплойтами и хитрыми приёмами социальной инженерии – крайне опасная смесь».

В отчете антивирусной компании говорится, что авторы MiniDuke до сих пор продолжают свою активность, последний раз они модифицировали вредоносную программу 20 февраля 2013 года. Для проникновения в системы жертв киберпреступники использовали эффективные приёмы социальной инженерии, с помощью которых рассылали вредоносные PDF-документы. Эти документы представляли собой актуальный и хорошо подобранный набор сфабрикованного контента. В частности, они содержали информацию о семинаре по правам человека (ASEM), данные о внешней политике Украины, а также планы стран-участниц НАТО. Все эти документы содержали эксплойты, атакующие 9, 10 и 11 версии программы Adobe Reader. Для создания этих эксплойтов был использован тот же инструментарий, что и при недавних атаках, о которых сообщала компания FireEye. Однако в составе MiniDuke эти эксплойты использовались для других целей и содержали собственный вредоносный код.

При заражении системы на диск жертвы попадал небольшой загрузчик, размером всего 20 Кб. Он уникален для каждой системы и содержит бэкдор, написанный на Ассемблере. Кроме того, он умеет ускользать от инструментов анализа системы, встроенных в некоторые среды, в частности в VMWare. В случае обнаружения одного из них бэкдор приостанавливал свою деятельность с тем, чтобы скрыть своё присутствие в системе. Это говорит о том, что авторы вредоносной программы имеют четкое представление о том методах работы антивирусных компаний.
3002
facebook
Нажмите «Нравится»,
чтобы читать Relax.ru в Facebook
 Top