"Красный Октябрь": "Лаборатория Касперского" обнаружила кибершпионскую сеть

Преступники воровали информацию у правительственных структур разных стран. Чаще всего целью атак становилась Россия. Для контроля над зараженной сетью использовались серверы и домены разных стран, в том числе Германии.

 Эксперты в области компьютерной безопасности вскрыли масштабную шпионскую сеть, в течение нескольких лет воровавшую через интернет информацию с сотен компьютеров дипломатических представительств, госучреждений и исследовательских институтов по всему миру. Об этом говорится в отчете исследовательского центра "Лаборатории Касперского", первая часть которого опубликована на сайте организации Securelist.com в понедельник, 14 января.

"Кибершпионская сеть, получившая кодовое имя "Красный октябрь", была обнаружена в октябре прошлого года, - сообщил dpa Магнус Калькул (Magnus Kalkuhl), заместитель директора Центра глобальных исследований и анализа угроз "Лаборатории Касперского". - Мы полагаем, что свою деятельность она начала еще в 2007 году".

Киберпреступники стремились прежде всего получить доступ к компьютерам дипломатических служб и правительственных структур. Зараженные вредоносным кодом компьютеры также были выявлены в научных институтах, коммерческих структурах и компаниях, связанных с созданием вооружений. Всего было выявлено около 300 взломанных компьютеров. В антивирусной базе компании вирус классифицируется как Backdoor.Win32.Sputnik.

Германия - часть инфраструктуры

Для контроля за зараженными машинами преступники использовали более 60 доменных имен и серверов. Значительная их часть находилась на территории Германии и России. Специалистам "Лаборатории Касперского" пока не удалось обнаружить местоположение основного сервера сети, на который направлялась вся полученная информация. Но данные, полученные ими в ходе исследования, указывают на то, что вредоносные модули были созданы русскоязычными специалистами.

Согласно статистике, опубликованной в отчете, Россия чаще всего становилась целью кибератак. На втором и третьем месте - Казахстан и Азербайджан соответственно. В основном зараженные компьютеры находились в странах бывшего СССР, но вредоносное ПО было выявлено также в странах Европы, Ближнего и Среднего Востока.

Киберпреступники охотились за секретной информацией

Шпионская сеть была нацелена, среди прочего, на похищение документов с расширениями "acid*". Они принадлежат секретному программному обеспечению для шифрования "Acid Cryptofiler", которое используется в структурах Евросоюза и НАТО.

Для внедрения в систему преступники рассылали письма конкретным получателям в разных структурах. В их состав входила специальная троянская программа, которая использовала для своей установки уязвимые места в Microsoft Office.

Вирус позволял преступникам похищать данные и с мобильных устройств. Кроме того, он был способен на самовосстановление после удаления основной вредоносной программы. Модуль "воскрешения" встраивался в качестве плагина в Adobe Reader и Microsoft Office.

Самые последние файлы вредоносного ПО датируются 8 января 2013 года. Расследование по делу кибершпионской сети продолжается совместно с правоохранительными органами, международными организациями и национальными службами реагирования на компьютерные инциденты (Computer Emergency Response Teams, CERT). В частности, "Лаборатория Касперского" выразила благодарность за помощь в расследовании CERT Беларуси, Румынии и США.

Источник: dw.de

Вот что об этом пишут на сайте "Лаборатории Касперского":

«Лаборатория Касперского» опубликовала отчёт об исследовании масштабной кампании, проводимой киберпреступниками с целью шпионажа за дипломатическими, правительственными и научными организациями в различных странах мира. Действия злоумышленников были направлены на получение конфиденциальной информации, данных, открывающих доступ к компьютерным системам, персональным мобильным устройствам и корпоративным сетям, а также сбор сведений геополитического характера. Основной акцент атакующие сделали на республиках бывшего СССР, странах Восточной Европы, а также ряде государств в Центральной Азии.

В октябре 2012 года эксперты «Лаборатории Касперского» начали расследование серии атак на компьютерные сети международных дипломатических представительств. В процессе изучения этих инцидентов специалисты обнаружили масштабную кибершпионскую сеть. По итогам её анализа эксперты «Лаборатории Касперского» пришли к выводу, что операция под кодовым названием «Красный октябрь» началась еще в 2007 году и продолжается до сих пор.

Основной целью киберпреступников стали дипломатические и правительственные структуры по всему миру. Однако среди жертв также встречаются научно-исследовательские институты, компании, занимающиеся вопросами энергетики, в том числе ядерной, космические агентства, а также торговые предприятия. Создатели «Красного октября» разработали собственное вредоносное ПО, имеющее уникальную модульную архитектуру, состоящую из вредоносных расширений, модулей, предназначенных для кражи информации. В антивирусной базе «Лаборатории Касперского» данная вредоносная программа имеет название Backdoor.Win32.Sputnik.

Для контроля сети заражённых машин киберпреступники использовали более 60 доменных имён и серверы, расположенные в различных странах мира. При этом значительная их часть находилась на территории Германии и России. Анализ инфраструктуры серверов управления, проведенный экспертами «Лаборатории Касперского», показал, что злоумышленники использовали целую цепочку прокси-серверов, чтобы скрыть местоположение главного сервера управления.

Преступники похищали из заражённых систем информацию, содержащуюся в файлах различных форматов. Среди прочих эксперты обнаружили файлы с расширением acid*, говорящих об их принадлежности к секретному программному обеспечению Acid Cryptofiler, которое используют ряд организаций, входящих в состав Европейского Союза и НАТО.

Для заражения систем преступники рассылали фишинговые письма, адресованные конкретным получателям в той или иной организации. В состав письма входила специальная троянская программа, для установки которой письма содержали эксплойты, использовавшие уязвимости в Microsoft Office. Эти эксплойты были созданы сторонними злоумышленниками и ранее использовались в различных кибератаках, нацеленных как на тибетских активистов, так и на военный и энергетический секторы ряда государств азиатского региона.

Для определения жертв кибершпионажа эксперты «Лаборатории Касперского», анализировали данные, полученные из двух основных источников: облачного сервиса Kaspersky Security Network (KSN) и sinkhole-серверов, предназначенных для наблюдения за инфицированными машинами, выходящими на связь с командными серверами.
Статистические данные KSN помогли обнаружить несколько сотен уникальных инфицированных компьютеров, большинство из которых принадлежали посольствам, консульствам, государственным организациям и научно-исследовательским институтам. Значительная часть зараженных систем была обнаружена в странах Восточной Европы.
Данные sinkhole-серверов были получены в период со 2 ноября 2012 года по 10 января 2013. За это время было зафиксировано более 55000 подключений с 250 заражённых IP-адресов, зарегистрированных в 39 странах. Большинство соединений, установленных с зараженных IP-адресов, были зафиксированы в Швейцарии, Казахстане и Греции.

Киберпреступники создали мультифункциональную платформу для совершения атак, содержавшую несколько десятков расширений и вредоносных файлов, способных быстро подстраиваться под разные системные конфигурации и собирать конфиденциальные данные с заражённых компьютеров.

К наиболее примечательным характеристикам компонент вредоносной программы можно отнести:
Модуль восстановления, позволяющий преступникам «воскрешать» заражённые машины. Модуль встраивается как плагин в Adobe Reader и Microsoft Office и обеспечивает атакующим повторный доступ к системе в случае, если основная вредоносная программа была детектирована и удалена или если произошло обновление системы.
Усовершенствованные криптографические шпионские модули, предназначенные для кражи информацию, в том числе из различных криптографических систем, например, из Acid Cryptofiler, которая используется с 2011 года для защиты информации в таких организациях, как НАТО, Европейский Союз, Европарламент и Еврокомиссия.
Возможность инфицирования мобильных устройств: Помимо заражения традиционных рабочих станций это вредоносное ПО способно красть данные с мобильных устройств, в частности смартфонов (iPhone, Nokia и Windows Phone). Также злоумышленники могли красть информацию о конфигурации с сетевого промышленного оборудования (маршрутизаторы, коммутационные устройства) и даже удалённые файлы с внешних USB-накопителей.

Регистрационные данные командных серверов и информация, содержащаяся в исполняемых файлах вредоносного ПО, дают все основания предполагать наличие у киберпреступников русскоязычных корней.

«Лаборатория Касперского» совместно с международными организациями, правоохранительными органами и национальными Командами реагирования на компьютерные инциденты (Computer Emergency Response Teams, CERT) продолжает расследование операции, предоставляя техническую экспертизу и ресурсы для информирования и проведения мероприятий по лечению зараженных систем.

Более подробная информация доступна на сайте www.securelist.com/ru/analysis.