Icefog - nowa kampania cyberszpiegowska przeciwko Korei i Japonii

"Przez ostatnie kilka lat odnotowaliśmy wiele zaawansowanych, długotrwałych ataków ukierunkowanych (tzw. APT) na niemal wszystkie rodzaje ofiar i sektorów. W większości przypadków osoby atakujące od wielu lat posiadają punkt zaczepienia w sieciach korporacyjnych i rządowych, wyprowadzając stamtąd terabajty poufnych informacji" - powiedział Costin Raiu, dyrektor Globalnego Zespołu ds. Badań i Analiz (GReAT), Kaspersky Lab. "Błyskawiczny charakter ataków grupy Icefog wskazuje na wyłaniający się nowy trend: niewielkie, działające w błyskawiczny sposób gangi, które z chirurgiczną precyzją przechwytują informacje. Atak zwykle trwa kilka dni lub tygodni, a gdy cyberprzestępcy zdobędą to, czego szukają, zacierają za sobą ślady i znikają. W przyszłości spodziewamy się wzrostu liczby niewielkich grup przeprowadzających ataki APT na zlecenie, specjalizujących się w błyskawicznych operacjach - swego rodzaju cyber-najemników współczesnego świata" - ostrzega Raiu.

Główne wyniki badania Kaspersky Lab:

- Na podstawie profili znanych celów wydaje się, że osoby atakujące interesują się następującymi sektorami: wojskowym, stoczniowym oraz morskim, komputerowym, rozwoju oprogramowania, badań, operatorów telekomunikacyjnych i satelitarnych, mass mediów oraz telewizyjnym.

- Z badania wynika, że osoby atakujące były zainteresowane atakami na dostawców z branży obronnej: Lig Nex1 oraz Selectron Industrial Company; firmy z branży stoczniowej: DSME Tech, Hanjin Heavy Industries; operatorów telekomunikacyjnych: Korea Telecom; firmy z branży mediów: Fuji TV oraz the Japan-China Economic Association.

- Osoby atakujące przechwytują poufne dokumenty i plany korporacyjne, dane uwierzytelniające dostęp do kont e-mail, jak również hasła dostępu do różnych zasobów w obrębie i poza siecią ofiary.

- Podczas operacji osoby atakujące wykorzystują zestaw trojanów Icefog (znany również jako Fucobha). Kaspersky Lab zidentyfikował wersje Icefoga zarówno dla systemu Microsoft Windows, jak i Apple OS X.

- O ile w przypadku większości kampanii APT ofiary pozostają zainfekowane przez miesiące czy nawet lata, a w tym czasie osoby atakujące nieustannie wyprowadzają dane, operatorzy Icefoga wykorzystują swoje ofiary kolejno - lokalizując i kopiując jedynie określone informacje, na które polują, a gdy je zdobędą, znikają.

- W większości przypadków operatorzy Icefoga wydają się dokładnie wiedzieć, czego chcą od ofiar. Szukają określonych nazw plików, które są szybko identyfikowane i przesyłane do serwerów kontrolowanych przez cyberprzestępców.

Atak i funkcjonalność

Analitykom udało się przejąć kontrolę nad 13 z ponad 70 domen wykorzystywanych przez osoby atakujące. Dzięki temu uzyskali dane dotyczące liczby ofiar na całym świecie. Ponadto, na serwerach kontroli Icefoga przechowywane były zaszyfrowane logi ofiar wraz z różnymi operacjami przeprowadzanymi na nich przez operatorów. Logi te mogą niekiedy pomóc w identyfikacji celów ataków, a w niektórych przypadkach - ofiar.

Oprócz Japonii i Korei Południowej zaobserwowano również wiele połączeń w kilku innych krajach, w tym na Tajwanie, w Hong Kongu, Chinach, Stanach Zjednoczonych, Australii, Kanadzie, Wielkiej Brytanii, we Włoszech, w Niemczech, Austrii, Singapurze, na Białorusi i w Malezji. Łącznie eksperci zaobserwowali ponad 4 000 unikatowych zainfekowanych adresów IP i kilkaset ofiar (kilkadziesiąt ofiar wykorzystujących system Windows i ponad 350 ofiar wykorzystujących system Apple OS X).

Na podstawie listy adresów IP wykorzystywanej do monitorowania i kontrolowania infrastruktury eksperci przyjmują, że niektóre z osób stojących za tą operacją są zlokalizowane w co najmniej trzech państwach: Chinach, Korei Południowej i Japonii.