„Red October” - operacja cyberszpiegowska przeciwko rządom na całym świecie

Kaspersky Lab opublikował nowy raport badawczy, opisujący kampanię cyberszpiegowską, w ramach której przez co najmniej pięć lat atakowane były dyplomatyczne, rządowe i naukowe organizacje badawcze w kilku państwach. Wprawdzie na celowniku znajdowały się przede wszystkim państwa w Europie Wschodniej, byłe republiki Związku Radzieckiego oraz państwa z Azji Środkowej lecz ofiary były rozproszone po całym świecie, łącznie z Europą Zachodnią i Ameryką Północną. Głównym celem osób atakujących było gromadzenie poufnych dokumentów, które obejmowały informacje geopolityczne, dane uwierzytelniające dostęp do poufnych systemów komputerowych oraz dane z prywatnych urządzeń mobilnych i sprzętu sieciowego. 

W październiku 2012 roku zespół ekspertów rozpoczął dochodzenie w odpowiedzi na serię ataków na sieci komputerowe, których celem były międzynarodowe agencje służb dyplomatycznych. Wykryto i przeanalizowano zakrojoną na dużą skalę sieć cyberszpiegowską. Według raportu z analizy przeprowadzonej przez Kaspersky Lab w styczniu 2013 roku, operacja "Red October", nazywana w skrócie "Rocra", nadal jest aktywnie prowadzona, a jej początki sięgają aż 2007 roku.

Zaawansowana sieć cyberszpiegowska

Osoby atakujące działały przynajmniej od 2007 roku i koncentrowały się na dyplomatycznych oraz rządowych agencjach z różnych krajów, jak również instytucjach badawczych, grupach z sektora energetycznego i nuklearnego oraz celach z zakresu przestrzeni powietrzno-kosmicznej. Osoby stojące za operacją zaprojektowały własne szkodliwe oprogramowanie, określane jako "Rocra", które posiadało unikatową architekturę modułową złożoną ze szkodliwych rozszerzeń, modułów odpowiedzialnych za kradzież informacji oraz trojanów backdoorów.

Osoby atakujące często wykorzystywały informacje wyprowadzane skrycie z zainfekowanych sieci w celu uzyskania dostępu do dodatkowych systemów. Na przykład, skradzione dane uwierzytelniające zostały skompilowane w listę i wykorzystywane w sytuacji, gdy osoby atakujące musiały znać hasła lub frazy w celu uzyskania dostępu do dodatkowych systemów.

Aby kontrolować sieć zainfekowanych maszyn, osoby atakujące stworzyły ponad 60 nazw domen i kilka lokalizacji hostingu serwerów w różnych państwach, w większości w Niemczech i Rosji. Przeprowadzona przez Kaspersky Lab analiza infrastruktury kontrolnej pokazuje, że łańcuch serwerów w rzeczywistości działał jako proxy, ukrywając lokalizację serwerów "statku matki", czyli najważniejszego centrum kontroli.

Informacje skradzione z zainfekowanych systemów obejmują dokumenty o rozszerzeniach txt, csv, eml, doc, vsd, sxw, odt, docx, rtf, pdf, mdb, xls, wab, rst, xps, iau, cif, key, crt, cer, hse, pgp, gpg, xia, xiu, xis, xio, xig, acidcsa, acidsca, aciddsk, acidpvr, acidppr i acidssa. Wydaje się, że rozszerzenie “acid*" odnosi się do zastrzeżonego oprogramowania "Acid Cryptofiler", które jest wykorzystywane przez kilka organizacji, od Unii Europejskiej po NATO.

Infekowanie ofiar

Aby zainfekować systemy, osoby atakujące wysyłały do ofiary ukierunkowany e-mail phishingowy (tzw. spearphishing), który zawierał specjalnie dostosowanego trojana pozwalającego na zainstalowanie w atakowanym systemie konkretnego szkodliwego programu. W celu zainstalowania szkodliwego oprogramowania i zainfekowania systemu szkodliwy e-mail zawierał exploity wykorzystujące luki w zabezpieczeniach w Microsoft Office oraz Microsoft Excel. Exploity z dokumentów wykorzystywanych w e-mailach phishingowych zostały stworzone przez innych cyberprzestępców i były stosowane podczas innych cyberataków, między innymi na aktywistów tybetańskich oraz cele z sektora wojskowego i energetycznego w Azji.

Jedyną rzeczą, która została zmieniona w dokumencie wykorzystanym w operacji Rocra, był osadzony plik wykonywalny, który osoby atakujące zastąpiły własnym kodem. W szczególności, jedno z poleceń w trojanie instalującym szkodliwe oprogramowanie zmieniało domyślną stronę kodową systemu sesji wiersza poleceń na 1251, która jest niezbędna do obsługi czcionki Cyrylica.

Atakowane ofiary i organizacje

Eksperci zastosowali dwie metody analizy ofiar ataków. Po pierwsze, wykorzystali statystyki wykrywania dostarczone przez system Kaspersky Security Network (KSN), który wykrywał kod exploita wykorzystywany w omawianym szkodliwym oprogramowaniu już w 2011 roku, co pozwoliło ekspertom szukać podobnych zagrożeń związanych z Rocra. Druga metoda polegała na stworzeniu serwera leja (tzw. sinkhole) pozwalającego monitorować zainfekowane maszyny podłączone do serwerów kontroli Rocra.

Na podstawie danych z systemu KSN wykryto kilkaset unikatowych zainfekowanych systemów, należących głównie do ambasad, sieci i organizacji rządowych, naukowych instytutów badawczych oraz konsulatów. Według danych systemu KSN, większość zidentyfikowanych infekcji było zlokalizowanych głównie w Europie Wschodniej, ale wykryto je również w Ameryce Północnej i państwach Europy Zachodniej, takich jak Szwajcaria i Luksemburg.       

Analiza leja trwała od 2 listopada 2012 roku do 10 stycznia 2013 roku. W tym czasie zarejestrowano ponad 55 000 połączeń z 250 zainfekowanych adresów IP w 39 krajach. Większość zainfekowanych połączeń IP pochodziło ze Szwajcarii, a w dalszej kolejności z Kazachstanu i Grecji.

Rocra: unikatowa architektura i funkcjonalność

Osoby atakujące stworzyły wielofunkcyjną platformę do przeprowadzania ataków obejmującą kilka rozszerzeń i szkodliwych plików pozwalających na szybkie dostosowanie do konfiguracji różnych systemów oraz zbieranie informacji z zainfekowanych maszyn. Platforma ta jest unikatowa i nie została zidentyfikowana w żadnych wcześniejszych kampaniach cyberszpiegowskich. Jej najważniejsze cechy to:

- Moduł "wskrzeszania": Unikatowy moduł, który pozwala osobom atakującym "wskrzesić" zainfekowane maszyny. Moduł ten jest osadzony jako wtyczka w instalacjach aplikacji Adobe Reader oraz Microsoft Office i umożliwia osobom atakującym pewny sposób odzyskania dostępu do atakowanego systemu w przypadku wykrycia i usunięcia głównego kodu szkodliwego oprogramowania lub załatania systemu. Po przywróceniu działania serwerów kontroli osoby atakujące wysyłają na maszyny ofiar specjalistyczny plik dokumentu (PDF lub dokument Office) za pośrednictwem wiadomości e-mail, który po raz kolejny uaktywnia szkodliwe oprogramowanie.

- Zaawansowane kryptograficzne moduły szpiegowskie: Głównym celem modułów szpiegowskich jest kradzież informacji. Obejmują one pliki z różnych systemów kryptograficznych, takich jak Acid Cryptofiler, który od lata 2011 roku wykorzystywany jest w organizacjach NATO, Unii Europejskiej, Parlamentu Europejskiego oraz Komisji Europejskiej w celu ochrony poufnych informacji.    

- Urządzenia mobilne: Oprócz atakowania tradycyjnych stacji roboczych szkodnik ten potrafi kraść dane z urządzeń mobilnych, takich jak smartfony (iPhone, Nokia oraz Windows Mobile). Ponadto jest w stanie wykraść informacje dotyczące konfiguracji z korporacyjnego sprzętu sieciowego, takiego jak routery i przełączniki, jak również usunięte pliki dysków wymiennych.        

- Identyfikacja osób atakujących: Na podstawie danych rejestracyjnych serwerów kontroli i licznych pozostałości w plikach wykonywalnych szkodliwego oprogramowania istnieje mocny dowód techniczny wskazujący na to, że osoby atakujące pochodzą z krajów rosyjskojęzycznych. Ponadto, pliki wykonywalne wykorzystywane przez osoby atakujące były aż do niedawna nieznane i nie zostały zidentyfikowane podczas analizy wcześniejszych ataków cyberszpiegowskich.   
 Kaspersky Lab we współpracy z organizacjami międzynarodowymi, organami ścigania oraz zespołami CERT nadal prowadzi dochodzenie dotyczące Rocra.