Image
3.8.2015 0 Comments

Trójsky kôň Potao špehoval ukrajinskú vládu a vojenské organizácie

ESET analyzoval aktivity špionážnej skupiny, ktorá stojí za celou rodinou škodlivého kódu s názvom Win32/Potao. Bol použitý na špehovanie ukrajinskej vlády, vojenských organizácií a veľkej ukrajinskej spravodajskej agentúry. Prostredníctvom neho boli takisto sledovaní členovia MMM, ide o pyramídovú hru veľmi obľúbenú v Rusku a na Ukrajine. Podľa údajov ESETu bol tento škodlivý kód zachytený aj v Gruzínsku a Bielorusku.

Potao je typický kyberšpionážny trójsky kôň, ktorý kradne heslá a citlivé informácie z infikovaných zariadení a zasiela ich na vzdialený server používaný útočníkom. Tento špionážny škodlivý kód sa po prvý raz objavil v roku 2011, odkedy ho produkty ESETu detegujú. V čase písania tohto textu sú však útočníci stále aktívni.

Infekcia prebiehala rozosielaním phishingových e-mailov, ktoré obsahovali prílohu v podobe spustiteľného súboru. Aby bol príjemca motivovaný prílohu otvoriť, súbor mal ikonu dokumentu Microsoft Word. Po jeho otvorení sa obeti zobrazil aj neškodný textový dokument, napríklad dokument arménskeho ministerstva práce a sociálnych vecí alebo pozvánka na svadbu. V prípade cieleného phishingového útoku na členov MMM sa zobrazil dokument s informáciou, že odosielateľ by sa chcel stať členom tejto pyramídy a rád by investoval 500-tisíc rubľov. Hlavný tvorca MMM Sergej Mavrodi na svojom blogu v roku 2012 uviedol, že niekto zasiela správy v jeho mene, ktoré obsahujú link na škodlivú stránku.

Na Ukrajine prebiehala infekcia viacerými spôsobmi. Napríklad zasielaním SMS správ, ktoré obsahovali link na škodlivú stránku. „Máme preto dojem, že išlo o veľmi cielený útok, keďže jeho tvorcovia museli poznať celé mená a mobilné čísla svojich obetí," vysvetľuje Róbert Lipovský, analytik škodlivého kódu zo spoločnosti ESET. Členom vlády, vojenských zložiek a zamestnancom spravodajskej agentúry bol zasielaný takisto e-mail s prílohou vo forme spustiteľného súboru, ktorý mal ikonu dokumentu Microsoft Word. Názvy priložených dokumentov mali v obeti vzbudiť záujem tieto prílohy otvoriť. Išlo napríklad o dokumenty s názvom Tabuľka väzňov Ozbrojených síl Ukrajiny alebo Z vojenskej služby oslobodené osoby. Po ich otvorení sa zobrazil textový súbor, ktorý vyzeral poškodený.

„Naša analýza malvéru Potao odhalila veľmi zaujímavé prepojenie s ruskou verziou momentálne už neexistujúceho a populárneho open source šifrovacieho softvéru TrueCrypt," hovorí Lipovský. Softvér stiahnutý zo stránky truecryptrussia.ru obsahoval škodlivý kód Win32/Potao. Nie každá verzia stiahnutého šifrovacieho softvéru však bola infikovaná. Jej škodlivá verzia sa stiahla len do zariadení vytypovaných osôb. „Toto je ďalší dôkaz pre názor, že operácia je vedená profesionálnym gangom, ktorý selektívne útočí na vybrané obete," dodáva Lipovský.

Gang za operáciou Potao ukázal, že dlhodobá a efektívna kyberšpionáž môže byť uskutočnená vďaka premysleným trikom a sociálnemu inžinierstvu, a to aj bez potreby využitia exploitov. Kompletnú analýzu Operácie Potao nájdete v dokumente Operation Potao Express: Analysis of a cyber-espionage toolkit.


Nechajte si posielať prehľad najdôležitejších správ emailom

Mohlo by Vás zaujímať

Bezpečnosť 2

Ovplyvnilo Rusko americké prezidentské voľby? Podľa expertov boli niektoré hlasovacie prístroje infikované

06.12.2016 00:16

Podľa kyberbezpečnostnej firmy FireEye ruská vláda počas kampane pred americkými prezidentskými voľbami nielen vykonávala hackerské útoky, ale využívala aj sociálne siete na ovplyvňovanie názorov. Šír ...

Bezpečnosť 1

Ministri dopravy únie schválili prvé celoeurópske bezpečnostné pravidlá pre drony

05.12.2016 00:10

Ministri dopravy krajín Európskej únie schválili úpravu pravidiel v oblasti civilného letectva. Bezpečnosť v doprave bola pritom hlavnou témou zasadnutia, ktorého sa za predsedajúcu krajinu zúčastnil ...

Bezpečnosť 1

FSB: Ruským bankám hrozia kyberútoky zo zahraničia

03.12.2016 00:05

Ruská Federálna bezpečnostná služba (FSB) varovala, že bližšie nešpecifikované zahraničné tajné služby plánovali sériu kybernetických útokov na ruský bankový systém. FSB údajne identifikovala servery ...

Žiadne komentáre

Vyhľadávanie

Kyocera - prve-zariadenia-formatu-a4-s-vykonom-a3

Najnovšie videá