ESET odhalil nový nástroj pro cílené útoky

31. červenec 2015 09:20 0 komentářů

Experti společnosti ESET analyzovali špionážní malware Potato Express, který útočil na zajímavé cíle především na Ukrajině. Útoky tohoto malware jsou vedené dosud nepoužívanými metodami.

Malware, který experti ESET nazvali Potato Express, je klasický špionážní malware: jeho cílem je sbírat citlivá data, především přihlašovací údaje, a odesílat je na řídící servery útočníků. Poprvé byl zachycen již v roce 2011. Útoky tohoto malware směřovaly (a stále směřují) proti řadě cílů na Ukrajině, v Rusku a v dalších zemích bývalého Sovětského Svazu. Cíle jsou velmi různorodé a většinou mezi nimi neexistuje žádná viditelná souvislost. Jedna z velkých kampaní směřovala proti organizátorům i účastníkům gigantického pyramidového podvodu MMM. Jde o jeden z největších pyramidových podvodů v dějinách, v němž miliony obětí (odhady se pohybují mezi 5 a 40 miliony) přišly o zhruba čtvrt bilionu korun. Dalšími cíli byly ukrajinské vládní instituce a armáda, a také ukrajinský státní tisková kancelář.

Potato Express spoléhá na inovativní způsoby šíření. Není to extrémně sofistikovaný malware a nevyužívá žádné bezpečnostní chyby v aplikacích. Některé jeho kampaně však stojí za pozornost, protože se dá předpokládat, že se jimi nechají inspirovat i další útočníci. Příkladem je gruzínská mailová kampaň, lákající na anglicky psané a důvěryhodně vypadající svatební oznámení nebo ruská kampaň s podvrženou stránkou imitující populární doručovací službu.

A především souvislost s šifrovacím software TrueCrypt. Jak experti ESET zjistili při analýze Potato Expres, do ruské verze TrueCryptu útočníci vložili trojského koně, který jednak dokáže instalovat malware skupiny Potato, a také funguje jako plně vybavený špionážní modul. Ten dokáže působit v utajení: směřuje pouze na vybrané cíle a navíc se aktivuje pouze na počítačích dlouhodobých uživatelů aplikace TrueCrypt. Pouze na těchto počítačích prohledává podle zadaného algoritmu data a odesílá je na řídící servery.

Skrývat soubory malware za názvy odvozené od některého známého software je starý trik. Ale v daném případě experti ESET zjistili, že stránky TrueCryptRussia.ru slouží nejen k distribuci infikovaného šifrovacího software TrueCrypt, ale také k hostování malware ze skupiny „Potato“ - a dokonce fungují i jako řídící server pro „trojanizovanou“ verzi TrueCrypt.

Důležité je, že zdaleka ne veškerý TrueCrypt software ze zmíněné ruské stránky je infikovaný. „Trojanizovanou“ verzi nabídne server ke stažení pouze počítačům, které splňují specifická (zatím neodhalená) kritéria. Také toto opatření ukazuje, že celá operace je řízená profesionály, kteří jdou po omezeném okruhu cílů.

Na malware skupiny Potato je pozoruhodné, že útoky s jeho využitím mají charakter takzvaných APT útoků (z angl. Advanced Persistent Threats), a to aniž by samotný malware byl odpovídajícím způsobem sofistikovaný. Potato Express tak ukazuje, že technologické nedostatky lze u malware do velké míry nahradit důmyslným sociálním inženýrstvím.


Komentáře

RSS 

Komentujeme

Další na řadě je bezpečnost

Richard Jan Voigts , 09. říjen 2017 00:00
Richard Jan Voigts

Co všechno lze automatizovat pomocí strojového učení? Larry Ellison, technologický ředitel společnos...

Více







Kalendář

21. 10. WordCamp Brno 2017
24. 10. VeeamON Forum 2017
25. 10.

26. 10.
Profesia days 2017
RSS 

Zprávičky

Electro World v účetním roce zmírnil ztrátu na 92 milionů Kč

ČTK , 20. říjen 2017 12:00

Firma se soustředila na zlepšení prodejní a distribuční sítě a rozšíření sortimentu....

Více 0 komentářů

Dohoda o ochraně dat mezi EU a USA prošla první kontrolou

ČTK , 20. říjen 2017 08:00

Cílem dohody je chránit osobní údaje osob v EU předávané společnostem v USA. ...

Více 0 komentářů

Operátoři: Metro by mohlo být signálem pokryté do konce roku 2018

ČTK , 20. říjen 2017 08:00

Operátoři mají enormní zájem na pokrytí pražského metra, a to na vlastní náklady....

Více 0 komentářů

Starší zprávičky

Firmu Moravia IT koupil britský konkurent RWS Holding

ČTK , 19. říjen 2017 21:26

Mezi zákazníky firmy specializující se na lokalizaci a testování softwaru patří např. Microsoft, IBM...

Více 0 komentářů

Státní ústav pro kontrolu léčiv hájí elektronické recepty

ČTK , 19. říjen 2017 10:00

V ČR se vydá 60-70 milionů papírových receptů ročně. Podle ministerstva je elektronizace zdravotnict...

Více 0 komentářů

Ransomware Locky v září masivně útočil ve světě i v ČR

Pavel Houser , 19. říjen 2017 09:30

Locky se neobjevil v Top 10 škodlivých kódů od listopadu 2016....

Více 0 komentářů

Podnikové služby tvoří už 5 % českého HDP

Pavel Houser , 19. říjen 2017 09:00

Podnikové služby v ČR rostly o 19 %, největší boom zažívají centra poskytující IT služby....

Více 0 komentářů