Η ESET έχει εντοπίσει και αναλύσει ένα νέο malware, το οποίο χρησιμοποιείται για επιθέσεις ενάντια σε σημαντικές πολιτικές οργανώσεις της Ανατολικής Ευρώπης από την περιβόητη ομάδα κυβερνοεγκληματιών Turla.
Σύμφωνα με τις αποκαλύψεις της ESET, πρόκειται για ένα νέο εργαλείο που επιχειρεί να εξαπατήσει τα θύματα ώστε να εγκαταστήσουν κακόβουλο λογισμικό, υποτιθέμενα από τον ιστότοπο της Adobe, με στόχο να αποσπάσουν μετέπειτα ευαίσθητες πληροφορίες.
Παρόλο που η ομάδα Turla στο παρελθόν έχει χρησιμοποιήσει απομιμήσεις Flash installers για να εξαπατήσει τους χρήστες να εγκαταστήσουν κάποιο backdoor, είναι η πρώτη φορά που γίνεται λήψη του κακόβουλου προγράμματος από νόμιμες διευθύνσεις URL και IP της Adobe. Ωστόσο, η ESET πιστεύει ακράδαντα ότι το malware της Turla δεν έχει παραβιάσει νόμιμες ενημερώσεις του Flash Player, ούτε σχετίζεται με κανένα γνωστό θέμα ευπάθειας σε προϊόντα της Adobe.
Αναλύοντας την κατάχρηση του Adobe Flash
Έχοντας παρακολουθήσει στενά την ομάδα Turla εδώ και πολλά χρόνια, η ESET διαπίστωσε ότι το νέο αυτό malware πέρα από το ότι εμφανίζεται ως ένα αυθεντικό installer του Flash Player, φαίνεται επίσης ότι προέρχεται από τη διεύθυνση adobe.com. Από πλευράς endpoint, η απομακρυσμένη διεύθυνση IP ανήκει στο Akamai, το επίσημο Δίκτυο Διανομής Περιεχομένου (Content Delivery Network - CDN) που χρησιμοποιείται από την Adobe για τη διανομή του αυθεντικού Flash installer.
Ωστόσο, με μια προσεκτικότερη έρευνα, η ESET κατάφερε να διαπιστώσει ότι οι πλαστοί Flash installers εκτελούσαν ένα αίτημα GET για να αποσπάσουν ευαίσθητες πληροφορίες από τα συστήματα που είχαν πρόσφατα παραβιαστεί. Σύμφωνα με την τηλεμετρία της ESET, οι installers της ομάδας Turla εξάγουν πληροφορίες στις διευθύνσεις get.adobe.com τουλάχιστον από τον Ιούλιο του 2016. Καθώς χρησιμοποιούνται νόμιμα domains για την απόσπαση δεδομένων, ο εντοπισμός τους στο network traffic καθίσταται πολύ πιο δύσκολος, γεγονός που επιβεβαιώνει την πρόθεση της ομάδας Turla να διατηρεί τη δράση της όσο το δυνατόν πιο μυστική.
«Οι κυβερνοεγκληματίες της ομάδας Turla διαθέτουν πολλούς και πολύπλοκους τρόπους ώστε να εξαπατούν τους χρήστες για να κατεβάζουν φαινομενικά αυθεντικό λογισμικό, κρύβοντας έξυπνα τις κακόβουλες κινήσεις τους στο δίκτυο», δήλωσε ο Jean-Ian Boutin, senior malware researcher της ESET. «Ακόμα και οι πιο έμπειροι χρήστες θα μπορούσαν να ξεγελαστούν ώστε να κατεβάσουν ένα κακόβουλο αρχείο που μοιάζει να προέρχεται από τον ιστότοπο Adobe.com, αφού η διεύθυνση URL και η διεύθυνση IP μιμούνται τις αυθεντικές υποδομές της Adobe. Καθώς όλες οι λήψεις που είδαμε έγιναν μέσω HTTP, συμβουλεύουμε τις επιχειρήσεις να απαγορεύουν τη λήψη εκτελέσιμων αρχείων μέσω μη κρυπτογραφημένων συνδέσεων. Αυτό θα μειώσει σημαντικά την αποτελεσματικότητα των επιθέσεων της ομάδας Turla, καθώς είναι πιο δύσκολο να γίνει υποκλοπή και τροποποίηση της κρυπτογραφημένης κίνησης στη διαδρομή μεταξύ μίας συσκευής και ενός απομακρυσμένου διακομιστή. Δεύτερον, ο έλεγχος της υπογραφής του αρχείου θα πρέπει να επιβεβαιώνει αν συμβαίνει κάτι ύποπτο, δεδομένου ότι αυτά τα κακόβουλα αρχεία δεν διαθέτουν υπογραφές, ενώ οι installers της Adobe έχουν. Η λήψη τέτοιων μέτρων θα βοηθήσει τους χρήστες να μην πέσουν θύματα της τελευταίας εκστρατείας της ομάδας Turla»
Αποδεικνύοντας την εμπλοκή της ομάδας Turla
Η ESET είναι βέβαιη ότι πίσω από τη συγκεκριμένη κακόβουλη εκστρατεία βρίσκεται η ομάδα Turla για διάφορους λόγους. Πρώτον, ορισμένοι πλαστοί Flash installers εγκαθιστούν ένα backdoor γνωστό ως Mosquito, το οποίο έχει ήδη εντοπιστεί ως κακόβουλο πρόγραμμα που ανήκει στην ομάδα Turla. Δεύτερον, μερικοί C&C servers που συνδέονται με τα εγκατεστημένα backdoor χρησιμοποιούν διευθύνσεις SATCOM IP που έχουν συνδεθεί στο παρελθόν με την ομάδα Turla. Τέλος, αυτό το κακόβουλο πρόγραμμα εμφανίζει ομοιότητες με άλλες οικογένειες κακόβουλων προγραμμάτων που χρησιμοποιεί η ομάδα Turla.
