O NetTraveler επέστρεψε

Οι ερευνητές της Kaspersky Lab παρουσιάσαν ένα νέο φορέα επίθεσης του NetTraveler (που είναι επίσης γνωστός ως “Travnet”, “Netfile” ή Red Star APT), που έχει ήδη προσβάλει εκατοντάδες θύματα υψηλού κύρους.

Οι γνωστοί στόχοι του NetTraveler περιλαμβάνουν τους Θιβετιανούς/ Ουιγούρους ακτιβιστές, πετρελαϊκές εταιρείες, κέντρα και ινστιτούτα επιστημονικής έρευνας, πανεπιστήμια, ιδιωτικές εταιρείες,

Αμέσως μετά την αποκάλυψη των επιχειρήσεων του NetTraveler τον Ιούνιο του 2013, οι δράστες έκλεισαν όλα τα γνωστά συστήματα command and control και τα μετέφεραν σε νέους servers στην Κίνα, το Χονγκ-Κονγκ και την Ταϊβάν. Επιπλέον, συνέχισαν απρόσκοπτα τις επιθέσεις όπως αποκαλύπτει η σημερινή κατάσταση.

Τις τελευταίες μέρες, αρκετά spear-phishing e-mails στάλθηκαν σε πολλούς Ουιγούρους ακτιβιστές. Το exploit της Java που χρησιμοποιήθηκε για την αποστολή αυτής της νέας παραλλαγής του Red Star APT επιδιορθώθηκε πρόσφατα – τον Ιούνιο του 2013 – και έχει υψηλότερα ποσοστά επιτυχίας. Οι προηγούμενες επιθέσεις χρησιμοποιούσαν τα exploits του Office (CVE-2012-0158) που επιδιορθώθηκαν από τη Microsoft τον περασμένο Απρίλιο.

Εκτός από τη χρήση των spear-phishing e-mails, οι διαχειριστές του APT έχουν υιοθετήσει την τεχνική της watering hole (διαδικτυακές ανακατευθύνσεις και drive-by downloads σε domains που έχουν προσβληθεί) για να προσβάλουν τα θύματα που σερφάρουν στο διαδίκτυο.

Τον περασμένο μήνα, η Kaspersky Lab εμπόδισε πολλές προσπάθειες «μόλυνσης» από το domain «wetstock[dot]org», μια γνωστή ιστοσελίδα που συνδέεται με προηγούμενες επιθέσεις του NetTraveler. Αυτές οι ανακατευθύνσεις φαίνεται να προέρχονται από άλλες ιστοσελίδες που συνδέονται με τους Ουιγούρους, οι οποίες παραβιάστηκαν και προσβλήθηκαν από τους δράστες του NetTraveler.

Οι ειδικοί της Παγκόσμιας Ομάδας Έρευνας και Ανάλυσης της Kaspersky Lab (Kaspersky Lab’s Global Research and Analysis Team – GReAT) προβλέπουν ότι νέα exploits μπορούν να ενσωματωθούν και να χρησιμοποηθούν ενάντια στους στόχους της ομάδας. Γι αυτό, προτείνουν τρόπους με τους οποίους μπορούμε να προστατευτούμε από παρόμοιες επιθέσεις:
- Πρέπει να αναβαθμίσετε τη Java στην πιο πρόσφατη έκδοση ή – αν δεν χρησιμοποιείτε τη Java – να την απεγκαταστήσετε.
- Να αναβαθμίσετε τα Microsoft Windows και το Office στις πιο πρόσφατες εκδόσεις.
- Να αναβαθμίσετε όλα τα λογισμικά που προέρχονται από τρίτους, όπως το Adobe Reader.
- Να χρησιμοποιείτε έναν ασφαλή browser όπως ο Google Chrome, ο οποίος έχει ταχύτερη ανάπτυξη και patching cycle από τον Internet Explorer, που είναι ο προεπιλεγμένος browser των Windows.
- Να είστε επιφυλακτικοί όταν επιλέγετε links και ανοίγετε συνημμένα αρχεία που προέρχονται από αγνώστους.

«Μέχρι στιγμής δεν έχουμε παρατηρήσει τη χρήση ευπαθειών zero-day με την ομάδα NetTraveler. Για να προστατευτούμε από αυτά, παρόλο που οι επιδιορθώσεις δεν βοηθούν, τεχνολογίες όπως η Automatic Exploit Prevention και η DefaultDeny μπορεί να είναι πολύ αποτελεσματικές στην αντιμετώπιση εξελιγμένων επίμονων απειλών», δήλωσε Costin Raiu, Director of Global Research & Analysis Team της Kaspersky Lab.

Περισσότερες πληροφορίες για τη νέα επίθεση του NetTraveler είναι διαθέσιμες στην ηλεκτρονική σελίδα securelist.com.