Η Kaspersky αποκαλύπτει το «Icefog»

Η Kaspersky Lab αποκαλύπτει το «Icefog»: μια νέα εκστρατεία ψηφιακής κατασκοπείας που επιτίθεται στις εφοδιαστικές αλυσίδες. Πρόκειται για ομάδες ψηφιακών μισθοφόρων που προσλαμβάνονται για να «χτυπούν και να φεύγουν».

Η ομάδα έρευνας για θέματα ασφαλείας της Kaspersky Lab δημοσίευσε μια νέα

έρευνα για την ανακάλυψη του «Icefog». Πρόκειται για μια μικρή αλλά ιδιαίτερα δραστήρια ομάδα APT, που στοχοποιεί φορείς στη Νότια Κορέα και την Ιαπωνία και επιτίθεται στην εφοδιαστική αλυσίδα δυτικών εταιρειών. Ξεκίνησε τη λειτουργία της το 2011 και έχει αυξήσει σημαντικά το μέγεθος και το εύρος των δραστηριοτήτων της τα τελευταία χρόνια.
«Τον τελευταίο καιρό, έχουμε δει μια σειρά από APT να εξαπολύουν επιθέσεις – λίγο πολύ – σε θύματα και τομείς κάθε είδους. Στις περισσότερες περιπτώσεις, οι εισβολείς καταλαμβάνουν σταθερά μια θέση σε εταιρικά και κυβερνητικά δίκτυα για χρόνια, κλέβοντας terabytes ευαίσθητων δεδομένων», δήλωσε ο Costin Raiu, Director, Global Research & Analysis Team. «Η “χτυπάω και φεύγω“ φύση των επιθέσεων του Icefog καταδεικνύει μια νέα αναδυόμενη τάση: μικρότερες συμμορίες, που “χτυπούν και φεύγουν“, κηνυγούν πληροφορίες με χειρουργική ακρίβεια. Η επίθεση συνήθως διαρκεί για λίγες ημέρες ή εβδομάδες και αφού εντοπίσουν αυτό που ψάχνουν, οι επιτιθέμενοι “καθαρίζουν“ και φεύγουν. Στο μέλλον, προβλέπουμε ότι ο αριθμός των μικρών εξειδικευμένων μισθοφορικών APT ομάδων με εξειδίκευση σε επιθέσεις “χτυπάω και φεύγω” θα αυξηθεί. Ένα είδος “ψηφιακών μισθοφόρων” του σύγχρονου κόσμου».

Τα Βασικά Ευρήματα:
- Βάσει του προφίλ των στόχων που έχουν εντοπιστεί, οι εισβολείς φαίνεται να ενδιαφέρονται για τους εξής τομείς: στρατός, ναυπηγική βιομηχανία και θαλάσσιες επιχειρήσεις, εταιρείες ηλεκτρονικών υπολογιστών και ανάπτυξης λογισμικού, εταιρείες έρευνας, τηλεπικοινωνιακοί πάροχοι, φορείς εκμετάλλευσης δορυφόρων, μέσα μαζικής ενημέρωσης και τηλεόραση.
- Η έρευνα δείχνει ότι οι επιτιθέμενοι ενδιαφέρονταν να στοχοποιήσουν εργολάβους αμυντικής βιομηχανίας όπως η Lig Nex1 και η Selectron Industrial Company, ναυπηγικές εταιρείες όπως οι DSME Tech και Hanjin Heavy Industries, τηλεπικοινωνιακούς παρόχους όπως η Korea Telecom, εταιρείες μέσων μαζικής ενημέρωσης όπως η Fuji TV καθώς και η Japan-China Economic Association.
- Οι επιτιθέμενοι εισβάλλουν σε ευαίσθητα έγγραφα και σχέδια των εταιρειών, σε στοιχεία αναγνώρισης λογαριασμών e-mail και σε κωδικούς πρόσβασης για να αποκτήσουν με τον τρόπο αυτό πρόσβαση σε διάφορους πόρους εντός και εκτός του δικτύου του θύματος.
- Κατά τη διάρκεια της επιχείρησης, οι επιτιθέμενοι χρησιμοποιούν την κερκόπορτα του «Icefog» (γνωστή επίσης κι ως «Fucobha»). Η Kaspersky Lab εντόπισε εκδόσεις του Icefog τόσο για Microsoft Windows όσο και για Mac OS X.
- Ενώ στις περισσότερες εκστρατείες APT τα θύματα παραμένουν «μολυσμένα» για μήνες ή ακόμη και χρόνια και οι επιτιθέμενοι κλέβουν συνεχώς δεδομένα, οι διαχειριστές του Icefog εξετάζουν τα θύματα τους ένα προς ένα – εντοπίζοντας και αντιγράφοντας μόνο συγκεκριμένες, στοχευμένες πληροφορίες. Μόλις πάρουν την επιθυμητή πληροφορία, φεύγουν.
- Στις περισσότερες περιπτώσεις, οι διαχειριστές του Icefog φαίνεται να γνωρίζουν πολύ καλά τι χρειάζονται από τα θύματα. Ψάχνουν για συγκεκριμένα ονόματα αρχείων, τα οποία εντοπίζονται γρήγορα και μεταφέρονται στον C&C server.

Επίθεση & Λειτουργικότητα
Οι ερευνητές της Kaspersky έχουν αναλύσει 13 από τα πάνω από 70 domains που χρησιμοποιούνται από τους εισβολείς. Από αυτά προήλθαν τα στατιστικά στοιχεία για τον αριθμό των θυμάτων σε όλο τον κόσμο. Επιπλέον, οι servers command and control (C&C) του Icefog διατηρούν κρυπτογραφημένα αρχεία καταγραφής για τα θύματά τους μαζί με τις διάφορες εργασίες που εκτελέστηκαν σε αυτά. Οι καταγραφές αυτές ενδέχεται ορισμένες φορές να συμβάλουν στον εντοπισμό των στόχων των επιθέσεων και – σε κάποιες περιπτώσεις – ακόμα και των θυμάτων. Εκτός από την Ιαπωνία και τη Νότια Κορέα, παρατηρήθηκαν πολλές διασυνδέσεις και με πολλές άλλες χώρες: Ταϊβάν, Χονγκ Κονγκ, Κίνα, ΗΠΑ, Αυστραλία, Καναδά, Ηνωμένο Βασίλειο, Ιταλία, Γερμανία, Αυστρία, Σιγκαπούρη, Λευκορωσία και Μαλαισία. Συνολικά, η Kaspersky Lab εντόπισε περισσότερα από 4.000 μοναδικά μολυσμένα IPs και αρκετές εκατοντάδες θύματα (μερικές δεκάδες θύματα στα Windows και πάνω από 350 στα Mac OS X).

Βάσει της λίστας των IPs που χρησιμοποιούνται για την παρακολούθηση και τον έλεγχο της υποδομής, οι ειδικοί της Kaspersky Lab υποθέτουν ότι μερικοί από τους παίκτες πίσω από αυτή την απειλή εδρεύουν σε τουλάχιστον τρεις χώρες: την Κίνα, τη Νότια Κορέα και την Ιαπωνία.
Τα προϊόντα της Kaspersky Lab εντοπίζουν και εξαλείφουν όλες τις παραλλαγές του malware του Icefog.
Τα πλήρη αποτελέσματα της έρευνας, που περιλαμβάνουν τη λεπτομερή περιγραφή των backdoors, άλλων κακόβουλων εργαλείων και στατιστικών στοιχείων, είναι διαθέσιμα στη Securelist, όπου μπορείτε επίσης να δείτε τις απάντησεις στις πιθανές ερωτήσεις σχετικά με το Icefog.