Logo  
Rzecznicy Agencje Eksperci Eksperci Rzecznicy Agencje Firmy Zaloguj
Rzecznicy Agencje PR Firmy Eksperci Aktywność
rzeczników
Aktywność
firm
Aktywność
agencji PR
Zaloguj

Login: Hasło:
pamiętaj
Nie masz konta? Rejestracja
Nowe hasło
Zamów reklamę w serwisie rzecznikprasowy.pl

       
 
 Niedziela, 16 grudnia 2018
 
Centrum prasowe dla rzeczników, biur prasowych, agencji PR i dziennikarzy.
Bezpłatne komunikaty prasowe do przedruku.
Zaloguj się!
BRANŻE
Wszystkie (45562)
AGD (207)
Biznes (4722)
Budownictwo (2131)
Dom (1522)
Dziecko (1212)
Edukacja (1774)
Elektronika (866)
Film (108)
Finanse (1662)
Internet (2633)
Komputery (2173)
Książki (207)
Kulinaria (960)
Kultura i sztuka (1205)
Media (612)
Moda i Styl (990)
Motoryzacja (1137)
Muzyka (250)
Nieruchomości (1004)
Ogród (147)
Oprogramowanie (2190)
Polityka (365)
Praca i kariera (956)
Prawo (924)
Reklama i PR (967)
RTV (192)
Sport (825)
Telekomunikacja (515)
Turystyka (1178)
Transport (509)
Uroda (512)
Wnętrze (817)
Zdrowie (1635)
Zwierzęta (80)
Życie (1325)
Inne (2650)
Dolnośląskie (240)
Kujawsko-pomorskie (1152)
Lubelskie (25)
Lubuskie (57)
Łódzkie (78)
Małopolskie (151)
Mazowieckie (1623)
Opolskie (22)
Podkarpackie (57)
Podlaskie (236)
Pomorskie (152)
Śląskie (390)
Świętokrzyskie (26)
Warmińsko-mazurskie (46)
Wielkopolskie (99)
Zachodniopomorskie (46)


Złota Strona Tygodnia

subskrybuj kanały RSS subskrybuj kanały RSS
Dodaj do Facebooka Facebook
Dodaj do Twittera Twitter

TAGI
 
 


LOSOWE REDAKCJE
 

Tanie-Loty.pl


GK


Polskapresse


BPiR "Generalczyk"


Puls Gniezna


 
KOMUNIKATY TEKSTOWE

Slingshot: cyberszpieg prosto z routera
Dodano: 09.03.2018, godzina: 16:30
Slingshot: cyberszpieg prosto z routera
Badacze z Kaspersky Lab odkryli wyrafinowane zagrożenie wykorzystywane do cyberszpiegostwa na Bliskim Wschodzie i w Afryce od co najmniej 2012 r. do lutego 2018 r.

Szkodnik, któremu badacze nadali nazwę „Slingshot”, atakuje ofiary za pośrednictwem zainfekowanych routerów i może działać w trybie jądra, co zapewnia mu pełną kontrolę nad urządzeniami. Według badaczy przestępcy zastosowali zaawansowane techniki, a atak jest niezwykle skuteczny pod względem ukradkowego gromadzenia informacji, ukrywania swojego ruchu i przechwytywania danych bez pozostawiania śladów w codziennej komunikacji.    

Operacja Slingshot została wykryta po tym, jak badacze znaleźli podejrzany program przechwytujący znaki wprowadzane z klawiatury (tzw. keylogger) i stworzyli sygnaturę wykrywania na podstawie zachowania, aby sprawdzić, czy kod ten pojawił się gdzieś indziej. Sygnatura wygenerowała wykrycie na komputerze z podejrzanym plikiem wewnątrz foldera systemowego o nazwie scesrv.dll. Z analizy pliku wynika, że chociaż wygląda on na legalny moduł scesrv.dll, wewnątrz kryje osadzony szkodliwy kod. Ponieważ biblioteka ta jest ładowana przez proces, który posiada przywileje systemowe (services.exe) — zatruta biblioteka uzyskuje te same uprawnienia.

Najbardziej niezwykłym aspektem dotyczącym ataku Slingshot jest prawdopodobnie jego nietypowy wektor ataków. Po zidentyfikowaniu kolejnych ofiar badacze odkryli, że wiele z nich zostało zainfekowanych za pośrednictwem zhakowanych routerów. Podczas tych ataków ugrupowanie odpowiedzialne za Slingshot prawdopodobnie włamało się do tych urządzeń sieciowych i umieściło wewnątrz szkodliwą bibliotekę, która stanowi w rzeczywistości narzędzie pobierające inne szkodliwe komponenty. Metoda wykorzystana do włamywania się do routerów pozostaje nieznana.  

Po zainfekowaniu Slingshot ładuje wiele modułów na urządzeniu ofiary, w tym dwa duże i złożone: Cahnadr oraz GollumApp. Te dwa moduły są połączone ze sobą i mogą wspomagać się w zakresie gromadzenia danych, utrzymania swojej obecności oraz wyprowadzania informacji. 

Głównym celem kampanii Slingshot wydaje się być cyberszpiegostwo. Z analizy wynika, że w ramach operacji gromadzone są zrzuty ekranu, dane wprowadzane z klawiatury, dane sieciowe, hasła, połączenia USB, dane ze schowka itd. Mając dostęp do systemu z uprawnieniami administratora, atakujący mogą ukraść wszystko, czego potrzebują. 

W ramach kampanii Slingshot zastosowano również wiele technik, które pomagały atakującym uniknąć wykrycia: w tym szyfrowanie wszystkich ciągów we własnych modułach, bezpośrednie wywoływanie usług systemowych w celu obejścia produktów bezpieczeństwa, wykorzystywanie różnych technik uniemożliwiających debugowanie czy wybór procesu do wstrzyknięcia w zależności od zainstalowanych i uruchomionych procesów rozwiązań bezpieczeństwa.   

Slingshot działa jak pasywny backdoor: nie posiada zakodowanego na stałe adresu serwera kontroli, ale uzyskuje go od operatora poprzez przechwytywanie wszystkich pakietów sieciowych w trybie jądra i sprawdzanie, czy w nagłówku znajdują się dwie „magiczne” informacje. Jeśli tak, oznacza to, że pakiet zawiera adres serwera cyberprzestępczego. Następnie Slingshot ustanawia szyfrowany kanał komunikacji z centrum kontroli i zaczyna przesyłać dane.  

Zbadane przez ekspertów szkodliwe próbki były oznaczone jako „wersja 6.x”, co może sugerować, że zagrożenie istnieje dość długo. Czas poświęcony na stworzenie złożonego zestawu narzędzi Slingshot, jak również niezbędne umiejętności i koszty, były prawdopodobnie znaczące. To wszystko sugeruje, że stojące za Slingshot ugrupowanie jest prawdopodobnie wysoce zorganizowane i profesjonalne i najprawdopodobniej sponsorowane przez rząd. Wskazówki tekstowe w kodzie sugerują, że jego autorami są osoby angielskojęzyczne. Jednakże dokładne przypisanie autorstwa jest zawsze trudne, jeśli nie niemożliwe, i coraz bardziej podatne na manipulację oraz błędy.

Jak dotąd badacze zidentyfikowali około 100 ofiar kampanii Slingshot i związanych z nią modułów, zlokalizowanych w Kenii, Jemenie, Afganistanie, Libii, Kongo, Jordanii, Turcji, Iraku, Sudanie, Somalii oraz Tanzanii. Większość ofiar to osoby fizyczne. Można jednak wyróżnić kilka organizacji rządowych oraz instytucji. Większość zidentyfikowanych dotychczas ofiar znajduje się w Kenia oraz Jemenie.  

Slingshot to wyrafinowane zagrożenie stosujące szeroki wachlarz narzędzi i technik, w tym moduły działające głęboko w systemie, które jak dotąd zidentyfikowano tylko w najbardziej zaawansowanych kampaniach cyberprzestępczych. Funkcjonalność ta jest bardzo cenna i dochodowa dla atakujących, co może tłumaczyć, dlaczego istnieje od co najmniej sześciu lat – powiedział Aleksiej Szulmin, czołowy analityk szkodliwego oprogramowania, Kaspersky Lab. 

Wszystkie produkty Kaspersky Lab skutecznie wykrywają i blokują omawiane zagrożenie.

Zalecenia bezpieczeństwa
  • Użytkownicy routerów Mikrotik powinni możliwie jak najszybciej uaktualnić ich oprogramowanie do najnowszej wersji, aby zapewnić sobie ochronę przed znanymi lukami w zabezpieczeniach.
  • Należy stosować sprawdzone rozwiązanie bezpieczeństwa klasy korporacyjnej w połączeniu z technologiami ochrony przed atakami ukierunkowanymi oraz danymi analitycznymi dotyczącymi zagrożeń. Przykładem tego rodzaju zabezpieczenia jest rozwiązanie Kaspersky Threat Management and Defense, które potrafi identyfikować i przechwytywać zaawansowane ataki ukierunkowane poprzez analizowanie anomalii sieciowych oraz zapewnianie zespołom ds. cyberbezpieczeństwa możliwości szybkiego reagowania.  
  • Należy zapewnić personelowi bezpieczeństwa dostęp do najnowszych danych analitycznych dotyczących zagrożeń, które wyposażą go w pomocne narzędzia do badania i zapobiegania atakom ukierunkowanym, takie jak oznaki infekcji (IOC), reguły YARA oraz zindywidualizowane raportowanie o zaawansowanych zagrożeniach. 
  • Jeśli zostaną zauważone wczesne oznaki ataku ukierunkowanego, należy rozważyć skorzystanie z usługi ochrony zarządzanej, które pozwolą proaktywnie wykrywać zaawansowane zagrożenia, ograniczyć czas ich rezydowania w systemie oraz zapewnić reakcję na incydent w odpowiednim czasie.

Szczegóły techniczne dotyczące kampanii Slingshot są dostępne na stronie https://r.kaspersky.pl/1IIcc.

Informację można wykorzystać dowolnie z zastrzeżeniem podania firmy Kaspersky Lab jako źródła.

Wszystkie informacje prasowe Kaspersky Lab Polska są dostępne na stronie https://www.kaspersky.pl/nowosci.

Pliki komunikatu:
Pliki galerii:
Tagi: kaspersky

KOMENTARZE
Nie ma jeszcze komentarzy

Dodaj komentarz:

Ile to jest 3 + 6:


 

O AUTORZE
  
Kaspersky Lab Polska
www.kaspersky.pl

Firma

Kupczyk Piotr
Rzecznik
 

INNE MATERIAŁY TEGO AUTORA
 
Luki w zabezpieczeniach ładowarek samochodów elektrycznych mogą spowodować szkodyLuki w zabezpieczeniach ładowarek samochodów elektrycznych mogą spowodować szkody
Kaspersky Lab wykrywa trzeciego w ciągu trzech miesięcy exploita dnia zerowego dla systemu WindowsKaspersky Lab wykrywa trzeciego w ciągu trzech miesięcy exploita dnia zerowego dla systemu Windows
Kaspersky Lab przyczynia się do wzmocnienia standardów bezpieczeństwa Internetu Rzeczy w EuropieKaspersky Lab przyczynia się do wzmocnienia standardów bezpieczeństwa Internetu Rzeczy w Europie
DarkVishnya: nowa seria bezprecedensowych cyberataków finansowych w Europie WschodniejDarkVishnya: nowa seria bezprecedensowych cyberataków finansowych w Europie Wschodniej
Koszmar zdalnego dostępu: liczba nowych backdoorów wzrosła o ponad 40% w 2018 r.Koszmar zdalnego dostępu: liczba nowych backdoorów wzrosła o ponad 40% w 2018 r.
 
Zobacz wszystkie »

PODOBNE KOMUNIKATY
 
Luki w zabezpieczeniach ładowarek samochodów elektrycznych mogą spowodować szkody
 
Kaspersky Lab wykrywa trzeciego w ciągu trzech miesięcy exploita dnia zerowego dla systemu Windows
 
Kaspersky Lab przyczynia się do wzmocnienia standardów bezpieczeństwa Internetu Rzeczy w Europie
 
DarkVishnya: nowa seria bezprecedensowych cyberataków finansowych w Europie Wschodniej
 
Koszmar zdalnego dostępu: liczba nowych backdoorów wzrosła o ponad 40% w 2018 r.