LelepleztĂŠk a legbrutĂĄlisabb kiberfegyvert

A Kaspersky biztonság cég Kaspersky Security Analyst Summit 2014 nevű konferencián felfedte[PDF] mi rejtőzik a múlt héten kiszivárogtatott, Masknak elnevezett kiberfegyver mögött. Nevét a Careto nevű spanyol szó alapján kapta, ami többször megjelenik a kódban. A több operációs rendszeren is futó kiberfegyver elsősorban spanyol nyelvű (nem feltétlenül spanyolországi) kormányzati intézményeket, energia-, olaj- és gáztermelő vállalatokat támad. A kutatók több mint mint 380 egyedi áldozatot találtak 31 országban Algériától Spanyolországon át az USA-ig. Magyar áldozatokról egyelőre nem tud sem a biztonsági cég, sem a magyar kiberbiztonsági szakemberek.

A Kaspersky Lab szerint a Maskkal legalább 2007 óta folytatnak globális kiberkémkedési kampányokat, a kódot ezalatt folyamatosan fejlesztették. A támadássorozat aktívan zajlott legalább öt éven keresztül. 2014 januárjában aztán a Kaspersky vizsgálata közben a vezérlőszervereket a vírus gazdái lekapcsolták (bár a kutatók szerint nem zárható ki, hogy később folytatódik a kampány).

MindenhovĂĄ bejut
A kártékony program a kiberfegyverek sorából is kiemelkedik bonyolult eszközkészletének, kifinomultságának és sebességének köszönhetően: rootkit, bootkit is van benne, Mac OS X és Linux-változatokat, valamint androidos és iOS-es verziókat is tartalmaz a teljes csomag.

A kutatók először tavaly fedezték fel a Maskot, amikor észrevették, hogy kísérletek történtek egy, a saját szoftverükben lévő, már öt éve kijavított sebezhetőség kihasználására. A támadási kódot kifejezetten elrejtették a Kaspersky szemei elől. A támadásoknál mások mellett legalább egy Adobe Flash Player-sebezhetőséget kihasználtak, amit a cég már 2012-ben befoltozott: ezzel terítették le anno a Chrome-ot, de az akkori támadást kivitelező VUPEN tagadja, hogy köze lenne a kiberfegyverhez.

Minden eddiginĂŠl fejlettebb
A kiberbiztonsági labor szerint a támadók fő célja érzékeny adatok gyűjtése a megfertőzött rendszerekről. A gyűjtésben hivatali dokumentumok, titkosítási kulcsok, VPN-konfigurációk, SSH-kulcsok és távoli asztalokhoz való hozzáférést eltároló RDP-fájlok szerepelnek.

Costin Raiu, a Kaspersky Lab kutatĂłi csapatĂĄnak tagja szerint ez az eddigi legdurvĂĄbb kiberfegyver, fejlettebb a szintĂŠn ĂŠrzĂŠkeny adatok ellopĂĄsĂĄra szakosodott DuqunĂĄl is. „TĂśbb ok miatt is Ăşgy vĂŠljĂźk, hogy ez egy ĂĄllam ĂĄltal szponzorĂĄlt tĂĄmadĂĄssorozat lehet. ElőszĂśr is a tĂĄmadĂĄsok profik, sok eszkĂśzzel dolgonak: infrastruktĂşra-felĂźgyelet, a mĹąvelet lezĂĄrĂĄsa, a kĂ­vĂĄncsi szemek elkerĂźlĂŠse hozzĂĄfĂŠrĂŠsi szabĂĄlyok rĂŠvĂŠn, valamint a felĂźlĂ­rĂĄs a naplĂłfĂĄjlok tĂśrlĂŠse helyett” – ezek mind szokatlanul nagy odafigyelĂŠst mutatnak a kiberbĹąnĂśzők ĂĄltalĂĄnos mĂłdszereihez kĂŠpest. A rosszindulatĂş kĂłd mindennĂŠl jobban figyel a rejtőzkĂśdĂŠsre: kĂźlĂśnbĂśző moduljai szokatlan mĂłdon (pl. weboldalakon elhelyezett sĂźtikkel) ĂŠs kĂŠtfĂŠle tikosĂ­tĂĄs (RSA ĂŠs AES) hasznĂĄlatĂĄval kommunikĂĄlnak egymĂĄssal.

TĂśmeges ĂĄldozatok
Az áldozatok számára a Mask-fertőzés katasztrofális következményekkel járhat: a vírus lehallgatja az összes kommunikációs csatornát, és összegyűjti a legtöbb fontos információt az áldozat gépéről. Az észlelés kivételesen nehéz a program fejlett rejtőzködési képességei miatt.

A Mask a terjedéshez célzott adathalász emaileket használ, amelyek egy rosszindulatú webhelyre vezető linkeket tartalmaznak. A weboldalak sokszor a vezető spanyolországi és nemzetközileg ismert újságok (például a Washington Post és a Guardian) rovatait szimulálják. A sikeres fertőzés után a rosszindulatú, hamis oldal átirányítja a felhasználót az emailben hivatkozott valódi weboldalra, ami lehet egy Youtube-videó vagy egy hírportál híre is.

Lassan mindenkinek van
Az elmúlt években a világ kiberbiztonsági cégei a magyar Crysys Labbel karöltve több, kormányzatokat és más fontos célpontokat támadó kiberfegyvert azonosítottak: a felfedezések az iráni atomprogramot szabotáló, valószínűleg izraeli-amerikai együttműködésből született Stuxnettel kezdődtek. Ezek után a kutatók több, talán külön szerzőktől származó, de hasonló kódú, kifinomult kiberfegyvert azonosítottak: ilyen a Flame (más néven Duqu), a Gauss, a Miniduke, a Teamspy. Ezek közül több magyarországi célpontokat is támadott.

A Mask szerzői spanyol anyanyelvĹąnek tĹąnnek (a kĂłd egyik kommentje pl. Ăşgy szĂłl hogy „Caguen1aMar”, hosszabban: „me cago en la mar", ami szĂł szerint annyit jelent, hogy a tengerbe szartam, de a szlengben a bazdmeg ĂŠrtelmĂŠben hasznĂĄljĂĄk) ami elĂŠg ritka ĂŠs meglepő a fontos cĂŠlpontok ellen kivitelezett tĂĄmadĂĄsok esetĂŠben. Az eddigi kiberfegyverek mĂśgĂśtt az USA-t (Stuxnet, Flame), KĂ­nĂĄt (NetTraveler), OroszorszĂĄgot (RedOctober) ĂŠs Izraelt (szintĂŠn Stuxnet) sejtettĂŠk a biztonsĂĄgi szakemberek: kĂśzĂślĂźk valaki ĂĄllhat a Duqu ĂŠs Gauss mĂśgĂśtt is, de talĂĄltak mĂĄr vĂŠlhetően ĂŠszak-koreai fejlesztĂŠsĹą kiberfegyvert is (Kimsuky).

A Kaspersky nem hajlandó megnevezni a szerintük a Mask mögött álló kormányzatot, de annyit elárultak, hogy a rosszindulatú program csökkenő sorrendben Marokkóban, Brazíliában, az Egyesült Királyságban, Franciaországban és Spanyolországban volt a legaktívabb a múlt heti lekapcsolásáig.

index