Cyberspionage-campagne ontdekt die al sinds 2007 actief is

Kaspersky Lab publiceerde eerder vandaag een nieuw onderzoeksrapport waarin ze een cyberspionage-campagne identificeren, die de afgelopen 5 jaar ongrijpbaar is gebleken, en die gericht is op diplomatieke, overheids- en wetenschappelijke onderzoeksorganisaties uit verschillende landen.

De primaire focus van deze campagne is gericht op landen in Oost-Europa, de voormalige Sovjet-republieken en landen in Centraal-Azië. Slachtoffers zijn echter overal te vinden, inclusief ook West-Europa en Noord-Amerika. De belangrijkste doelstelling van de aanvallers was het verzamelen van gevoelige documenten van de getroffen organisaties. Hiertoe behoorden geopolitieke informatie en toegangsgegevens tot beveiligde computersystemen, persoonlijke mobiele apparaten en netwerkapparatuur.

De security Experts van Kaspersky Lab startten in oktober 2012 een onderzoek naar aanleiding van een reeks aanvallen op computernetwerken, gericht op internationale diplomatieke diensten. Tijdens dat onderzoek werd een grootschalig cyberspionagenetwerk blootgelegd en geanalyseerd. Operatie ‘Red October’ is nu nog altijd actief en het is een campagne die teruggaat tot 2007.

Onderzoeksuitkomsten

– De aanvallers zijn minstens sinds 2007 actief en richtten zich op diplomatieke en overheidsinstanties, onderzoeksinstellingen, energie- en nucleaire groepen, handels- en ruimtevaartdoelen van verschillende landen over de hele wereld.  De Red October-aanvallers ontwierpen hun eigen malware, geïdentificeerd als “Rocra”, met een eigen unieke modulaire architectuur bestaande uit kwaadaardige extensies, informatie stelende modules en backdoor Trojans.

– De aanvallers maakten vaak gebruik van uit besmette netwerken verkregen informatie als methode om toegang te krijgen tot aanvullende systemen. Zo werden gestolen identificatiegegevens gebundeld in een lijst en gebruikt wanneer de aanvallers wachtwoorden of zinnen moesten raden om toegang te krijgen tot additionele systemen.

– Om het netwerk van geïnfecteerde computers aan te sturen, creëerden de aanvallers meer dan 60 domeinnamen en diverse server hostlocaties in verschillende landen, waarvan het merendeel in Duitsland en Rusland. Kaspersky Lab’s analyse van Rocra’s Command & Control (C2)-infrastructuur toont aan dat de keten van servers in feite dienst deed als proxies, om de locatie van de control server van het ‘moederschip’ te verbergen.

– De informatie gestolen van geïnfecteerde systemen omvat documenten met extensies: txt, csv, eml, doc, vsd, sxw, odt, docx, rtf, pdf, mdb, xls, wab, rst, xps, iau,  cif, key, crt, cer, hse, pgp, gpg, xia, xiu, xis, xio, xig, acidcsa, acidsca, aciddsk, acidpvr, acidppr en acidssa. De “acid*”-extensies in het bijzonder lijken te verwijzen naar de geheime “Acid Cryptofiler”-software die door verschillende instanties wordt gebruikt, van de Europese Unie tot de NAVO.

Slachtoffers

Om systemen te infecteren stuurden de aanvallers een doelgerichte spear-phishing e-mail naar hun slachtoffers, met daarin een aangepaste Trojan dropper. Om de malware te installeren en het systeem te infecteren, bevatte die schadelijke e-mail exploits die speciaal waren gemanipuleerd om beveiligingslekken in Microsoft Office en Microsoft Excel te benutten. De exploits van de in de spear-phishing e-mails gebruikte documenten werden door andere aanvallers gecreëerd en ingezet tijdens verschillende cyberaanvallen, onder andere tegen Tibetaanse activisten, alsmede tegen militaire en energiesector doelwitten in Azië. Het enige wat in het door Rocra gebruikte document werd veranderd was de ingebouwde executable, die door de aanvallers werd vervangen door een eigen code.

Een van de opdrachten in de Trojaanse dropper verandert de codetabel van de opdrachtprompt-sessie naar 1251, wat nodig is om Cyrillische fonts te renderen.