Το malware Skeleton Key κατάφερε να μείνει “κρυμμένο” για τα τελευταία δύο χρόνια, αλλά ερευνητές της Dell SecureWorks το ανακάλυψαν στο δίκτυο ενός πελάτη της.
Η απειλή έχει χρησιμοποιηθεί από επιτιθέμενους για να παρακάμψει τον έλεγχο ταυτότητας σε συστήματα Active Directory με single-factor authentication πολιτική ασφάλειας. Αυτό επιτρέπει τη σύνδεση στο σύστημα ως νόμιμος χρήστης, αλλά με έναν κωδικό πρόσβασης της επιλογής τους.
Η Symantec πραγματοποίησε τη δική της ανάλυση σε δείγμα του κακόβουλου λογισμικού και προσδιόρισε μια σύνδεση με το backdoor Winnti, το οποίο χρησιμοποιείται σε πολλαπλές στοχευμένες επιθέσεις εναντίον εταιρειών σε όλο τον κόσμο.
Η Kaspersky ισχυρίζεται ότι το backdoor διαχειρίζεται από επιτιθέμενους που ειδικεύονται στην παραβίαση των δικτύων εταιρειών της βιομηχανίας βιντεοπαιχνιδιών και έχει δυνατότητα για την κλοπή του πηγαίου κώδικα και των ψηφιακών πιστοποιητικων.
Ο Gavin Gorman από τη Symantec λέει για το Skeleton Key (ανιχνεύεται ως Trojan.Skelky) ότι, κατά τη διάρκεια των τελευταίων δύο ετών, το κακόβουλο λογισμικό έχει εξελιχθεί και έχουν προκύψει νέες παραλλαγές.
Τα πρώτα ίχνη της δραστηριότητας του καταγράφηκαν τον Ιανουάριο του 2013 και δεν είχε εμφανιστεί μέχρι το Νοέμβριο, του ίδιου έτους. Από τότε, οι επιτιθέμενοι το έχουν χρησιμοποιήσει σε συχνή βάση καθώς τέσσερις παραλλαγές έχουν εμφανιστεί.
«Η Symantec εντόπισε το Skeleton Key malware σε υπολογιστές που έχουν υποστεί παραβίαση σε πέντε οργανισμούς, με γραφεία στις Ηνωμένες Πολιτείες και το Βιετνάμ. Η ακριβής φύση και τα ονόματα των θιγόμενων οργανισμών είναι άγνωστα στη Symantec”, ανέφερε ο Gorman σε ένα blog post από την Πέμπτη.
Η σύνδεση μεταξύ Skeleton Key και Winnti έγινε με βάση το γεγονός ότι οι επιτιθέμενοι χρησιμοποίησαν τον ίδιο κωδικό πρόσβασης σε τρεις διαφορετικές παραλλαγές του κακόβουλου λογισμικού και δείχνει ότι μια ενιαία ομάδα βρίσκεται πίσω από αυτό.
Άλλες απειλές βρέθηκαν σε δύο από τα συστήματα που έχουν υποστεί παραβίαση από το κακόβουλο λογισμικό Skeleton Key, μια παραλλαγή του Winnti backdoor και ένα dropper για αυτό. Επειδή και οι δύο απειλές ανιχνεύθηκαν στα ίδια συστήματα, μπορεί να συναχθεί το συμπέρασμα ότι μπορούν να χρησιμοποιηθούν σε συνδυασμό.
Η Symantec δεν βρήκε στοιχεία που να οδηγούν στο συμπέρασμα ότι πολλές ομάδες χάκερ χρησιμοποίησαν αυτό το κακόβουλο λογισμικο, αλλά δεν αποκλείει αυτή την πιθανότητα.
