Μέλη της συριακής αντιπολίτευσης δελεάστηκαν από χάκερς ώστε να συμμετάσχουν σε συνομιλίες μέσω Skype με ένα άτομο που παρουσιάζεται ως μια “Femme Fatale”, όμορφη γυναίκα που δηλώνει την υποστήριξη στον σκοπό τους.
Εξαπατώντας και οδηγώντας τους σε ανταλλαγή φωτογραφιών, οι hackers στέλνουν ένα αυτο-εξαγόμενο αρχείο RAR που έχει μετονομαστεί και του έχει δοθεί η επέκταση PIF (Program Information File). Αυτός ο τύπος αρχείου δεν είναι εκτελέσιμος, αλλά θα τρέξει τα δεδομένα στο εσωτερικό του.
Αφού ανοιχτεί, η φωτογραφία της «μοιραίας γυναίκας» θα “τρέξει” μαζί με το κακόβουλο λογισμικό που περιλαμβάνεται στο αρχείο.
Ερευνητές Ασφάλειας στη FireEye διαπίστωσαν ότι οι hackers χρησιμοποίησαν το DarkComet RAT (Remote Access Trojan) για να αποκτήσουν πλήρη πρόσβαση στα συστήματα. Παρατήρησαν ότι το κακόβουλο λογισμικό διοχετευόταν μέσω ενός προσαρμοσμένου εργαλείου (BLACKSTAR), γεγονός που καθιστά πιο δύσκολη την ανίχνευσή του.
Ghost: Εξάρθρωση της πλατφόρμας κρυπτογραφημένων επικοινωνιών
Φαίνεται ότι τα δεδομένα που αλιεύθηκαν, αντιστοιχούω σε 7.7GB περίπου, συμπεριλαμβανομένων 64 βάσεων δεδομένων λογαριασμών Skype, 31.107 συνομιλίες, 12.356 επαφές και 240.381 μηνύματα.
Οι χάκερς ήταν πολύ προσεκτικοί με αυτά που έκλεψαν και μόνο σε μερικές περιπτώσεις πήραν στοιχεία που δεν αφορούσαν τον σκοπό τους.
Οι πληροφορίες που έχουν κλαπεί σχετίζονται με στρατιωτικές δραστηριότητες (βρέθηκαν δορυφορικές εικόνες και σχέδια μάχης), πολιτικές στρατηγικές και ανθρωπιστικές αξιολογήσεις αναγκών. Τα δεδομένα περιείχαν επίσης προσωπικά στοιχεία για τους πρόσφυγες, καθώς και έγγραφα και στοιχεία στρατηγικής από τα δελτία των μέσων ενημέρωσης, εκθέσεις για την κατάσταση και τους καταλόγους των θυμάτων.
Η FireEye αναφέρει ότι τα θύματα ταιριάζουν με το προφίλ ενός ηγέτη της αντιπολίτευσης, ενός αποστάτη, ενός ανθρωπιστή, και ακτιβιστή των μίντια. Σε όλες τις περιπτώσεις, έπαιξαν σημαντικό ρόλο στην οργάνωση.
Με το πρόσχημα “Femme Fatale“, οι χάκερς θα αποκτούσαν πολύτιμες πληροφορίες σχετικά με τους στόχους.
“Οι προσωπικές ερωτήσεις προφανώς βοήθησαν τους χάκερς στη συστηματική συλλογή πληροφοριών σχετικά με τους στόχους τους. Οι χάκερς μερικές φορές επανέρχονταν σε συνεδρίες chat με τα θύματα μετά από μια περίοδο αδράνειας για τη συλλογή επιπλέον στοιχείων”, αναφέρει η FireEye σε μια έκθεση.
Οι ερευνητές ισχυρίζονται ότι η ομάδα των χάκερς πιθανότατα συγκέντρωσε μεγάλο όγκο πληροφοριών παραβιάζοντας ένα μικρό αριθμό συστημάτων, λόγω του γεγονότος ότι η συριακή αντιπολίτευση μοιράζεται τους υπολογιστές με δορυφορική πρόσβαση στο Διαδίκτυο.
Φαίνεται ότι οι hackers χρησιμοποίησαν έναν command&control server εκτός Συρίας.
