Η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky Lab αποκαλύπτει την αραβική ομάδα Desert Falcons και τη δράση της, ενός φορέα ψηφιακής κατασκοπείας με στόχο πολλούς οργανισμούς και μεμονωμένα πρόσωπα υψηλού κύρους από χώρες της Μέσης Ανατολής.
Ακολουθούν πληροφορίες από την ανακοίνωση της Kaspersky Lab σχετικά με την ανακάλυψη και καταδίωξη για την αραβική ομάδα ψηφιακής κατασκοπείας Desert Falcons:
Οι ειδικοί της Kaspersky Lab θεωρούν τον φορέα αυτό ως την πρώτη γνωστή Αραβική ομάδα «ψηφιακών μισθοφόρων», οι οποίοι έχουν αναπτύξει και πραγματοποιούν ολοκληρωμένες επιχειρήσεις ψηφιακής κατασκοπείας.
- Η εκστρατεία είναι ενεργή εδώ και τουλάχιστον δύο χρόνια. Η αραβική ομάδα Desert Falcons άρχισε να αναπτύσσει και να εδραιώνει τη λειτουργία της μέσα στο 2011. Ωστόσο, το ξεκίνημα της βασικής δράσης της ομάδας και των μολύνσεις μέσω του malware της τοποθετείται στο 2013. Η αιχμή της δραστηριότητάς για την αραβική ομάδα καταγράφεται στις αρχές του 2015.
- Η συντριπτική πλειοψηφία των στόχων βρίσκεται στην Αίγυπτο, την Παλαιστίνη, το Ισραήλ και την Ιορδανία.
- Εκτός από τις χώρες της Μέσης Ανατολής, οι οποίες αποτέλεσαν τους αρχικούς στόχους, η αραβική ομάδα Desert Falcons δραστηριοποιείται και εκτός της περιοχής αυτής. Συνολικά, τα μέλη της έχουν καταφέρει να επιτεθούν σε περισσότερα από 3.000 θύματα, σε περισσότερες από 50 χώρες παγκοσμίως, έχοντας υποκλέψει πάνω από 1 εκατομμύριο αρχεία.
- Οι επιτιθέμενοι χρησιμοποιούν κακόβουλα εργαλεία που έχουν αναπτύξει οι ίδιο, ώστε να εξαπολύουν επιθέσεις σε υπολογιστές Windows και συσκευές Android.
- Οι ειδικοί της Kaspersky Lab έχουν πολλούς λόγους να πιστεύουν ότι η μητρική γλώσσα των μελών της ομάδας Desert Falcons είναι η Αραβική.
Η λίστα των θυμάτων που στοχοποιήθηκαν περιλαμβάνει στρατιωτικούς και κυβερνητικούς οργανισμούς – και ειδικότερα, στελέχη επιφορτισμένα με την αντιμετώπιση του ξεπλύματος μαύρου χρήματος. Επίσης, η εκστρατεία στράφηκε εναντίον στελεχών από τους κλάδους της υγείας και της οικονομίας, κορυφαίων Μέσων Μαζικής Ενημέρωσης, ερευνητικών και εκπαιδευτικών ιδρυμάτων, παρόχων ενέργειας και υπηρεσιών κοινής ωφέλειας, ακτιβιστών και πολιτικών ηγετών, εταιρειών προσωπικής ασφάλειας και άλλων στόχων που έχουν στην κατοχή τους σημαντικές γεωπολιτικές πληροφορίες.
Συνολικά, οι ειδικοί της Kaspersky Lab κατάφεραν να εντοπίσουν σημάδια των επιθέσεων σε πάνω από 3.000 θύματα, σε περισσότερες από 50 χώρες, διαπιστώνοντας την υποκλοπή άνω του ενός εκατομμυρίων αρχείων. Παρότι, ο φορέας της επίθεσης φαίνεται να δρα σε χώρες όπως η Αίγυπτος, η Παλαιστίνη, το Ισραήλ και η Ιορδανία, πολλά θύματα βρέθηκαν επίσης στο Κατάρ, τη Σαουδική Αραβία, τα Ηνωμένα Αραβικά Εμιράτα, την Αλγερία, το Λίβανο, τη Νορβηγία, την Τουρκία, τη Σουηδία, τη Γαλλία, τις Ηνωμένες Πολιτείες, τη Ρωσία και άλλες χώρες.
Η κύρια μέθοδος που χρησιμοποιήθηκε την αραβική ομάδα Desert Falcons για τη μεταφορά κακόβουλου φορτίου ήταν το spearphishing μέσω e-mail, μηνυμάτων σε μέσα κοινωνικής δικτύωσης και μηνυμάτων σε chat. Τα μηνύματα phishing περιείχαν κακόβουλα αρχεία (ή link που οδηγούσαν σε κακόβουλα αρχεία), τα οποία μιμούνταν νόμιμα έγγραφα ή εφαρμογές. Η ομάδα Desert Falcons χρησιμοποιεί διάφορες τεχνικές για να δελεάσει τα θύματα της και να τα αναγκάσει να εκτελέσουν τα κακόβουλα αρχεία. Μία από τις πιο χαρακτηριστικές τεχνικές που χρησιμοποιεί η ομάδα είναι το λεγόμενο “Right-to-Left Override”.
Η τεχνική αυτή εκμεταλλεύεται έναν ειδικό χαρακτήρα στο Unicode, για να αντιστρέψει τη σειρά των χαρακτήρων στην ονομασία ενός αρχείου, κρύβοντας μια επικίνδυνη επέκταση στη μέση της ονομασίας και τοποθετώντας μία ψεύτικη επέκταση αρχείου, η οποία μοιάζει ακίνδυνη, κοντά στο τέλος της ονομασίας του αρχείου. Χρησιμοποιώντας αυτήν την τεχνική, κακόβουλα αρχεία (.exe, .scr) μοιάζουν με ένα αβλαβές έγγραφο ή αρχείο PDF, ενώ ακόμη και οι προσεκτικοί χρήστες με καλές τεχνικές γνώσεις είναι δυνατό να παρασυρθούν και «τρέξουν» αυτά τα αρχεία. Για παράδειγμα, ένα αρχείο με κατάληξη “.fdp.scr” θα παρουσιαζόταν ως “.rcs.pdf”.
Μετά την επιτυχή «μόλυνση» του θύματος, μέλη από την αραβική ομάδα Desert Falcons χρησιμοποιούν ένα από τα δύο διαφορετικά Backdoors, είτε το βασικό Trojan τους ή το DHS Backdoor, τα οποία φαίνεται να έχουν αναπτυχθεί από την αρχή και να βρίσκονται σε συνεχή ανάπτυξη. Οι ειδικοί της Kaspersky Lab κατάφερνα να ταυτοποιήσουν πάνω από 100 δείγματα κακόβουλου λογισμικού που χρησιμοποιούνται από αυτή την ομάδα για επιθέσεις.
Τα κακόβουλα εργαλεία που χρησιμοποιούνται έχουν πλήρη Backdoor λειτουργικότητα. Έτσι, μπορούν να τραβούν screenshots, να υποκλέπτουν πληκτρολογήσεις, να κάνουν upload ή download αρχεία, να συλλέγουν πληροφορίες σχετικά με όλα τα αρχεία Word και Excel στο σκληρό δίσκο ή τις συνδεδεμένες συσκευές USB ενός θύματος, να υποκλέπτουν κωδικούς πρόσβασης που αποθηκεύονται στο μητρώο του συστήματος (Internet Explorer και Live Messenger) και να κάνουν ηχογραφήσεις. Οι ειδικοί της Kaspersky Lab κατάφεραν επίσης να εντοπίσουν ίχνη από τη δραστηριότητας ενός κακόβουλου λογισμικού, το οποίο φαίνεται να αποτελεί backdoor για Android, με δυνατότητες υποκλοπής κλήσεων και αρχείων καταγραφής SMS.
Χρησιμοποιώντας αυτά τα εργαλεία, μέλη από την αραβική ομάδα Desert Falcons δημιούργησαν και διαχειρίζονταν τουλάχιστον τρεις διαφορετικές κακόβουλες εκστρατείες, με στόχο διαφορετικά θύματα σε διάφορες χώρες.
Οι ερευνητές της Kaspersky Lab εκτιμούν ότι τουλάχιστον 30 άτομα, σε τρεις ομάδες, διαμοιρασμένα σε διαφορετικές χώρες, πραγματοποιούν τις εκστρατείες κακόβουλου λογισμικού σχετικά με την αραβική ομάδα Desert Falcons.
“Τα άτομα πίσω από αυτόν τον φορέα είναι εξαιρετικά αποφασισμένα, ενεργά, με καλές τεχνικές γνώσεις και καλή πληροφόρηση σχετικά με πολιτικά και πολιτιστικά θέματα. Χρησιμοποιώντας μόνο phishing e-mail, τεχνικές κοινωνικής μηχανικής, εργαλεία και backdoors που ανέπτυξαν οι ίδιοι, μέλη από την αραβική Desert Falcons μπόρεσαν να “μολύνουν” εκατοντάδες σημαντικά θύματα στην περιοχή της Μέσης Ανατολής, μέσω των ηλεκτρονικών υπολογιστών ή των φορητών συσκευών τους, καθώς και να αποκωδικοποιήσουν ευαίσθητα δεδομένα. Αναμένουμε ότι αυτή η εκστρατεία θα συνεχίσει να αναπτύσσει περισσότερα Trojans κι ότι θα χρησιμοποιήσει ακόμη πιο εξελιγμένες τεχνικές. Με επαρκή χρηματοδότηση, θα μπορούσαν να αποκτήσουν ή να αναπτύξουν exploits, τα οποία θα μπορούσαν να αυξήσουν την αποτελεσματικότητα των επιθέσεων τους”, δήλωσε ο Dmitry Bestuzhev, ειδικός σε θέματα ασφάλειας και μέλος της Παγκόσμιας Ομάδας Έρευνας και Ανάλυσης της Kaspersky Lab.
H Kaspersky Lab, η οποία παρέχει τα στοιχεία που παραθέτουμε στο παρόν άρθρο, διατείνεται ότι τα προϊόντα της εντοπίζουν και εμποδίζουν με επιτυχία το κακόβουλο λογισμικό που χρησιμοποιείται από την αραβική ομάδα Desert Falcons.
Περισσότερες πληροφορίες σχετικά με την εκστρατεία είναι διαθέσιμες στο Securelist.com.
Πηγή: gr.pcmag.com
