Premium
O serie de atacuri extrem de bine ţintite împotriva sistemelor industriale, şi care datează din anul 2018, au fost descoperite recent de către specialiştii în securitate cibernetică de la Kaspersky, potrivit Agerpres.
"Acestea sunt mult mai rare în lumea ameninţărilor persistente avansate (APT) decât campaniile împotriva diplomaţilor şi altor actori politici. Setul de instrumente utilizat - denumit iniţial MT3 de către autorii malware-ului - a fost clasificat de Kaspersky drept "MontysThree". Acesta foloseşte o varietate de tehnici pentru a se sustrage detecţiei, inclusiv găzduirea comunicaţiilor cu serverul de control pe servicii publice de cloud şi ascunderea principalului modul malware folosind steganografie. Entităţile guvernamentale, diplomaţii şi operatorii de telecomunicaţii tind să fie ţinta preferată pentru APT, deoarece aceste persoane şi instituţii posedă în mod natural informaţii extrem de confidenţiale şi sensibile din punct de vedere politic. Campaniile de spionaj orientate împotriva entităţilor industriale sunt cu mult mai rare, dar pot avea consecinţe devastatoare pentru companiile respective. Este şi motivul pentru care cercetătorii Kaspersky s-au grăbit să acţioneze imediat ce au observat activitatea MontysThree", susţin experţii, într-un comunicat transmis, joi, AGERPRES.
Citește și: BREAKING - RECORD de cazuri noi de Covid-19, în ultimele 24 de ore: 2958
Acţiunile de spionaj ale MontysThree urmăresc instalarea unui program malware format din patru module, cel principal folosind mai multe tehnici de criptare proprii pentru a se sustrage detecţiei, şi anume utilizarea unui algoritm RSA pentru a cripta comunicaţiile cu serverul de control şi pentru a decripta principalele "sarcini" atribuite de către malware.
Potrivit sursei citate, MontysThree este conceput pentru a viza în mod specific documentele Microsoft şi Adobe Acrobat. De asemenea, poate face capturi de ecran şi poate capta "amprenta digitală" a ţintei (adună informaţii despre setările reţelei, numele gazdei etc.) pentru a vedea dacă este de interes pentru atacatori.
"Informaţiile colectate şi alte comunicaţii cu serverul de control sunt apoi găzduite pe servicii de cloud publice precum Google, Microsoft şi Dropbox. Acest lucru face ca traficul de comunicaţii să fie dificil de detectat ca fiind rău intenţionat şi, deoarece niciun antivirus nu blochează aceste servicii, se asigură că serverul de control poate executa comenzi neîntrerupt. MontysThree foloseşte, de asemenea, o metodă simplă pentru a obţine persistenţă pe sistemul infectat - un modificator pentru Windows Quick Launch. Fără să ştie, utilizatorii lansează singuri modulul iniţial al malware-ului, de fiecare dată când rulează aplicaţii legitime, cum ar fi browserele, atunci când utilizează bara de instrumente Quick Launch (Lansare rapidă)", explică reprezentanţii companiei de securitate cibernetică.
Kaspersky precizează că, până la ora actuală, nu a reuşit să găsească asemănări cu alte ameninţări persistente avansate cunoscute în codul rău intenţionat sau în infrastructură.
