Careto (вредоносное ПО) - Careto (malware)

Карето (Испанский для маска), иногда называемый Маска, это часть шпионажа вредоносное ПО обнаружен Лаборатория Касперского в 2014 году. Благодаря высокому уровню сложности и профессионализма, а также целевому списку, в который вошли дипломатические представительства и посольства, Careto считается делом национального государства.[1] Касперский считает, что создатели зловреда были испаноязычными.[1]

Поскольку основное внимание уделяется жертвам, говорящим по-испански, Марокко, и нацеливание Гибралтар, Брюс Шнайер предполагает, что Careto управляется Испания.[2]

Полезная нагрузка

Careto обычно устанавливает вторую, более сложную программу-бэкдор под названием SGH. SGH легко модифицируется, а также имеет более широкий арсенал, включая возможность перехвата системных событий, файловых операций и выполнение более широкого диапазона функций наблюдения.[3] Информация, собираемая SGH и Careto, может включать: шифрование ключи виртуальная частная сеть конфигурации и SSH ключи и другие каналы связи.[4]

Обнаружение и удаление

Careto трудно обнаружить и удалить из-за использования возможности скрытности. Кроме того, большинство образцов были с цифровой подписью. Подписи поставлены болгарской компанией TecSystem Ltd., но подлинность компании неизвестна. Один из выпущенных сертификаты был действителен с 28 июня 2011 г. по 28 июня 2013 г. Другой действовал с 18 апреля 2013 г. по 18 июля 2016 г., но был отозван Verisign.[5]

Карето был обнаружен, когда он пытался обойти Касперский продукты безопасности.[6] Обнаружив, что Careto пытается использовать их программное обеспечение, «Касперский» начал дальнейшее расследование. В рамках сбора статистики несколько воронки были размещены на командно-управляющих серверах.[5]

На данный момент самый последний антивирусное программное обеспечение может обнаружить и успешно удалить вредоносное ПО.

Распределение

При расследовании командных серверов выяснилось, что заражено более 380 жертв. Судя по обнаруженной информации, жертвы были заражены вредоносным ПО при нажатии на адресная фишинговая ссылка которые перенаправлялись на веб-сайты, на которых было программное обеспечение, которое Careto могло использовать, например Adobe Flash Player. С тех пор плеер был пропатчен, и Careto больше не может его использовать. Веб-сайты, содержащие уязвимое программное обеспечение, имели названия, похожие на названия популярных газет, например Вашингтон Пост и Независимый. [7]

Сообщается, что вредоносная программа имеет несколько бэкдоры к Linux, Mac OS X, и Windows. Свидетельства возможного четвертого типа бэкдора для Android и IOS был обнаружен на C&C серверах, но образцов не обнаружено. [3]

Считается, что Карето был составлен еще в 2007 году. Теперь известно, что атаки прекратились в январе 2014 года.[5]

Рекомендации

  1. ^ а б «Лаборатория Касперского раскрывает« маску »: одна из самых сложных операций глобального кибершпионажа на сегодняшний день из-за сложности набора инструментов, используемых злоумышленниками, 11 февраля 2014 года». Архивировано из оригинал 21 февраля 2014 г.. Получено 11 февраля 2014.
  2. ^ ""Маска «Шпионское вредоносное ПО - Шнайер о безопасности». schneier.com.
  3. ^ а б Лучиан Константин (11 февраля 2014 г.). «Раскрытие« Маски »: в течение 7 лет безудержно распространялось сложное вредоносное ПО». PCWorld.
  4. ^ «Архивная копия». Архивировано из оригинал на 2014-02-21. Получено 2014-02-11.CS1 maint: заархивированная копия как заголовок (связь)
  5. ^ а б c http://securelist.com/blog/research/58254/the-caretomask-apt-frequent-asked-questions/
  6. ^ "Securelist". Получено 3 апреля 2015.
  7. ^ «Раскрытие« Маски »: в течение 7 лет безудержно распространялось сложное вредоносное ПО». Pcworld. Получено 2 апреля 2015.