Equation Group - Википедия - Equation Group

Группа уравнений
ТипПостоянная угроза повышенной сложности
Место расположения
ТоварыStuxnet, Пламя
Головная организация

В Группа уравнений, классифицируется как продвинутая постоянная угроза, очень сложный субъект угрозы подозревается в связи с Индивидуальные операции доступа (TAO) подразделение Соединенные Штаты Национальное Агенство Безопасности (АНБ).[1][2][3] Лаборатория Касперского описывает их как одну из самых изощренных групп кибератак в мире и «самую продвинутую… мы видели», действующую бок о бок, но всегда с позиции превосходства с создателями Stuxnet и Пламя.[4][5] Большинство их целей были в Иран, Россия, Пакистан, Афганистан, Индия, Сирия, и Мали.[5]

Название произошло из-за того, что группа широко использовала шифрование. К 2015 году Kaspersky задокументировал 500 вредоносное ПО Группа инфицирована не менее чем в 42 странах, признавая при этом, что фактическое число может исчисляться десятками тысяч из-за протокола самоограничения.[5][6]

В 2017 году WikiLeaks опубликовал обсуждение проводится в рамках ЦРУ о том, как удалось идентифицировать группу.[7] Один из комментаторов написал, что «группа Equation Group, обозначенная в отчете, не относится к конкретной группе, а скорее к набору инструментов», используемых для взлома.[8]

Открытие

На саммите Kaspersky Security Analysts Summit в Мексике 16 февраля 2015 года «Лаборатория Касперского» объявила об открытии Equation Group. Согласно отчету «Лаборатории Касперского», группа действует как минимум с 2001 года и насчитывает более 60 участников.[9] Вредоносная программа, используемая в их операциях, получившая название EquationDrug и GrayFish, способна перепрограммировать привод жесткого диска прошивка.[4] Из-за применяемых передовых технологий и высокой степени секретности группа подозревается в связях с АНБ, но «Лаборатория Касперского» не определила лиц, стоящих за группой.

Возможные ссылки на Stuxnet и АНБ

В 2015 году в ходе исследования, проведенного Лабораторией Касперского по Equation Group, было отмечено, что его загрузчик Grayfish имел сходство с ранее обнаруженным загрузчиком Gauss из другой серии атак, и отдельно отмечалось, что Equation Group использовала две атаки нулевого дня, использованные позже. в Stuxnet; исследователи пришли к выводу, что «похожий тип использования обоих эксплойтов вместе в разных компьютерных червях примерно в одно и то же время указывает на то, что группа EQUATION и разработчики Stuxnet либо одинаковы, либо работают в тесном сотрудничестве».[10]:13

Прошивка

Они также установили, что платформа иногда распространялась запрет (перехват легальных компакт-дисков, отправленных организатором научной конференции Почта ),[10]:15 и что платформа обладала «беспрецедентной» способностью заражать и передаваться через жесткий диск прошивка нескольких крупных производителей жестких дисков, а также создавать и использовать скрытые дисковые области и системы виртуальных дисков для своих целей, что потребует доступа к исходный код достигать,[10]:16–18 и что инструмент был разработан для хирургической точности, так что он исключает определенные страны по IP и позволяет нацеливать определенные имена пользователей на дискуссионные форумы.[10]:23–26

Кодовые слова и отметки времени

Внутри вредоносной программы были обнаружены кодовые слова АНБ "STRAITACID" и "STRAITSHOOTER". Кроме того, отметки времени во вредоносной программе, похоже, указывают на то, что программисты работали с понедельника по пятницу, что соответствует рабочему дню с 08:00 до 17:00 в часовом поясе восточной части США.[11]

Эксплойт LNK

Глобальная исследовательская и аналитическая группа «Лаборатории Касперского», также известная как GReAT, заявила, что в 2008 году обнаружила вредоносное ПО, содержащее «privLib» Stuxnet.[12] В частности, он содержал эксплойт LNK, обнаруженный в Stuxnet в 2010 году. Fanny классифицируется как червь, поражающий определенные Операционные системы Windows и пытается распространиться вбок через сетевое соединение или флешка. Касперский заявил, что они подозревают, что Equation Group существует дольше, чем Stuxnet, исходя из записанного времени компиляции Fanny.[4]

Ссылка на IRATEMONK

Список АНБ своих Индивидуальные операции доступа программа под названием IRATEMONK из Каталог АНБ АНТ.

F-Secure утверждает, что вредоносный жесткий диск Equation Group прошивка является ТАО программа "ИРАТЕМОНК",[13] один из предметов из Каталог АНБ АНТ выставлены в 2013 году Der Spiegel статья. IRATEMONK предоставляет злоумышленнику возможность программное обеспечение постоянно устанавливается на настольных и портативных компьютерах, несмотря на то, что диск форматированный, это данные удалены или операционная система переустановлена. Заражает прошивку жесткого диска, которая, в свою очередь, добавляет инструкции на диск. Главная загрузочная запись что приводит к установке программного обеспечения каждый раз, когда компьютер загрузился.[14] Он способен заразить определенные жесткие диски из Seagate, Maxtor, Western Digital, Samsung,[14] IBM, Микронная технология и Toshiba.[4]

Нарушение в 2016 году Equation Group

В августе 2016 года хакерская группа, называющая себя "Теневые посредники "объявила о краже вредоносного кода у Equation Group.[15] «Лаборатория Касперского» заметила сходство между украденным кодом и ранее известным кодом из образцов вредоносного ПО Equation Group, которыми она располагала, включая особенности, уникальные для способа реализации Equation Group. RC6 алгоритм шифрования, и поэтому пришел к выводу, что это объявление является законным.[16] Самые последние даты украденных файлов относятся к июню 2013 года, что указывает на то, что Эдвард Сноуден предположить, что вероятная блокировка в результате его утечки Усилия АНБ по слежке за глобальным и внутренним миром остановил нарушение The Shadow Brokers группы Equation. Подвиги против Устройства адаптивной безопасности Cisco и Fortinet брандмауэры были включены в некоторые образцы вредоносного ПО, выпущенные Shadow Brokers.[17] ЭКСТРАБАКОН, а Простой протокол управления сетью против программного обеспечения Cisco ASA была эксплойт нулевого дня на момент анонса.[17] Компания Juniper также подтвердила, что ее брандмауэры NetScreen были затронуты.[18] В EternalBlue эксплойт был использован для нанесения ущерба по всему миру Атака программы-вымогателя WannaCry.

Смотрите также

Рекомендации

  1. ^ Фокс-Брюстер, Томас (16 февраля 2015 г.). «Уравнение = АНБ?» Исследователи раскрывают огромный «американский кибер-арсенал»'". Forbes. Получено 24 ноября, 2015.
  2. ^ Менн, Джозеф (17 февраля 2015 г.). «Российские исследователи разоблачают революционную шпионскую программу США». Рейтер. Получено 24 ноября, 2015.
  3. ^ "НСА была взломана, документы Сноудена подтверждают". Перехват. 19 августа 2016 г.. Получено 19 августа 2016.
  4. ^ а б c d GReAT (16 февраля 2015 г.). "Уравнение: Звезда смерти галактики вредоносных программ". Securelist.com. Лаборатория Касперского. Получено 16 августа, 2016. SecureList, Костин Райу (директор глобальной исследовательской и аналитической группы «Лаборатории Касперского»): «Мне кажется, Equation Group - это те, у кого самые крутые игрушки. Время от времени они делятся ими с группой Stuxnet и группой Flame, но изначально они доступны только для людей Equation Group. Equation Group определенно являются хозяевами, и они дают остальным, может быть, хлебные крошки. Время от времени они дают им некоторые вкусности для интеграции в Stuxnet и Flame ».
  5. ^ а б c Гудин, Дэн (16 февраля 2015 г.). «Как« всемогущие »хакеры, связанные с АНБ, прятались 14 лет и наконец были найдены». Ars Technica. Получено 24 ноября, 2015.
  6. ^ Кирк, Джереми (17 февраля 2015 г.). «Уничтожение жесткого диска - единственный способ остановить это сверхсовременное вредоносное ПО». PCWorld. Получено 24 ноября, 2015.
  7. ^ Гудин, Дэн. "После разоблачения взлома АНБ сотрудники ЦРУ спросили, в чем ошибка Equation Group". Ars Technica. Получено 21 марта 2017.
  8. ^ «Что сделала Equation не так, и как мы можем избежать того же?». Убежище 7. WikiLeaks. Получено 21 марта 2017.
  9. ^ "Equation Group: коронный создатель кибершпионажа". Лаборатория Касперского. 16 февраля 2015 г.. Получено 24 ноября, 2015.
  10. ^ а б c d «Группа уравнений: вопросы и ответы (Версия: 1.5)» (PDF). Лаборатория Касперского. Февраль 2015. Архивировано с оригинал (PDF) 17 февраля 2015 г.. Получено 24 ноября, 2015.
  11. ^ Гудин, Дэн (11 марта 2015 г.). «Новый дымящийся пистолет связывает АНБ со всемогущими хакерами из Equation Group». Ars Technica. Получено 24 ноября, 2015.
  12. ^ "Уравнение Фанни:" Я твой отец, Stuxnet"". Лаборатория Касперского. 17 февраля 2015 г.. Получено 24 ноября, 2015.
  13. ^ "Equation Group равно NSA / IRATEMONK". F-Secure Журнал: Новости из лаборатории. 17 февраля 2015 г.. Получено 24 ноября, 2015.
  14. ^ а б Шнайер, Брюс (31 января 2014 г.). "IRATEMONK: Подвиг дня АНБ". Шнайер о безопасности. Получено 24 ноября, 2015.
  15. ^ Гудин, Дэн (15 августа 2016 г.). «Группа утверждает, что взламывает хакеров, связанных с АНБ, и в качестве доказательства публикует эксплойты». Ars Technica. Получено 19 августа, 2016.
  16. ^ Гудин, Дэн (16 августа 2016 г.). «Подтверждено: утечка информации о хакерских инструментах произошла от« всемогущей »группы, связанной с АНБ». Ars Technica. Получено 19 августа, 2016.
  17. ^ а б Томсон, Иэн (17 августа 2016 г.). "Cisco подтверждает, что две уязвимости" АНБ "Shadow Brokers реальны". Реестр. Получено 19 августа, 2016.
  18. ^ Паули, Даррен (24 августа 2016 г.). "Эксплойт Equation Group поражает более новые Cisco ASA, Juniper Netscreen". Реестр. Получено 30 августа, 2016.

внешняя ссылка