back to top
17.8 C
Athens
Τρίτη 1 Απριλίου 2025

Βιομηχανική κατασκοπεία σε… δράση

Οι ερευνητές της Kaspersky αποκάλυψαν μια σειρά από εξαιρετικά στοχευμένες επιθέσεις εναντίον βιομηχανικών οργανισμών που χρονολογούνται από το 2018 – πολύ πιο σπάνιες στον κόσμο των απειλητικών φορέων τύπουAPT σε σύγκριση με εκστρατείες εναντίον διπλωματών και άλλων πολιτικών παραγόντων υψηλού προφίλ. Το σετ εργαλείων που χρησιμοποιήθηκε – αρχικά ονομάστηκε MT3 από τους δημιουργούς κακόβουλου λογισμικού – ονομάστηκε από την KasperskyMontysThree“. Χρησιμοποιεί μια ποικιλία τεχνικών για να αποφύγει την ανίχνευση, συμπεριλαμβανομένης της φιλοξενίας των επικοινωνιών του με τον control server σε δημόσιες υπηρεσίες cloudκαι την απόκρυψη της κύριας κακόβουλης λειτουργικής μονάδας χρησιμοποιώντας στεγανογραφία. 

Οι κυβερνητικοί οργανισμοί, οι διπλωμάτες και οι τηλεπικοινωνιακοί φορείς τείνουν να είναι ο προτιμώμενος στόχος για επιθέσεις τύπου APT, δεδομένου ότι αυτά τα άτομα και τα ιδρύματα έχουν στη διάθεσή τους έναν πολύ μεγάλο αριθμό εξαιρετικά εμπιστευτικών και πολιτικά ευαίσθητων πληροφοριών. Πολύ πιο σπάνιες είναι οι στοχευμένες εκστρατείες κατασκοπείας εναντίον βιομηχανικών οργανισμών – αλλά, όπως και άλλες επιθέσεις εναντίον βιομηχανιών, μπορεί να έχουν καταστροφικές συνέπειες για την επιχείρηση. Γι’ αυτό, μόλις παρατήρησαν τη δραστηριότητα του MontysThree, οι ερευνητές της Kaspersky έσπευσαν να την αναφέρουν.

- Advertisement -

Για να πραγματοποιήσει την κατασκοπεία του, το MontysThree αναπτύσσει ένα πρόγραμμα κακόβουλου λογισμικού που αποτελείται από τέσσερις λειτουργίες. Η πρώτη – το loader – αρχικά εξαπλώνεται χρησιμοποιώντας αρχεία RAR SFX(αυτοαποσυμπιεσμένα αρχεία) που περιέχουν ονόματα που σχετίζονται με λίστες επαφών υπαλλήλων, τεχνική τεκμηρίωση και αποτελέσματα ιατρικής ανάλυσης για να εξαπατήσουν τους υπαλλήλους να κατεβάσουν τα αρχεία – μια κοινή τεχνική spearphishing. Το loader είναι κατά κύριο λόγο υπεύθυνο να διασφαλίσει ότι το κακόβουλο λογισμικό δεν εντοπίζεται στο σύστημα. Για να γίνει αυτό, αναπτύσσει μια τεχνική γνωστή ως στεγανογραφία.

Η στεγανογραφία χρησιμοποιείται από τους φορείς για να κρύψει το γεγονός ότι ανταλλάσσονται δεδομένα. Στην περίπτωση του MontysThree, το κύριο κακόβουλο ωφέλιμο φορτίο μεταμφιέζεται ως αρχείο bitmap (μορφή αποθήκευσης ψηφιακών εικόνων). Εάν εισαχθεί η σωστή εντολή, το loader θα χρησιμοποιήσει έναν προσαρμοσμένο αλγόριθμο για να αποκρυπτογραφήσει το περιεχόμενο από τη συστοιχία pixel και να εκτελέσει το κακόβουλο ωφέλιμο φορτίο.

- Advertisement -

Το κύριο κακόβουλο ωφέλιμο φορτίο χρησιμοποιεί αρκετές τεχνικές κρυπτογράφησης για να αποφύγει τον εντοπισμό, δηλαδή τη χρήση ενός αλγορίθμου RSA για την κρυπτογράφηση των επικοινωνιών με τον control server και για την αποκρυπτογράφηση των κύριων «εργασιών» που έχουν εκχωρηθεί από το κακόβουλο λογισμικό. Αυτό περιλαμβάνει την αναζήτηση εγγράφων με συγκεκριμένες επεκτάσεις και σε συγκεκριμένους καταλόγους εταιρειών. Το MontysThree έχει σχεδιαστεί για να στοχεύει συγκεκριμένα έγγραφα Microsoft και Adobe Acrobat. Μπορεί επίσης να συλλάβει στιγμιότυπα οθόνης και “δακτυλικό αποτύπωμα” (δηλαδή να συλλέξει πληροφορίες σχετικά με τις ρυθμίσεις δικτύου, το όνομα κεντρικού υπολογιστή κ.λπ.) του στόχου έτσι ώστε να ελέγξει αν είναι ενδιαφέρων για τους εισβολείς. 

Οι πληροφορίες που συλλέγονται και άλλες επικοινωνίες με τον control server στη συνέχεια φιλοξενούνται σε δημόσιες υπηρεσίες cloud όπως το Google, η Microsoft και το Dropbox. Αυτό καθιστά δύσκολη την ανίχνευση της κίνησης επικοινωνίας ως κακόβουλη, και επειδή κανένα antivirus δεν αποκλείει αυτές τις υπηρεσίες, διασφαλίζει ότι ο control server μπορεί να εκτελεί εντολές χωρίς διακοπή. 

Το MontysThree χρησιμοποιεί επίσης μια απλή μέθοδο για να αποκτήσει επιμονή στο μολυσμένο σύστημα – έναν modifier για το Windows Quick Launch. Οι χρήστες εκτελούν ακούσια την αρχική λειτουργική μονάδα του κακόβουλου λογισμικού κάθε φορά που εκτελούν νόμιμες εφαρμογές, όπως προγράμματα περιήγησης, όταν χρησιμοποιούν την Quick Launch toolbar.

Η Kaspersky δεν μπόρεσε να βρει ομοιότητες στον κακόβουλο κώδικα ή στην υποδομή με γνωστά APT.

«Το MontysThree είναι ενδιαφέρον όχι μόνο λόγω του γεγονότος ότι στοχεύει βιομηχανικούς οργανισμούς, αλλά λόγω του συνδυασμού εξελιγμένων και κάπως “ερασιτεχνικών” τεχνικών, τακτικών και διαδικασιών (TTPs). Γενικά, η πολυπλοκότητα ποικίλλει από λειτουργία σε λειτουργία, αλλά δεν μπορεί να συγκριθεί με το επίπεδο που χρησιμοποιείται από τα πιο προηγμένα APT. Ωστόσο, χρησιμοποιεί ισχυρά κρυπτογραφικά πρότυπα και υπάρχουν πράγματι ορισμένες τεχνολογικές αποφάσεις που έχουν ληφθεί, συμπεριλαμβανομένης της προσαρμοσμένης στεγανογραφίας. Ίσως το πιο σημαντικό, είναι σαφές ότι οι επιτιθέμενοι έχουν καταβάλει σημαντική προσπάθεια για να αναπτύξουν το σετ εργαλείων του MontysThree, υποδηλώνοντας ότι είναι αποφασισμένοι για τους στόχους τους – και ότι δεν πρόκειται να είναι μια βραχύβια εκστρατεία», σχολιάζει ο Denis Legezo, ανώτερος ερευνητής ασφάλειας, Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky.

Περισσότερες πληροφορίες μπορείτε να βρείτε στον ειδικό ιστότοπο Securelist.

Λεπτομερείς πληροφορίες σχετικά με τους Δείκτες Συμβιβασμού που σχετίζονται με αυτήν την ομάδα, συμπεριλαμβανομένων των file hashes, μπορείτε να βρείτε στο Kaspersky Threat Intelligence Portal.   

Προκειμένου να παραμείνετε προστατευμένοι από απειλές όπως το MontysThree, η Kaspersky συνιστά:

  • Παρέχετε στο προσωπικό σας βασική εκπαίδευση για ψηφιακή υγιεινή, καθώς πολλές στοχευμένες επιθέσεις ξεκινούν με phishing ή άλλες τεχνικές κοινωνικής μηχανικής. Πραγματοποιήστε μια προσομοιωμένη επίθεση phishing για να βεβαιωθείτε ότι ξέρουν πώς να διακρίνουν phishing emails.
  • Παρέχετε στην ομάδα SOC σας πρόσβαση στην πιο πρόσφατη Πληροφόρηση για Απειλές. Το Kaspersky Threat Intelligence Portal είναι ένα μοναδικό σημείο πρόσβασης, παρέχοντας δεδομένα και πληροφορίες για ψηφιακές επιθέσεις που έχουν συγκεντρωθεί από την Kaspersky για περισσότερα από 20 χρόνια.
  • Για ανίχνευση επιπέδου τερματικού σημείου, διερεύνηση και έγκαιρη αποκατάσταση περιστατικών, εφαρμόστε λύσεις EDR, όπως το Kaspersky Endpoint Detection and Response.
  • Εκτός από την υιοθέτηση ουσιαστικής προστασίας τερματικού σημείου, εφαρμόστε μια εταιρική λύση ασφάλειας που εντοπίζει προηγμένες απειλές σε επίπεδο δικτύου σε πρώιμο στάδιο, όπως το Kaspersky Anti Targeted Attack Platform.
  • Βεβαιωθείτε ότι προστατεύετε βιομηχανικά τερματικά σημεία καθώς και εταιρικά. Η λύση Kaspersky Industrial CyberSecurity περιλαμβάνει αποκλειστική προστασία για τερματικά σημεία και παρακολούθηση δικτύου για την αποκάλυψη τυχόν ύποπτης και δυνητικά κακόβουλης δραστηριότητας στο βιομηχανικό δίκτυο.

Σχετικές δημοσιεύσεις

Κυριαρχούν τα περιστατικά ασφάλειας δικτύου: Στόχος το 88% των εταιρειών

Κατά τη διάρκεια του 2024, ο πιο συχνός τύπος περιστατικών ασφαλείας που αντιμετώπισαν οι εταιρείες αφορούσε την προστασία των δικτύων

Το κόστος των cyber επιθέσεων

Στον σημερινό διασυνδεδεμένο κόσμο, οι κυβερνοεπιθέσεις είναι πιο συχνές και πιο επικίνδυνες από ποτέ. Οι επιχειρήσεις, ανεξάρτητα από το

Συμβουλές για ένα ασφαλές home office

Η εξ αποστάσεως εργασία αποτελεί μια νέα πραγματικότητα για πολλούς επαγγελματίες. Οι εργαζόμενοι, από designers μέχρι λογιστές, συχνά χειρίζονται ευαίσθητες πληροφορίες, γεγονός που παρουσιάζει

Πάνω από δύο κρίσιμα περιστατικά κυβερνοασφάλειας ανά ημέρα το 2023

Η συχνότητα των περιστατικών υψηλής σοβαρότητας με άμεση ανθρώπινη εμπλοκή ξεπέρασε τα δύο ανά ημέρα το 2023, σύμφωνα με την ομάδα Kaspersky Managed Detection

Από την ίδια κατηγορία δημοσιεύσεων

Eurolife FFH: Νέο πρόγραμμα νοσοκομειακής περίθαλψης My Health F1rst

Η Eurolife FFH, ανταποκρινόμενη στην ανάγκη του Έλληνα καταναλωτή για μια πιο οικονομική λύση ασφάλισης υγείας με ελεύθερη

Ενσωματώνει το gov.gr στη διαδικασία ασφάλισης αυτοκινήτου η Anytime

Η Anytime ενσωματώνει την πλατφόρμα του κυβερνητικού ψηφιακού συστήματος στη διαδικασία ασφάλισης αυτοκινήτου.

Οικονομικές κυβερνοαπειλές: 3,6 φορές επάνω το κακόβουλο λογισμικό στο mobile banking

Με την επέκταση των ψηφιακών συναλλαγών παγκοσμίως, το 2024 οι κυβερνοεγκληματίες έστρεψαν την προσοχή τους στις κινητές συσκευές

Oμάδα ransomware εκβιάζει με δημοσιοποίηση προσωπικών δεδομένων

Η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky (GReAT) ανακάλυψε ότι η ομάδα Fog Ransomware, γνωστή για τις επιθέσεις σε διάφορους

Δημοφιλή Άρθρα

Ροή Ειδήσεων

EIAΣ: Το νέο πρόγραμμα προσφέρει υψηλή τεχνογνωσία στο ανθρώπινο δυναμικό της ασφαλιστικής αγοράς

Πολυθεματικό και λίαν ενδιαφέρον είναι το Εκπαιδευτικό Πρόγραμμα Απριλίου 2025 του Ελληνικού Ινστιτούτου Ασφαλιστικών Σπουδών

Η Allianz επεκτείνει τη συνεργασία της με το Παγκόσμιο Ολυμπιακό και Παραολυμπιακό Κίνημα έως το 2032

Πιο γρήγορα, πιο ψηλά, πιο δυνατά – Μαζί: Μετά την επιτυχημένη διοργάνωση των Ολυμπιακών και Παραολυμπιακών Αγώνων στο Παρίσι το 2024

ΤΜΕΔΕ: Νέες ασφαλιστικές καλύψεις σε συνεργασία με την Allianz και Generali

Από σήμερα 1η Απριλίου 2025 τίθενται σε εφαρμογή οι νέες εξειδικευμένες ανταποδοτικές ασφαλιστικές καλύψεις,

Κ. Σεμερτζόγλου: Η HDI κλείνει 30 χρόνια στην Ελλάδα, προετοιμάζει δράσεις

Στο πλαίσιο της επετείου, η HDI σχεδίαζει σειρά από δράσεις με στόχο να ευχαριστήσει τους ανθρώπους που συνέβαλαν στην επιτυχία της αλλά και για να ενισχύσει περισσότερο τις σχέσεις της  με την επιχειρηματική κοινότητα

Σαρώνουν οι πτωχεύσεις στην Δυτική Ευρώπη, σε κίνδυνο οι πράσινες χρηματοδοτήσεις

Τι αναφέρει ο διευθύνων σύμβουλος της Allianz-Trade, για τις επιχειρήσεις, τους κλάδους που κινδυνδύουν περισσότερα και την Δ. Ευρώπη