Cybergangi atakują, używając MontysThree – oto specyficzny zestaw narzędzi hakerów

Eksperci bezpieczeństwa z firmy Kaspersky zwracają uwagę na MontysThree – pakiet narzędzi wykorzystywany przez cybergangi w atakach na przemysłowe spółki holdingowe. Jak się okazuje, atakujący stosują ciekawe techniki, które pomagają im tuszować ślady, także na etapie komunikacji z serwerem w chmurze publicznej.

MontysThree składa się z czterech modułów, które są wykorzystywane na potrzeby szpiegowania. Istotą ataków jest bowiem zdobycie dostępu do poufnych informacji. Jak ustalili badacze, pierwszy z modułów to oprogramowanie, które dociera do komputera ofiary jako samorozpakowujące się archiwum i na tym etapie jest to pewna odmiana phishingu; nazwy plików nawiązują do dokumentacji, którą przekazuje się w firmach. Celem pierwszego modułu jest przygotowanie maszyny w taki sposób, by nie wykryła "właściwego" szkodnika.

Aby ukryć odbywającą się w tle wymianę danych, stosowana jest steganografia, czyli ukrywanie głównej funkcji w plikach, które pozornie nie mają związku ze swoim faktycznym przeznaczeniem; w tym przypadku chodzi o grafiki. Algorytmy pierwsze modułu odszyfrowują ukrytą treść w układzie pikseli. Kiedy właściwa funkcja jest już uruchomiona, komunikacja z serwerem jest ponownie szyfrowana, w tym przypadku za pomocą algorytmu RSA. Serwer steruje już na tym etapie oprogramowaniem, które zainfekowało komputer i przydziela mu "zadania", w efekcie których dociera do tajnych dokumentów.

Co ciekawe, zdobyte pliki nie są przesyłane bezpośrednio na serwery atakujących, ale trafiają do publicznie dostępnych chmur, takich jak Dysk Google, OneDrive czy Dropbox. Kaspersky tłumaczy, że utrudnia to wykrycie komunikacji i zakwalifikowanie jej jako szkodliwej.

"MontysThree jest interesujący nie tylko dlatego, że atakuje przemysłowe spółki holdingowe, ale również ze względu na połączenie zarówno wyrafinowanych, jak i nieco "amatorskich" taktyk, technik i procedur" – tłumaczy Denis Legezo, starszy badacz ds. cyberbezpieczeństwa z Globalnego Zespołu ds. Badań i Analiz (GReAT) w firmie Kaspersky. "Poziom skomplikowania różni się w zależności od modułu, jednak daleko mu do wyrafinowania prezentowanego przez najbardziej zaawansowane ugrupowania cyberprzestępcze (...) Najważniejsze jest jednak to, że cyberprzestępcy włożyli wiele wysiłku w rozwój zestawu narzędzi MontysThree, co świadczy o ich determinacji w dążeniu do realizacji celów i wskazuje, że z pewnością nie jest to krótkotrwała operacja".

O szczegółach dotyczących narzędzi MontysThree można przeczytać w anglojęzycznym źródle nn stronie Kasperky'ego.