Maska nową twarzą szpiegowskiego oprogramowania – wśród ofiar instytucje i wielkie firmy

Tworzone przez organy ścigania i służby specjalneoprogramowanie szpiegowskie było przez ekspertów od bezpieczeństwauważane dotąd za dość toporne – przynajmniej w porównaniu dowyrafinowanych cyberbroni, takich jak Stuxnet czy Duqu. Opinię tętrzeba zrewidować za sprawą odkrycia badaczy z Kaspersky Lab.Gdzieś na świecie potrafią wydawać pieniądze podatników namalware najwyższej próby.Podczas spotkania analityków bezpieczeństwa w Punta Cana naDominikanie, badacze z Kaspersky Lab przedstawili informacje oszkodniku, którego pierwsze ślady działania odnotowano już w 2007roku. Otrzymało ono angielskąnazwę The Mask – tłumaczeniehiszpańskiego słowa Careto znalezionegow kodzie malware, oznaczającego właśnie „maskę” czy też„brzydką twarz”.Do tej pory rzadko kiedyodkrywano złośliwe oprogramowanie z tej sfery językowej –przodowały tu angielski, chiński i rosyjski. Pod względemzastosowania, Maska była jednak w pełni międzynarodowa.Wykorzystano ją w atakach na co najmniej 380 celów w 31 krajach,przede wszystkim z Maroko, Brazylii i Wielkiej Brytanii, ale też iPolski. Cele też nie były przypadkowe. Szpiedzy interesowali sięinstytucjami rządowymi, ambasadami, firmami z sektora energetycznegoi paliwowego, laboratoriami naukowymi, funduszami inwestycyjnymi iaktywistami politycznymi. Efekty ataku, przeprowadzanego zapomocą profilowanych operacji typu spear-phishing(a więc poprzez spreparowane e-maile wysyłane do ofiar, zawierającelinki lub załączniki do exploitów), są dla ofiar katastrofalne.Szkodnik przechwytuje wszystkie kanały komunikacyjne i gromadziwszystkie istotne informacje o zainfekowanych systemach. W raziepotrzeby aktywuje dodatkowe moduły, pozwalające na przeprowadzeniedowolnych operacji na komputerze ofiary. [img=careto]Wrażenie robi zbiór środkówużywanych do zainfekowania wziętych na celownik maszyn. Oprócztakich sztuczek jak sfałszowane pliki aktualizacji Javy czyrozszerzeń do przeglądarek, wykorzystano m.in. jeden z najbardziejudanych exploitów 0-day Flash Playera (CVE-2012-0773), którypotrafił wyrwać się z piaskownicy Google Chrome. Historia tej lukijest niczym ze szpiegowskiej powieści – odkrycie przypisuje sięfrancuskiej firmie VUPEN Security, która dzięki niemu wygrałakonkurs Pwn2Own w 2012 roku. Badacze z VUPEN odmówili jednakujawnienia metody użytej do wyrwania się z piaskownicy, ogłaszając,że wiedza ta jest na sprzedaż. Kaspersky Lab podejrzewa, że twórcyMaski byli wśród licznych rządowych klientów francuskiej firmy –i zapłacili jej za działający exploit.Co szczególnie istotne, zakrescelów Maski nie ograniczał się tylko do maszyn z Windows.Zaobserwowano trojany działające także w systemie OS X, a takżemoduły, które mogły być wykorzystane do zainfekowania Linuksa(choć jak Kaspersky Lab przyznaje, nie udało się jeszcze znaleźćfurtki wykorzystywanej do ataków na „pingwina”). Dane zprzejętych serwerów dowodzenia i kontroli Maski wskazują teżdziałanie szkodnika na urządzeniach z Androidem i iOS-em.Tego typu multiplatformowe ataki,klasyfikowane jako Advanced Persistent Threats, niesą czymś nieznanym. Kaspersky Lab twierdzi jednak, że Maskawyróżnia się złożonością zastosowanych środków jak isprawnością unikania wykrycia. Bojowy ładunek dla różnychsystemów chroniony jest przez bootkity i rootkity, sama zaś Maskaaktywnie zwalcza oprogramowanie ochronne (w tym starsze produkty zKaspersky Lab). Cała likwidacja operacji odbywa się bardzoprofesjonalnie, nawet logi systemowe nie są po prostu kasowane, leczwymazywane z pamięci masowej.Pod tym względem Maska jestbardziej zaawansowana od słynnego Duqu – co według Costina Raiu,dyrektora zespołu Global Research and Analysis w rosyjskiej firmie,ma świadczyć o tym, że musiała powstać ona na zamówienierządowego klienta. Zwykłe grupy cyberprzestępców nie działająna takim poziomie zaawansowania.Trudno powiedzieć, czy szkodnikwciąż stanowi zagrożenie. Wiele jego serwerów dowodzenia ikontroli zostało zlikwidowanych w styczniu tego roku, jednak wcaleto nie musi oznaczać, że ulepszone wersje Maski nie są przez kogośdziś wykorzystywane.Więcej informacji o tymzagrożeniu znajdziecie w szczegółowymraporcie Kaspersky Lab pt. Unveiling Careto – TheMasked APT.