Najlepsze trojany są na Placu Czerwonym, czyli Operacja Potato Express

W czerwcu, podczas konferencji CCCC w Kopenhadze, eksperci do spraw bezpieczeństwa z firmy ESET zaprezentowali wyniki swoich analiz dotyczących rozprzestrzeniającego się w Sieci złośliwego oprogramowania Win32/Potato. Dziś udostępnili oni pełen raport, który rzuca na to zagrożenie nieco więcej światła.

Pracownicy ESET bez większych wątpliwości klasyfikują Potato jako oprogramowanie klasy APT (Advanced Persistent Threat), natomiast jego zastosowanie określają przede wszystkim jako wykradające dane, szpiegowskie. Jasne stało się to w momencie, gdy wzięte pod uwagę zostały takie czynniki, jak geograficzne rozprzestrzenienie się oprogramowania oraz sposób, w jaki komputery mogły zarazić się Win32/Potato.

Według ekspertów, program wykazuje podobieństwo do stworzonego w Rosji exploita Sandworm, który przed niecałym rokiem pozyskiwał informacje wykorzystując lukę w windowsowym menedżerze OLE. Kolejną porcją danych o funkcjonowaniu Potato było zlokalizowanie komputerów, które został zarażone w ciągu ostatniego roku – miażdżąca większość z nich znajdowała się na Ukrainie, a także na terytorium Rosji, Białorusi i Gruzji.

Pierwsze doniesienia o tym programie pojawiły się jeszcze w maju 2011 roku. Od tego czasu można było śledzić jego rozprzestrzenianie się w Armenii, w sierpniu 2011, a także w Gruzji i na Ukrainie w pod koniec 2014. W marcu tego roku pracownicy ESET zauważyli zwiększony priorytet w infekowaniu celów rządowych.

Ponadto ataki były dość precyzyjne. Na przykład za pomocą SMS-ów rozsyłano do potencjalnych ofiar linki prowadzące do zainfekowanych stron. Miały one zawierać między innymi pliki DOC z danymi o jeńcach wojennych z ukraińskiej armii.

Zmodyfikowaną wersję Potato można było także pobrać z rosyjskiej strony TrueCrypta – cenionego także przez specjalistów programu do szyfrowania danych. Uwagę przyciąga fakt, że infekowanie szpiegowskim oprogramowaniem odbywało się wybiórczo. Gdy przeciętny użytkownik wykorzystywał serwis do pobrania TrueCrypta, otrzymywał on niezmodyfikowaną wersję oprogramowania. Nietrudno domyślić się co pobierał użytkownik, który był obiektem zainteresowań twórców Potato. Z całością raportu można zapoznać się na stronie welivesecurity.com.