Polskie i ukraińskie firmy na celowniku groźnego konia trojańskiego BlackEnergy
Czy cyberwojna to pojęcie zupełnie abstrakcyjne, do którego realizacji w praktyce jeszcze daleka droga, czy może jednak czasami stajemy się jej świadkiem? Niedawno odkryte zagrożenie pokazuje, że być może jesteśmy czasami nawet jej ofiarami: wiele tak polskich jak i ukraińskich firm zostało w ostatnim czasie zaatakowanych przez groźnego konia trojańskiego BlackEnergy.
Zagrożenie to było już znane od dłuższego czasu, znacznie się jednak zmieniło. Początkowo było stosunkowo proste, zostało bowiem stworzone do wykonywania ataków typu DDoS. Obecnie ma znacznie szerszy wachlarz możliwości i korzysta z nich jeżeli nadarzy się taka sytuacja. Dzięki modułowej budowie jest w stanie np. rozsyłać spam, dokonywać oszustw bankowych, a także kraść dane. Pomimo, że szkodnik istnieje już od kilku lat, wciąż jest aktywny i w różnych mutacjach atakuje kolejne komputery – jego najnowsze warianty powstały już we wrześniu. Tym razem padło przede wszystkim na polskie i ukraińskie firmy.
BlackEnergy Lite, bo tak można opisać tę odmianę, nie stara się jak to robił do tej pory wstrzykiwać swojego kodu za pomocą sterownika trybu jądra. Ładuje się za to poprzez rundll32.exe. Wynika to z coraz lepszych zabezpieczeń jak np. UEFI Secure Boot, które znacznie utrudniają takie operacje i wymuszają tworzenie szkodnika niemal idealnego. Nie bez znaczenia jest również coraz większa „moda” na malware mniejsze, ale działające w bardziej finezyjny sposób. Wykryte zagrożenie jest nastawione na ataki targetowane, ich celem było natomiast wykonywanie nieautoryzowanego kodu i pobierane informacji o dyskach używanych w firmach. Szczegóły związane z tym atakiem, a także przeprowadzane badania zostaną przedstawione na konferencji Virus Bulletin, jaka odbędzie się w tym tygodniu w Seattle.
To, co jest najciekawsze w tym zagrożeniu to wykorzystywanie wielu dróg dotarcia do ofiary i przeprowadzenia infekcji. Atakujący rozsyłają zainfekowane, fałszywe pliki Worda o nazwie Russian ambassadors to conquer world.doc (Rosyjscy ambasadorzy podbijają świat). Jego uruchomienie grozi wykorzystaniem luki CVE-2014-1761, a w efekcie infekcję. Ta pozwala z kolei na kradzież danych zgromadzonych na komputerze ofiary, a także przejęcie kontroli nad systemem i wykonywanie dowolnego kodu. Nie jest to jedyne źródło infekcji. Włamywacze przesyłają również zainfekowane pliki PowerPointa, są również w stanie wykorzystać nieznane jeszcze luki w oprogramowaniu Java. Nawet popularny Team Viewer służący do udzielania zdalnej pomocy technicznej może zostać wykorzystany do przeprowadzenia tego ataku. Szkodnik ten został odkryty przez specjalistów z firmy ESET.
Czy atak ten ma związek z aktualną sytuacją geopolityczna w naszym regionie? Choć nic tego nie potwierdza, trudno odnieść wrażenie, aby był to tylko przypadek, w szczególności, że głównymi ofiarami stały się właśnie te dwa kraje. Jak ochronić się przed atakami? Przede wszystkim, używajmy aktualnego oprogramowania, usuńmy takie aplikacje jak Java czy Flash Player jeżeli z nich nie korzystamy. Nie otwierajmy również dokumentów przesyłanych nam poprzez email od nieznanych nadawców. Nigdy nie wiadomo, co może czaić się w takim pliku i jakie są intencje drugiej strony.