Komputery Asusa zagrożone. Przestępcy dostali się do łańcucha dostaw

Spreparowane narzędzie odkryła firma Kaspersky, a jego istnienie potwierdził Symantec. Specjaliści są zdania, że zagrożonych komputerów mógł być nawet milion, choć skutecznie zainfekowanych celów na pewno jest mniej niż tysiąc. Analitycy wciąż nie wiedzą, jakie szkodliwe oprogramowanie było ściągane przez podrobiony program do aktualizacji – być może żadne i nie mamy się czym martwić. ASUS został poinformowany o zagrożeniu 31 stycznia, ale nie skomentował tych doniesień.

Atak został przeprowadzony z pomocą narzędzia ASUS Live Update. Aplikacja z trojanem była dostępna przez kilka miesięcy w 2018 roku – od czerwca do października.

Wagi zagrożeniu dodaje fakt, że narzędzie do aktualizacji jest zainstalowane domyślnie i automatycznie aktualizowane na komputerach tego producenta. Jeśli ktoś nie usunął tego programu samodzielnie, jest szansa, że korzystał z komputera z „tylnym wejściem” i być może był ofiarą dalszych infekcji.

Program przygotowany przez cyberprzestępców po instalacji odczytywał unikatowy adres MAC karty sieciowej, a następnie łączył się z serwerem kontrolującym i ściągał kolejne szkodliwe narzędzia. Co ciekawe, przestępcy nie chcieli przeprowadzić masowej infekcji, jakby obawiali się szybkiego wykrycia. Atak był skierowany przeciwko około 600 adresom MAC.

Program z backdoorem został podpisany własnym certyfikatem firmy ASUS i udostępniony na jej serwerach. Specjaliści podejrzewają, że przestępcy mieli dostęp do certyfikatu za pośrednictwem partnerów firmy ASUS. Pewne grono producentów, którzy mają dostęp do cyfrowych podpisów, gdyż dostarczają oprogramowanie i komponenty do komputerów. Pracownik którejś z tych firm mógł zostać zaatakowany, a być może przestępca osobiście zatrudnił się w jednej z nich i sam wykradł certyfikat. Prawdopodobnie nigdy się tego nie dowiemy.

Jeden z plików był podpisany certyfikatem z innego źródła, wygenerowanym latem 2018 roku. Certyfikaty nie zostały wycofane, więc posiadaczy komputerów ASUS wciąż mogą natknąć się na zagrożenie.

Schemat działania cyberprzestępców przypomina sprawę CCleanera, który został wykorzystany do rozprowadzania szkodliwego oprogramowania w 2017 roku. Wtedy też wykorzystany został prawdziwy certyfikat. Ofiar było 2,3 miliona.