IT Professional Security - ΤΕΥΧΟΣ 38
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
n ews<br />
Η οµάδα κυβερνοκατασκοπείας Sednit επιτίθεται ακόµη και σε<br />
υπολογιστές που δεν συνδέονται στο Internet, χρησιµοποιώντας<br />
malware που εξαπλώνεται µέσω USB<br />
Οι ερευνητές της ESET στο Μόντρεαλ ανακάλυψαν ακό-<br />
µη µία δραστηριότητα της οµάδας κυβερνοκατασκοπείας<br />
Sednit, που της επιτρέπει να παραβιάζει αποµονωµένους<br />
υπολογιστές. Ένα µήνα µετά την ανακοίνωση στο<br />
WeLive<strong>Security</strong>.com σχετικά με τη χρήση exploit kit από<br />
την οµάδα Sednit για επιθέσεις σε διάφορους οργανισµούς<br />
στην Ανατολική Ευρώπη, οι ερευνητές της ESET ενηµερώνουν<br />
τώρα για το Win32/USBStealer, ένα εργαλείο που ε-<br />
πιτρέπει στους κυβερνοεγκληµατίες να επιτίθενται σε υπολογιστές<br />
που δεν είναι συνδεδεµένοι στο Internet χρησιµοποιώντας<br />
αφαιρούμενα μέσα. Στο WeLive<strong>Security</strong>.com της<br />
ESET, υπάρχει λεπτοµερές άρθρο σχετικά µε το USBStealer.<br />
Η ESET ανίχνευσε το εργαλείο Win32/USBStealer, να επιτίθεται<br />
σε αποµονωµένους υπολογιστές ή, όπως ονοµάζονται,<br />
υπολογιστές που προστατεύονται µε ένα «air gap», µε στόχο<br />
να αποκτήσει πρόσβαση σε συγκεκριµένα αρχεία. Σύµφωνα<br />
µε τους ερευνητές της εταιρίας, η οµάδα Sednit χρησιµοποιεί<br />
εδώ και δέκα χρόνια το εργαλείο αυτό µε διάφορες διαβαθ-<br />
µίσεις πολυπλοκότητας.<br />
Η µόλυνση µεταφέρεται από τον αρχικό υπολογιστή (Υπολογιστής<br />
Α) µέσω της σύνδεσης Internet στον στόχο - Υπολογιστή<br />
Β - µε τη χρήση συσκευής USB. «Ο Υπολογιστής Α<br />
αρχικά μολύνεται με τον Win32/USBStealer και προσπαθεί<br />
να µιµηθεί ένα νόµιµο ρώσικο πρόγραµµα που λέγεται USB<br />
Disk <strong>Security</strong>, ώστε να παρακολουθεί την εισαγωγή αφαιρού-<br />
µενων δίσκων» εξηγεί ο Joan Calvet σε σχετικό του άρθρο<br />
στο WeLive<strong>Security</strong>.com.<br />
Όταν εισάγεται δίσκος USB, το dropper αποκρυπτογραφεί<br />
δύο κοµµάτια κώδικα που έχουν αποθηκευτεί στη µνή-<br />
µη. Ο πρώτος είναι υπεύθυνος για να µπει το πρόγραµµα<br />
Win32/USBStealer στον αφαιρούμενο δίσκο με το όνο-<br />
µα «USBGuard.exe». Ο δεύτερος πόρος είναι ένα αρχείο<br />
AUTORUN.INF, το οποίο, µετά την εισαγωγή του µολυσµένου<br />
USB στον υπολογιστή-στόχο µε ενεργοποιηµένο<br />
AutoRun, επιτρέπει στο Win32/USBStealer να εγκατασταθεί<br />
και να εκτελέσει διαφορετικά βήµατα για να αποκτήσει<br />
πρόσβαση σε συγκεκριµένα αρχεία του Υπολογιστή Β που<br />
βρίσκεται σε δίκτυο µε «air gap». «Τα ονόµατα των αρχείων<br />
που έχουν αναζητηθεί κατά την διαδικασία αυτόµατης εξαγωγής<br />
αποδεικνύουν ότι υπάρχει πολύ καλή γνώση των στόχων»,<br />
προσθέτει ο Joan Calvet.<br />
Κατά το τελευταίο διάστηµα, η οµάδα Sednit ευθύνεται για<br />
αρκετές επιθέσεις κυβερνοκατασκοπείας. Τον περασµένο<br />
µήνα η ESET ανακάλυψε ότι η οµάδα Sednit πραγµατοποιούσε<br />
επιθέσεις watering-hole µε τη χρήση ενός ειδικά δια-<br />
µορφωµένου exploit kit, ενώ πριν τρεις εβδοµάδες, τόσο η<br />
Trend Micro: Operation Pawn Storm και η FireEye: APT28<br />
δηµοσίευσαν εκθέσεις προειδοποιώντας για την αυξηµένη<br />
δραστηριότητα της οµάδας αυτής στην περιοχή της Ανατολικής<br />
Ευρώπης.<br />
12 | security
Change language