Niebezpieczna organizacja cyberszpiegowska Wild Neutron – znana także jako Morpho i Jripbot – powraca. Dwa lata temu przestępcy wywołali spore zamieszanie, atakując m.in. takie potęgi jak Microsoft, Apple, Facebook czy Twitter. Później sprawa ucichła. Jak alarmują eksperci Kaspersky Lab – tylko na chwilę.
Wild Neutron działa podstępnie. Korzystając ze skradzionego certyfikatu weryfikacji i niezidentyfikowanego programu bazującego na luce w Flash Player, infekuje przedsiębiorstwa i prywatnych użytkowników na całym świecie.
Zidentyfikowane obszary zagrożenia
Na razie badaczom udało się ustalić 11 państw, które są na celowniku oszustów. To m.in. Rosja, Szwajcaria, Francja, Kazachstan, Słowenia czy Stany Zjednoczone. Szczegółowa mapa znajduje się poniżej:
Cyberprzestępcy zazwyczaj koncentrowali się na firmach inwestycyjnych, prawniczych, IT, przedsiębiorstwach działających w sektorze ochrony zdrowia, nieruchomości czy indywidualnych użytkownikach. Profil ataków pozwala przypuszczać, że atak nie jest motywowany względami politycznymi, a ekonomicznymi.
Jak to działa?
Specjaliści nie zbadali dokładnego mechanizmu ataku. Wiadomo, że jest przeprowadzany z użyciem nieznanego exploita Flash Playera, który atakuje użytkowników dropperami ze szkodliwym oprogramowaniem. Co ciekawe, wykorzystane droppery zostały podpisane z wykorzystaniem legalnego certyfikatu weryfikacji, dzięki czemu nie są wykrywane przez mechanizmy zabezpieczeń. Wnikając do systemu, dropper instaluje backdoora. Obecnie trwa wycofywanie certyfikatu, który wykorzystali oszuści.
Nieznane pochodzenie cyberprzestępców
Ekspertom ds. bezpieczeństwa nie udało się na razie zweryfikować pochodzenia atakujących. Zauważono jednak, że niektóre próbki zawierają zaszyfrowany ciąg „La revedere”, co w języku rumuńskim znaczy „do widzenia” oraz łacińską transkrypcję rosyjskiego „Успешно” („skutecznie”). Solidne maskowanie działań Wild Neutron sprawia, że pozostają nieuchwytni. Analizę utrudnia także wyjątkowo nieszablonowy sposób postępowania – poza wspomnianymi firmami zaatakowali m.in. fora dżihadystów oraz twórców oprogramowania spyware.
Ochrona
By skutecznie ochronić się przed szkodliwym oprogramowaniem Trojan.Win32.WildNeutron.gen, Trojan.Win32.WildNeutron.*, Trojan.Win32.JripBot.*, Trojan.Win32.Generic, warto skorzystać ze skutecznych produktów Kaspersky Lab.
