Polowanie na Desert Falcons - pierwszą znaną arabską grupę cyberszpiegowską

Najważniejsze fakty

• Kampania ta jest prowadzona od co najmniej dwóch lat. Grupa Desert Falcons zaczęła opracowywać i budować swoje przedsięwzięcie w 2011 r., przy czym główna kampania i rzeczywista infekcja rozpoczęły się dwa lata później. Szczyt aktywności przypadł na początek 2015 r.
• Ogromna większość celów znajduje się w Egipcie, Palestynie, Izraelu i Jordanii.
• Oprócz państw z Bliskiego Wschodu, na których skupiły się początkowo ataki, grupa Desert Falcons poluje również na cele spoza tego terytorium. Łącznie zaatakowano ponad 3 000 ofiar w ponad 50 krajach na całym świecie, kradnąc ponad milion plików.
• Atakujący wykorzystują oryginalne szkodliwe narzędzia w celu przeprowadzania ataków na komputery z systemem Windows oraz urządzenia z Androidem.
• Eksperci z Kaspersky Lab mają wiele powodów, aby sądzić, że dla osób stojących za operacją Desert Falcons ojczystym językiem jest arabski.

Lista zaatakowanych ofiar obejmuje organizacje wojskowe i rządowe - w szczególności pracowników odpowiedzialnych za przeciwdziałanie procederowi prania brudnych pieniędzy oraz z sektorów zdrowia i gospodarki. Na celowniku znalazły się także media, instytucje z sektora badań i edukacji, dostawcy energii i mediów, aktywiści i przywódcy polityczni, firmy świadczące usługi w zakresie bezpieczeństwa oraz inne cele posiadające istotne informacje geopolityczne. Łącznie eksperci z Kaspersky Lab doszukali się śladów ponad 3 000 ofiar kradzieży ponad miliona plików w ponad 50 państwach.

Chociaż wydaje się, że główne cele grupy Desert Falcons znajdują się w takich państwach jak Egipt, Palestyna, Izrael oraz Jordania, wiele ofiar zidentyfikowano również w Katarze, Arabii Saudyjskiej, Zjednoczonych Emiratach Arabskich, Algierii, Libanie, Norwegii, Turcji, Szwecji, Francji, Stanach Zjednoczonych, Rosji oraz innych państwach.

Dostarcz, zainfekuj, szpieguj

Główną metodą stosowaną przez grupę Desert Falcons w celu dostarczenia szkodliwych programów są ukierunkowane wiadomości phishingowe rozsyłane za pośrednictwem e-maili, portali społecznościowych oraz czatów. Wiadomości zawierają szkodliwe pliki (lub odsyłacze do szkodliwych obiektów) ukryte pod postacią legalnych dokumentów i aplikacji. Cyberprzestępcy wykorzystują kilka technik w celu skłonienia swoich ofiar do uruchomienia szkodliwych plików - jedną z nich jest ukrywanie prawdziwego rozszerzenia zainfekowanego pliku.

Po pomyślnej infekcji maszyny ofiary atakujący wykorzystują jeden z dwóch różnych szkodliwych programów: głównego trojana grupy Desert Falcons oraz backdoora DHS, które zostały prawdopodobnie stworzone od podstaw i są nieustannie rozwijane. Eksperci z Kaspersky Lab zidentyfikowali ponad 100 próbek szkodliwego oprogramowania wykorzystywanego przez tę grupę w swoich atakach.

Wykorzystane szkodliwe narzędzia pozwalają na zdalne kontrolowanie zainfekowanych maszyn, łącznie z wykonywaniem zrzutów ekranu, przechwytywaniem znaków wprowadzanych z klawiatury, zapisywaniem/pobieraniem plików, zbieraniem informacji na temat wszystkich plików Worda i Excela na dysku twardym ofiary lub podłączonych urządzeniach USB, kradzieżą haseł przechowywanych w rejestrze systemu (Internet Explorer oraz Live Messenger) oraz nagrywaniem dźwięku. Eksperci z Kaspersky Lab trafili również na ślady aktywności szkodliwego oprogramowania dla systemu Android, które potrafi przechwytywać połączenia telefoniczne i rejestry SMS-ów.

Przy użyciu tych narzędzi grupa Desert Falcons przeprowadziła i zarządzała co najmniej trzema różnymi cyberoperacjami, których celem były różne grupy ofiar w wielu państwach.

Grupa pustynnych sokołów poluje na sekrety

Badacze z Kaspersky Lab szacują, że szkodliwe kampanie Desert Falcons są prowadzone przez co najmniej 30 osób, działających w trzech zespołach rozsianych w różnych państwach.

"Osoby stojące za tą kampanią są zdeterminowane, aktywne i posiadają dużą wiedzę techniczną, polityczną oraz kulturową. Przy użyciu wiadomości phishingowych, socjotechniki, własnych narzędzi oraz trojanów zdołali zainfekować setki wrażliwych i ważnych celów w regionie Bliskiego Wschodu za pośrednictwem systemów komputerowych lub urządzeń mobilnych, a następnie przechwycić poufne dane. Spodziewamy się, że członkowie grupy będą tworzyli więcej trojanów i wykorzystywali bardziej zaawansowane techniki. Przy wystarczających środkach finansowych mogą nabyć lub samodzielnie przygotować exploity, które zwiększą skuteczność ich ataków" - powiedział Dmitrij Bestużew, ekspert ds. bezpieczeństwa, Globalny Zespół ds. Badań i Analiz, Kaspersky Lab.

Źródło informacji: firma Kaspersky Lab