Wiadomości

Zaawansowane cybergangi nieustannie szukają nowych, bardziej wyrafinowanych sposobów przeprowadzania ataków. Dlatego badacze z firmy Kaspersky monitorują ich działania mające na celu odświeżanie i uaktualnianie szkodliwych zestawów narzędzi. W najnowszym raporcie poświęconym ewolucji ataków APT badacze z firmy Kaspersky ujawniają m.in. szczegóły unikatowej, długotrwałej operacji GhostEmperor, w której wykorzystano luki w zabezpieczeniach Microsoft Exchange w celu atakowania dużych podmiotów. W operacji użyto zaawansowanych narzędzi i nie wykazywała ona podobieństwa do działania żadnego znanego ugrupowania cyberprzestępczego.

GhostEmperor to chińskojęzyczne ugrupowanie przestępcze wykryte przez badaczy z firmy Kaspersky, które skupia się głównie na celach zlokalizowanych w Azji Południowowschodniej, łącznie z kilkoma podmiotami rządowymi oraz firmami telekomunikacyjnymi.

Ugrupowanie to wyróżnia się ze względu na wykorzystywanie nieznanego wcześniej rootkita trybu jądra systemu Windows. Rootkity to narzędzia zapewniające zdalny dostęp do atakowanych serwerów charakteryzujące się możliwościami w zakresie unikania wykrycia. W celu obejścia mechanizmu kontroli certyfikatów cyfrowych systemu Windows szkodnik GhostEmperor stosuje komponent projektu open-source o nazwie "Cheat Engine". Ten zaawansowany zestaw narzędzi jest unikatowy i badacze z firmy Kaspersky nie widzą żadnego podobieństwa między nim a znanymi ugrupowaniami cyberprzestępczymi. Przypuszcza się, że był on stosowany co najmniej od lipca 2020 r.

Wraz z ewolucją technik wykrywania i ochrony ewoluują również ugrupowania APT, które na bieżąco odświeżają i aktualizują swoje zestawy narzędzi. GhostEmperor jest dobrym przykładem tego, w jaki sposób cyberprzestępcy szukają nowych technik ataków oraz nowych luk w zabezpieczeniach, które mogą wykorzystać. Stosując nieznanego wcześniej, wyrafinowanego rootkita, cyberprzestępcy dołączyli nowe problemy do istniejącego już trendu ataków na serwery Microsoft Exchange - powiedział David Emm, ekspert ds. cyberbezpieczeństwa w firmie Kaspersky.

W drugim kwartale 2021 r., oprócz wzrostu liczby ataków na serwery Microsoft Exchange, eksperci z firmy Kaspersky zidentyfikowali również następujące trendy w krajobrazie zagrożeń APT:

• Wzrosła liczba ugrupowań APT, które w celu uzyskania dostępu do atakowanych sieci wykorzystują exploity, czyli narzędzia wykorzystujące luki w zabezpieczeniach (także dnia zerowego, dla których nie istnieją jeszcze poprawki bezpieczeństwa) do wykonywania szkodliwych działań.
• Ugrupowania APT wciąż inwestują w odświeżanie swoich zestawów narzędzi: nie tylko włączają do nich nowe platformy, ale również wykorzystują dodatkowe języki, jak w przypadku szkodliwego oprogramowania stworzonego przez cybergang WildPressure w języku Python dla systemu macOS.
• Oprócz głośnych ataków na łańcuch dostaw eksperci z firmy Kaspersky zaobserwowali równie skuteczne, mniej zaawansowane ataki, które wskazują na to, że niepozorne kampanie nadal stanowią znaczące zagrożenie dla bezpieczeństwa.

źródło: Kaspersky