Kaspersky Lab odhalil kybernetickou špionážní kampaň Rudý říjen

Zpráva Kaspersky Lab vypadá jako vystřižená z filmů o Jamesi Bondovi. Útočníci přes špionážní malware cílili na citlivé dokumenty s tajnými geopolitickými informacemi, autorizačními údaji pro počítačové systémy a data z osobních mobilních a síťových zařízení. 

Tým odborníků Kaspersky Lab začal vyšetřovat první napadení v říjnu 2012. Brzy vyšlo najevo, že činnost kybernetické špionážní sítě je mnohem větší a probíhá minimálně od roku 2007. Malware Rocra, který skupina Red October (Rudý říjen) využívá, je aktivní dokonce i nyní a zaměřuje se kromě vládních a diplomatických kruhů také na výzkumné, energetické a jaderné instituce, obchodní subjekty i organizace leteckého průmyslu po celém světě.

Jak funguje malware Rocra

Kaspersky Lab ve své zprávě detailně popisuje i průběh samotné špiponáže. Vybrané cíle útočníci infikovali prostřednictvím phishingových e-mailů obsahujících upravený dropper pro infikaci trojským koněm. K instalaci malwaru a infikaci systému škodlivé e-maily používaly exploity využívající zranitelnosti programů Microsoft Office a Microsoft Excel.

Malware Rocra má unikátní modulární architekturu sestávající ze škodlivých rozšíření, modulů pro krádeže informací a trojských koní umožňujících vzdálený neautorizovaný přístup k infikovanému systému (backdoor). Odcizené informace z infikovaných sítí pak útočníci využívali k získání přístupu do dalších systémů.

K řízení sítě infikovaných zařízení útočníci zřídili více než 60 internetových domén a také několik serverů v různých zemích, přičemž většina byla umístěna v Německu a Rusku. 

Kaspersky Lab se s malware Rocra vypořádal

Pro analýzu obětí útoku použila společnost Kaspersky Lab statistiky z cloudové služby Kaspersky Security Network (KSN). Vytvořila také „sinkhole server“, pomocí kterého monitorovala infikované počítače napojené na servery Rocry. Pomocí dat bylo detekováno několik set infikovaných systemů - zejména velvyslanectví, vládní sítě a organizace a vědecká pracoviště. Převážná část z nich se nachází ve východní Evropě, ale některá z nich jsou v Severní Americe a v západní Evropě, například ve Švýcarsku nebo Lucembursku.

Analýza potvrzuje, že útočníci pochází z některé z rusky mluvících zemí. Společnost Kaspersky Lab ve spolupráci s mezinárodními organizacemi, policejními orgány a počítačovými bezpečnostními týmy CERT i nadále pokračuje ve vyšetřování operace Rocra, v jehož rámci poskytuje odborné technické znalosti a zdroje.

Produkty Kaspersky Lab nyní malware Rocra úspěšně detekuji a blokují, klasifikován je pod jménem Backdoor.Win32.Sputnik.

Bezpečnostní software Kaspersky Lab najdete v našem e-shopu zde.