Meghekkelik a routereket

A Kaspersky Lab kutatói nemrég olyan kifinomult kibercsapdát azonosítottak, amelyet főként kiberkémkedésre használtak a Közel-Keleten és Afrikában 2012-től idén februárig. A malware, amelyet a kutatók „Slingshot”-nak neveztek el, meghekkelt routereken keresztül támadta és fertőzte áldozatait, teljes kontrollal az áldozatok készülékei felett. A kutatók szerint a kibercsapda számos egyedi és kellően hatékony technikát használt ahhoz, hogy képes legyen az ellopott adatok összesítésére. Arra is képes, hogy az adatforgalmát elrejtse és ezáltal nem nyomon követhetővé váljon.

A Slingshot működését akkor észlelték, amikor a kutatók gyanús keylogger programot találtak. A detektáláshoz a szakemberek egy viselkedés alapú azonosító aláírást használtak, majd figyelték annak felbukkanását. Ez az aláírás elvezetett egy olyan gyanús fájlhoz, amelyet egy megtámadott számítógépen a scesrv.dll nevű rendszermappában tároltak.

A fájl elemzése azt mutatta, hogy a fájl rosszindulatú, annak ellenére, hogy legálisnak tűnt.

Mivel ezt a „könyvtárt” hajtja a services.exe program, ezért a megtámadott „könyvtár” ugyanolyan jogosultságokat szerzett. A kutatók rájöttek, hogy egy nagyon fejlett betolakodó került a számítógép rendszermagjába.

A legérdekesebb tény a Slingshotról valószínűleg a szokatlan támadási kiindulópontja. Minél több áldozatot azonosítottak a kutatók, annál inkább tűnt úgy, hogy

az áldozatokat feltört routerek segítségével fertőzték meg.

A támadások során a Slingshot mögött álló bűnözői csoport feltörte a routereket ahhoz, hogy elhelyezzen bennük egy rosszindulatú dinamikus linket, amelynek feladata valójában további kártékony összetevők letöltése. Amikor egy rendszergazda bejelentkezett, hogy konfigurálja az adott routert, a router kezelőszoftvere letöltötte és futtatta a számítógépen található rosszindulatú modult. Hogy miként támadták meg az első routert, egyelőre ismeretlen.

A Kaspersky Lab termékei sikeresen azonosítják és blokkolják ezt a kibercsapdát.

Annak érdekében, hogy elkerülje a támadást, a Kaspersky Lab kutatói az alábbiakat javasolják:

• Mikrotik routert használók frissítsék a router szoftverjét, amint lehetséges.
• Használjon megbízható biztonsági megoldást, mint például a Kaspersky Threat Management and Defense programot.
• Biztosítson hozzáférést alkalmazottainak a legújabb kibercsapda adatokhoz, amelyek segítséget nyújtanak a célzott támadások észleléséhez és megelőzéséhez, például a támadások indikátoraihoz (IoC), a Yara-szabályokhoz és a fejlett fenyegetések jelentéseihez.
• Ha célzott támadások indikátorait észleli, használjon eredményes védelmi megoldást, amely segít a kibercsapdák azonosításában.