A Kaspersky Lab Globális Kutatási és Elemző Csapata jelentette be, hogy feltérképeztek egy kiberkémkedési kampányt, a Blue Termite-et, amely cégek százait célozta meg legalább két éven keresztül Japánban. A támadók bizalmas információkra vadásznak, a Flash Player egy nulladik napi sérülékenységét kihasználó kódot és egy fejlett hátsó ajtó programot használva a támadásokhoz. Ez az első olyan, a Kaspersky Lab által ismert kampány, amely kifejezetten japán célpontokra fókuszál – és még mindig aktív.
2014 októberében találkoztak először a Kaspersky Lab kutatói ezzel a soha nem látott programkártevővel, amely a komplexitása miatt kitűnt a többi közül. A megcélzott iparágak közé tartoznak a kormányzati szervezetek, valamint a nehézipari, pénzügyi, média-, vegyipari, műholdas, egészségügyi, élelmiszeripari és oktatási cégek.
Sokrétű fertőzési technikák
Áldozataik megfertőzése érdekében, a Blue Termite működtetői többféle módszert alkalmaznak. 2015 júliusa előtt a legtöbbször célzott adathalász e-maileket használtak, amelyek melléklete rosszindulatú szoftvert tartalmazott. Júliusban azonban az operátorok megváltoztatták a taktikájukat, és elkezdték a rosszindulatú szoftvert egy nulladik napi Flash-sérülékenység (CVE-2015-5119, melynek kihasználó kódja a Hacking Teamet ért incidens révén szivárgott ki a nyár elején) kihasználásával terjeszteni. A támadók több japán weboldalt törtek fel, amelyek látogatói automatikusan letöltötték a vírust, és megfertőződtek (drive-by-downloads).
A nulladik napi kihasználás alkalmazása jelentősen növelte a fertőzési arányt július közepén a Kaspersky Lab felderítő rendszereinek statisztikája szerint. Továbbá az egyik feltört webhely a japán kormány egyik prominens tagjához tartozott, míg egy másik olyan rosszindulatú parancsfájlokat tartalmazott, amelyek kiszűrik a látogatókat az összes IP-címről, és csak egy bizonyos japán szervezettől érkezőket engedik be. Más szóval, csak a kiválasztott felhasználók kapják meg a programkártevőt.
Exkluzív kártevők és nyelvi bizonyítékok
A sikeres megfertőzés után egy fejlett hátsó ajtót telepítettek a megcélzott gépre. A hátsó ajtó lehetőséget ad jelszavak ellopására, további programkártevők letöltésére és futtatására, fájlok feltöltésére stb. Érdekessége a Blue Termite által használt rosszindulatú programoknak, hogy minden egyes áldozat egyedi programkártevőt kap, amely úgy van elkészítve, hogy csakis azon a gépen lehessen elindítani, amelyet a Blue Termine operátora megcélzott. A Kaspersky Lab kutatói szerint ennek az oka, hogy a biztonsági szakértők számára nehezebbé váljon a rosszindulatú program leleplezése és analizálása.
Az, hogy ki áll e támadássorozat mögött, még mindig tisztázatlan. De néhány nyelvi bizonyíték szerint a parancs és vezérlő szerver grafikus felhasználói felülete és néhány dokumentum, amely a Blue Termite rosszindulatú programjaihoz tartozik, kínai nyelven íródtak.
A Kaspersky Lab képviselői értesítették a helyi rendvédelmi szerveket. Mivel a Blue Termite jelenleg is működik, a biztonsági cég nyomozása is folytatódik.
