Műholdon át támadnak

Stefan Tanase a kutatás eredményeit ismertető cikkben felhívja a figyelmet arra, hogy a folyamatos fenyegetést jelentő támadások (advanced persistent threat – APT) mögött álló hackerek számára az egyik legkomolyabb megoldandó probléma, hogy a támadásokat menedzselő irányító szervereket (command-and-control servers – C&C) valahogy el kell rejteni, meg kell védeni, mivel a hatóságok és a szolgáltatók ezekre vadásznak elsősorban.

Hirdetés

Erre a nem könnyű feladatra több hackercsoport is azonos megoldást talált: a műholdas net speciális használatát. Tanase a legérdekesebb változatot, a Turla nevű csoportét mutatja be elemzésében.

Az általuk használt rootkitről Snake vagy Uroburos néven is ismert kiberkémkedési csoport a Kaspersky adatai szerint már nyolc éve aktív, sok száz (kormányzati, intézményi, nagykövetségi, kutatóintézeti stb.) számítógépet fertőztek meg több mint 45 országban.

A módszerük viszonylag egyszerű és olcsó. Az egyik legelterjedtebb műholdas internetkapcsolat alacsony költségei miatt az úgynevezett „downstream-only”, melynél nem alkalmaznak adattitkosítást, és a Turla hackerei ezt használják ki. Először elkezdik figyelni a downstream adatáramlást, hogy azonosítsák a felhasználók IP-címeit.

Kaspersky - Turla
[+]

Ezeket az IP-ket használják fel arra, hogy mögéjük bújtassák a C&C szervereiket: a kompromittált linkeken átvezetik az adatforgalmukat, káros tevékenységüket, így sokkal nehezebb, szinte lehetetlen azonosítani a szervereket. Olyan portokat használnak az adattovábbításra, melyek a megfertőzött gépeken alapértelmezésben le vannak zárva, így a felhasználó gépe a downstream kapcsolatok beállításai miatt egyszerűen eldobja ezeket a csomagokat, míg az irányító szerver sikeresen feldolgozza őket.

Kaspersky - Turla
[+]

A módszernek megvan ugyan az a hátránya, hogy a műholdas kapcsolat lassú és gyakran instabil, ám az elrejtőzés miatt megéri a támadóknak. Elsősorban közel-keleti és afrikai linkeket vettek célba, ezeket használják ki.

A technikai részletek leírása Tanase cikkében megtalálható.

Hirdetés

Azóta történt

Előzmények