A szakemberek beszámolója szerint a kiberbűnözői csoport 2009 óta fenyegeti az online szerencsejáték- és játékfejlesztő ágazatot, és még ma is igen aktívak. A csoport célzottan ellopja a digitális tanúsítványokat, valamint a játékfejlesztők szellemi tulajdonát, beleértve az online játékok forráskódjait.
A biztonsági cégnél 2011 ősze óta figyelik a Winnti csoport tevékenységét, amikor is egy rosszindulatú trójai vírust azonosítottak, amely sok végfelhasználót érintett szerte a világon. A szakértők egyértelmű összefüggést találtak a fertőzött számítógépek és az online játékok között. Nem sokkal az eset után kiderült, hogy a rosszindulatú program jelen volt egy hivatalos szerencsejáték szerverén, és folyamatosan frissült az áldozatok számítógépein. Az ügyben érintett felhasználók ekkor még úgy vélték, hogy a vírust egy számítógépes játékokat fejlesztő vállalat telepítette a gépekre, annak céljából, hogy kémkedjen az ügyfelek után. Ám később kiderült, hogy a vírust a Winnti nevű, kiberkémkedéssel foglalkozó csoport terjesztette, és maga az online számítógépes játékokat fejlesztő vállalat volt a célpont.
Ezek után kérte fel a vállalat a Kaspersky Lab víruselemző csapatát, hogy azonosítsa és analizálja a kártékony trójai vírust. A trójai programról kiderült, hogy egy 64 bites Windows-ra fordított DLL (dinamikus csatolású könyvtár) volt, amelyet a kiberbűnözők érvényes digitális aláírással láttak el. A szakértők nyilatkozata szerint ez volt az első 64 bites Microsoft Windows 7-re írt, érvényes digitális aláírással ellátott trójai program.
A szakemberek megvizsgálták és analizálták a Winnti csoport kezdeti kampányát, amely több mint 30 vezető online játékokat fejlesztő vállalatot érintett Délkelet-Ázsiában – mellettük több cég is érintett volt a támadásban Németország, az Egyesült Államok, Japán, Kína, Oroszország, Brazília, Peru és Fehéroroszország területén is.
A vizsgálat szerint a kiberkémkedés mellett a Winnti csoportnak több illegális online manipuláció és bűntett is a számlájára írható:
- manipulálták az online játékokban használt virtuális pénzeket, amelyekből a felhalmozás során valódi pénzt generáltak
- növelték a játékokon belüli sebezhetőségeket az ellopott forráskódok felhasználásával, amelyek segítségével észrevétlenül felgyorsították és manipulálták a virtuális pénzek növekedését
- felhasználták az ellopott online játékok forráskódjait, amelyeket később telepítettek a saját kalózszervereiken
A Kaspersky közölte, hogy szakemberei folyamatosan vizsgálják a jelenleg is aktív Winnti csoport tevékenységeit, folyamatosan dolgoznak, hogy visszavonják a lopott digitális tanúsítványokat, és segítsék az online játékfejlesztő vállalatokat a kiberkémkedési csoportokkal szemben.
