2015 m. rugsėjo mėn. „Kaspersky Lab“ kovos su tiksliniais išpuoliais platformos prototipas aptiko neįprastą funkciją kliento organizacijos tinkle. Anomalija nuvedė ekspertus prie „ProjectSauron“ – valstybinio lygio grėsmės, atakuojančios valstybines organizacijas ir taikančios unikalų įrankių rinkinį kiekvienai aukai. Toks veikimas paverčia tradicinius kompromiso rodiklius nenaudingais. Pagrindinis šių išpuolių tikslas – kibernetinis šnipinėjimas.

Naudodama pažangią modulinę kibernetinio šnipinėjimo platformą, kuri apima unikalių priemonių ir metodų rinkinį, „ProjectSauron“ siekia gauti prieigą prie užšifruotos komunikacijos. Geriausiai atpažįstamas „ProjectSauron“ taktikos požymis yra tyčinis modelių vengimas: „ProjectSauron“ pritaiko savo implantus ir infrastruktūrą kiekvienam atskiram tikslui ir niekada nenaudoja jų antrą kartą. Šis metodas kartu su keliais kanalais, kuriais perduodami pavogti duomenys, pavyzdžiui, teisėti pašto kanalai ir DNS, leidžia „ProjectSauron“ atlikti slaptas, ilgalaikes šnipinėjimo kampanijas tiksliniuose tinkluose.

„ProjectSauron“ atrodo patyręs ir tradicinis žaidėjas, dedantis daug pastangų į mokymąsi iš kitų labai pažangių dalyvių, įskaitant „Duqu“, „Flame“, „Equation“ ir „Regin“, bei perimantis kai kuriuos jų pažangiausius metodus ir gerinantis jų taktiką, tuo pat metu siekdamas išlikti neatskleistas.

Pagrindinės charakteristikos

„ProjectSauron“ itin svarbūs įrankiai ir metodai:

• Unikalūs pėdsakai. Pagrindiniai implantai, turintys skirtingus failų vardus ir dydžius, pritaikyti individualiam tikslui, todėl juos aptikti labai sunku, nes tie patys pagrindiniai kompromiso rodikliai turi mažai vertės bet kokiam kitam tikslui.

• Atlieka į atmintį įvestas komandas. Pagrindiniai implantai pasinaudoja teisėtos programinės įrangos atnaujintomis programomis ir veikia kaip „Backdoors“ virusas, atsisiunčia naujus modulius arba atlieka užpuoliko į atmintį įvestas komandas.

• Neatsiejamai susijęs su šifruotu ryšiu. „ProjectSauron“ aktyviai ieško informacijos, susijusios su gana reta kliento tinklo šifravimo programine įranga. Ši kliento serverio įranga yra plačiai naudojama daugelio tikslinių organizacijų, siekiant užtikrinti ryšį ir balso, elektroninio pašto bei dokumentų mainus. Užpuolikus ypač domina šifravimo programinės įrangos komponentai, raktai, konfigūracijos failai ir serverių buvimo vietos, kurie perduoda užšifruotus laiškus tarp taškų.

• Pagrindinių scenarijų lankstumas. „ProjectSauron“ įdiegė žemo lygio priemones, kurios sudėtos į aukšto lygio LUA (programavimo kalbos) scenarijų rinkinį. LUA komponentų naudojimas kenkėjiškoms programoms yra labai retas atvejis, anksčiau pastebėtas tik „Flame“ ir „Animal Farm“ išpuoliuose.

• Air-gap technologija. „ProjectSauron“ pasinaudoja specialiai paruoštu USB disku, veikiančiu pagal šią technologiją. Šie USB diskai turi paslėptų komponentų, kuriuose slepiami pavogti duomenys.

• Daugybė filtravimo mechanizmų. „ProjectSauron“ naudoja daug įvairių duomenų filtravimo kanalų, įskaitant teisėtus kanalus, pavyzdžiui, elektroninio pašto adresą ir DNS, kai iš nukentėjusiojo pavogta informacija kopijuojama ir maskuojama kaip kasdienis srautas.

Geografija / aukos aprašymas

Iki šiol buvo nustatytos daugiau nei 30 nukentėjusių organizacijų, kurių dauguma yra Rusijos Federacijoje, Irane ir Ruandoje, taip pat keliose italų kalba kalbančiose šalyse. Tačiau spėjama, kad tarp aukų gali būti daug daugiau organizacijų įvairiose šalyse, bet dėl „ProjectSauron“ veiklos pobūdžio labai sunku jas nustatyti.

Remiantis mūsų analize, tikslinės organizacijos paprastai atlieka svarbų vaidmenį teikdamos valstybines paslaugas ir apima:

• vyriausybę,
• karines struktūras,
• mokslinių tyrimų centrus,
• telekomunikacijų operatorius,
• finansines organizacijas.

Tyrimų analizė rodo, kad „ProjectSauron“ veikia nuo 2011 m. birželio ir lieka aktyvus 2016 m. Pradinis „ProjectSauron“ užkrėtimo vektorius, naudojamas įsiskverbti į aukų tinklus, lieka nežinomas.

„Tiksliniai išpuoliai dabar atliekami taikant pigius, lengvai pasiekiamus įrankius. „ProjectSauron“, priešingai, yra vienas iš tų, kurie remiasi savo sukurtais, patikimais įrankiais ir pritaikomomis programavimo kalbomis. Vienkartiniai unikalūs rodikliai, tokie kaip serverio valdymas, šifravimo raktai, naudojami kartu su kitų dideles grėsmes keliančių dalyvių taikomais pažangiausiais metodais – gana naujas reiškinys. Vienintelis būdas atsilaikyti prieš tokias grėsmes – daugiasluoksnių saugumo sprendimų, jutiklių, stebinčių net menkiausias anomalijas organizacijos veikloje, taikymas kartu su tyrimo analize ir žiniomis apie grėsmes. Visa tai naudojama modelių paieškai net tada, kai atrodo, kad jų tiesiog nėra“, – sakė Vitalijus Kamliukas, „Kaspersky Lab“ vyriausiasis saugumo ekspertas.

Kaina, sudėtingumas, patvarumas ir galutinis operacijos tikslas – pavogti konfidencialią ir slaptą informaciją iš valstybinių organizacijų – leidžia manyti, kad šis žaidėjas yra remiamas ir palaikomas valstybės.

„Kaspersky Lab“ saugumo ekspertai pataria organizacijoms atlikti išsamų savo IT tinklų auditą ir, atsižvelgiant į rezultatus, įgyvendinti šias priemones:

• Įdiegti prieš išpuolius nukreiptus sprendimus kartu su naujais ar esamais tinklo apsaugos sprendimais. Apsaugos nuo šnipinėjimo atlaikyti naujos kartos žaidėjo išpuoliams nepakanka.
• Jeigu atsiranda anomalijos rodiklių, kreiptis į technologijų ekspertus. Pažangiausi saugumo sprendimai galės sustabdyti išpuolį net tuomet, kai jis vyksta, o saugumo specialistai gali efektyviai užblokuoti, sušvelninti ir išanalizuoti pagrindinius išpuolius.
• Plėsti žinias apie grėsmes: informuoti saugumo komandas apie naujausias grėsmes, išpuolių tendencijas ir apsaugos būdus.
• Kadangi daugelis didelių išpuolių prasideda nuo šlamštlaiškių ar kito įsikišimo į darbuotojų veiklą, įsitikinkite, kad darbuotojai supranta kibernetines grėsmes ir elgiasi atsakingai.

Išsami ataskaita apie „ProjectSauron“ prieinama tik „Kaspersky Lab“ saugumo sprendimus naudojantiems klientams. Plačiau – http://www.kaspersky.com/enterprise-security/apt-intelligence-reporting