Η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky Lab αποκαλύπτει τη δράση της ομάδας Desert Falcons,ενός φορέα ψηφιακής κατασκοπείας με στόχο πολλούς οργανισμούς και μεμονωμένα πρόσωπα υψηλού κύρους από χώρες της Μέσης Ανατολής. 
Οι ειδικοί της Kaspersky Lab θεωρούν τον φορέα αυτό ως την πρώτη γνωστή Αραβική ομάδα «ψηφιακών μισθοφόρων», οι οποίοι έχουν αναπτύξει και πραγματοποιούν ολοκληρωμένες επιχειρήσεις ψηφιακής κατασκοπείας.
- Η εκστρατεία είναι ενεργή εδώ και τουλάχιστον δύο χρόνια. Η ομάδα Desert Falcons άρχισε να αναπτύσσει και να εδραιώνει τη λειτουργία τηςμέσα στο 2011. Ωστόσο, το ξεκίνημα της βασικής δράσης της ομάδας και των μολύνσεις μέσω του malwareτης τοποθετείται στο 2013. Η αιχμή της δραστηριότητάς τους καταγράφεται στις αρχές του 2015.
- Η συντριπτική πλειοψηφία των στόχων βρίσκεται στην Αίγυπτο, την Παλαιστίνη, το Ισραήλ και την Ιορδανία.
- Εκτός από τις χώρες της Μέσης Ανατολής, οι οποίες αποτέλεσαν τους αρχικούς στόχους, η ομάδα Desert Falconsδραστηριοποιείται και εκτός της περιοχής αυτής. Συνολικά, τα μέλη της έχουν καταφέρει να επιτεθούν σε περισσότερα από 3.000 θύματα, σε περισσότερες από 50 χώρες παγκοσμίως, έχοντας υποκλέψει πάνω από 1 εκατομμύριο αρχεία.
- Οι επιτιθέμενοι χρησιμοποιούν κακόβουλα εργαλεία που έχουν αναπτύξει οι ίδιο, ώστε να εξαπολύουν επιθέσεις σε υπολογιστές Windows και συσκευές Android.
- Οι ειδικοί της Kaspersky Lab έχουν πολλούς λόγους να πιστεύουν ότι η μητρική γλώσσα των μελών της ομάδας Desert Falconsείναι η Αραβική.
Η λίστα των θυμάτων που στοχοποιήθηκαν περιλαμβάνει στρατιωτικούς και κυβερνητικούς οργανισμούς – και ειδικότερα, στελέχη επιφορτισμένα με την αντιμετώπιση του ξεπλύματος μαύρου χρήματος. Επίσης, η εκστρατεία στράφηκε εναντίον στελεχών από τους κλάδους της υγείας και της οικονομίας, κορυφαίων Μέσων Μαζικής Ενημέρωσης, ερευνητικών και εκπαιδευτικών ιδρυμάτων, παρόχων ενέργειας και υπηρεσιών κοινής ωφέλειας, ακτιβιστών και πολιτικών ηγετών, εταιρειών προσωπικής ασφάλειας και άλλων στόχων που έχουν στην κατοχή τους σημαντικές γεωπολιτικές πληροφορίες.
Συνολικά, οι ειδικοί της Kaspersky Lab κατάφεραν να εντοπίσουν σημάδια των επιθέσεων σε πάνω από 3.000θύματα, σε περισσότερες από 50 χώρες, διαπιστώνοντας την υποκλοπή άνω του ενός εκατομμυρίων αρχείων. Παρότι, ο φορέας της επίθεσης φαίνεται να δρα σε χώρες όπως η Αίγυπτος, η Παλαιστίνη, το Ισραήλ και η Ιορδανία, πολλά θύματα βρέθηκαν επίσης στο Κατάρ, τη Σαουδική Αραβία, τα Ηνωμένα Αραβικά Εμιράτα, την Αλγερία, το Λίβανο, τη Νορβηγία, την Τουρκία, τη Σουηδία, τη Γαλλία, τις Ηνωμένες Πολιτείες, τη Ρωσία και άλλες χώρες.
Μεταφορά, «Μόλυνση», Κατασκοπεία
Η κύρια μέθοδος που χρησιμοποιήθηκε από την ομάδα Desert Falconsγια τη μεταφορά κακόβουλου φορτίου ήταν το spearphishing μέσω email, μηνυμάτων σε μέσα κοινωνικής δικτύωσης και μηνυμάτων σε chat. Τα μηνύματα phishingπεριείχαν κακόβουλα αρχεία (ή linkπου οδηγούσαν σε κακόβουλα αρχεία), τα οποία μιμούνταν νόμιμα έγγραφα ή εφαρμογές. Η ομάδα Desert Falconsχρησιμοποιεί διάφορες τεχνικές για να δελεάσει τα θύματα της και να τα αναγκάσει να εκτελέσουν τα κακόβουλα αρχεία. Μία από τις πιο χαρακτηριστικές τεχνικές που χρησιμοποιεί η ομάδα είναι το λεγόμενο “Right-to-LeftOverride”.
Η τεχνική αυτή εκμεταλλεύεται έναν ειδικό χαρακτήρα στο Unicode, για να αντιστρέψει τη σειρά των χαρακτήρων στην ονομασία ενός αρχείου, κρύβοντας μια επικίνδυνη επέκταση στη μέση της ονομασίας και τοποθετώντας μία ψεύτικη επέκταση αρχείου, η οποία μοιάζει ακίνδυνη, κοντά στο τέλος της ονομασίας του αρχείου. Χρησιμοποιώντας αυτήν την τεχνική, κακόβουλα αρχεία (.exe, .scr) μοιάζουν με ένα αβλαβές έγγραφο ή αρχείο PDF, ενώ ακόμη και οι προσεκτικοί χρήστες με καλές τεχνικές γνώσεις είναι δυνατό να παρασυρθούν και «τρέξουν» αυτά τα αρχεία. Για παράδειγμα, ένα αρχείο με κατάληξη “.fdp.scr”θα παρουσιαζόταν ως“.rcs.pdf”.
Μετά την επιτυχή «μόλυνση» του θύματος, τα μέλη της ομάδας Desert Falconsχρησιμοποιούν ένα από τα δύο διαφορετικάBackdoors, είτε το βασικό Trojan τους ή το DHSBackdoor, τα οποία φαίνεται να έχουν αναπτυχθεί από την αρχή και να βρίσκονται σε συνεχή ανάπτυξη. Οι ειδικοί της Kaspersky Lab κατάφερνα να ταυτοποιήσουν πάνω από 100 δείγματα κακόβουλου λογισμικού που χρησιμοποιούνται από αυτή την ομάδα για επιθέσεις.
Τα κακόβουλα εργαλεία που χρησιμοποιούνται έχουν πλήρη Backdoor λειτουργικότητα. Έτσι, μπορούν να τραβούν screenshots, να υποκλέπτουν πληκτρολογήσεις, να κάνουν uploadή downloadαρχεία, να συλλέγουν πληροφορίες σχετικά με όλα τα αρχεία Word και Excel στο σκληρό δίσκο ή τις συνδεδεμένες συσκευές USB ενός θύματος, να υποκλέπτουν κωδικούς πρόσβασης που αποθηκεύονται στο μητρώο του συστήματος (Internet Explorer και Live Messenger) και να κάνουν ηχογραφήσεις. Οι ειδικοί της Kaspersky Lab κατάφεραν επίσης να εντοπίσουν ίχνη από τη δραστηριότητας ενός κακόβουλου λογισμικού, το οποίο φαίνεται να αποτελεί backdoorγια Android,με δυνατότητες υποκλοπής κλήσεων και αρχείων καταγραφής SMS.
Χρησιμοποιώντας αυτά τα εργαλεία, τα μέλη της ομάδας Desert Falconsδημιούργησαν και διαχειρίζονταν τουλάχιστον τρεις διαφορετικές κακόβουλες εκστρατείες, με στόχο διαφορετικά θύματα σε διάφορες χώρες.
Ένα «σμήνος»στο κυνήγι μυστικών
Οι ερευνητές της Kaspersky Lab εκτιμούν ότι τουλάχιστον 30 άτομα, σε τρεις ομάδες, διαμοιρασμένα σε διαφορετικές χώρες, πραγματοποιούν τις εκστρατείες κακόβουλου λογισμικού της ομάδας Desert Falcons.
«Τα άτομα πίσω από αυτόν τον φορέα είναι εξαιρετικά αποφασισμένα, ενεργά, με καλές τεχνικές γνώσεις και καλή πληροφόρηση σχετικά με πολιτικά και πολιτιστικά θέματα. Χρησιμοποιώντας μόνο phishing email, τεχνικές κοινωνικής μηχανικής, εργαλεία και backdoors που ανέπτυξαν οι ίδιοι, τα μέλη της ομάδας Desert Falcons μπόρεσαν να «μολύνουν» εκατοντάδες σημαντικά θύματα στην περιοχή της Μέσης Ανατολής, μέσω των ηλεκτρονικών υπολογιστών ή των φορητών συσκευών τους, καθώς και να αποκωδικοποιήσουν ευαίσθητα δεδομένα. Αναμένουμε ότι αυτή η εκστρατεία θα συνεχίσει να αναπτύσσει περισσότερα Trojans κι ότι θα χρησιμοποιήσει ακόμη πιο εξελιγμένες τεχνικές. Με επαρκή χρηματοδότηση, θα μπορούσαν να αποκτήσουν ή να αναπτύξουν exploits, τα οποία θα μπορούσαν να αυξήσουν την αποτελεσματικότητα των επιθέσεων τους»,δήλωσε ο Dmitry Bestuzhev, ειδικός σε θέματα ασφάλειας και μέλος της Παγκόσμιας Ομάδας Έρευνας και Ανάλυσης της Kaspersky Lab.
Τα προϊόντα της Kaspersky Lab εντοπίζουν και εμποδίζουν με επιτυχία το κακόβουλο λογισμικό που χρησιμοποιείται από την ομάδα Desert Falcons.
Περισσότερες πληροφορίες σχετικά με την εκστρατεία είναι διαθέσιμες στο Securelist.com.
