Kaspersky Lab: Με δράσεις που ξεκινούν από τη δημιουργία υποδομών κατασκοπείας εντός των συνόρων μιας χώρας για συνδέσεις σε πραγματικό χρόνο και δράσεις data mining, φτάνοντας μέχρι και τη δημιουργία εργαλείων κατασκοπείας με 48 εντολές, ο απειλητικός φορέας Naikon έχει καταφέρει να διεισδύσει με επιτυχία σε εθνικούς οργανισμούς χωρών της περιοχής της Νότιας Σινικής Θάλασσας, μέσα στα τελευταία πέντε χρόνια, σύμφωνα με έρευνα της Kaspersky Lab.
Οι ειδικοί της εταιρείας Kaspersky Lab ανακάλυψαν ότι οι επιτιθέμενοι της ομάδας Naikon φαίνεται να είναι Κινεζικής καταγωγής και ότι οι πρωταρχικοί στόχοι τους είναι κορυφαίοι κρατικοί οργανισμοί, καθώς και πολιτικοί και στρατιωτικοί οργανισμοί σε χώρες όπως οι Φιλιππίνες, η Μαλαισία, η Καμπότζη, η Ινδονησία, το Βιετνάμ, η Μιανμάρ, η Σιγκαπούρη, το Νεπάλ, η Ταϊλάνδη, το Λάος και η Κίνα.
Η Kaspersky Lab εντόπισε τα ακόλουθα χαρακτηριστικά στις επιχειρήσεις της Naikon:
- Τουλάχιστον πενταετής επιθετική δραστηριότητα με γεωπολιτικούς στόχους, η οποία εκδηλώθηκε με υψηλή ένταση και εναντίον σημαντικών οργανισμών
- Κάθε χώρα-στόχος έχει έναν προκαθορισμένο διαχειριστή, ο οποίος εκμεταλλεύεται στοιχεία από την εκάστοτε τοπική κουλτούρα, όπως η τάση χρήσης προσωπικών λογαριασμώνemailγια την εργασία.
- Η τοποθέτηση υποδομών (ένας proxy server) εντός των συνόρων της χώρας με σκοπό την παροχή καθημερινής υποστήριξης για συνδέσεις σε πραγματικό χρόνο και για την εκδιήθηση δεδομένων.
- Χρήση κώδικα που δεν επηρεαζόταν από συγκεκριμένες πλατφόρμες και δυνατότητα παρακολούθησης και παρεμβολής σε όλη την κίνηση του δικτύου συνολικά.
- 48 εντολές στο ρεπερτόριο του προγράμματος απομακρυσμένης διαχείρισης, μεταξύ των οποίων και εντολές για πλήρη απογραφή, λήψη και αποστολή δεδομένων, εγκατάσταση add-on λειτουργιών ή η εργασία στη γραμμή εντολών.
Ο απειλητικός φορέας ψηφιακής κατασκοπείας Naikon αναφέρθηκε για πρώτη φορά από την Kaspersky Lab σε πρόσφατη έκθεσή της, με τίτλο «Τα Χρονικά της Hellsing APT: η Αυτοκρατορία Αντεπιτίθεται», όπου ο φορέας έπαιξε καθοριστικό ρόλο σε μια μοναδική ιστορία αντεπίθεσης κι εκδίκησης στον κόσμο των απειλών τύπου APT (Advanced Persistent Threats). Η ομάδα Hellsing είναι ένας άλλος απειλητικός φορέας, ο οποίος αποφάσισε να εκδικηθεί όταν δέχτηκε επίθεση από την ομάδα Naikon.
«Οι εγκληματίες πίσω από τις επιθέσεις της Naikon κατάφεραν να επινοήσουν μια πολύ ευέλικτη υποδομή που μπορεί να στηθεί σε κάθε χώρα-στόχο, επιτυγχάνοντας να διοχετεύουν πληροφορίες από τα συστήματα-θύματα προς το κέντρο διοίκησης. Με αυτή την υποδομή, αν οι επιτιθέμενοι αποφάσιζαν να κυνηγήσουν κάποιον άλλο στόχο σε μια άλλη χώρα, θα μπορούσαν απλά να δημιουργήσουν μια νέα σύνδεση. Επίσης, η δραστηριότητα της ομάδας Naikon διευκολυνόταν κι από την ύπαρξη διαχειριστών που ήταν αφοσιωμένοι στο δικό τους συγκεκριμένο σύνολο στόχων», δήλωσε ο Kurt Baumgartner, Principal Security Research στην Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky Lab.
Οι στόχοι της Naikon δέχονται επίθεση με παραδοσιακές τεχνικές spear-phishing, μέσω email που μεταφέρουν συνημμένα που έχουν σχεδιαστεί για να ταιριάζουν με τα ενδιαφέροντα του δυνητικού θύματος. Τα συνημμένα θα μπορούσαν να μοιάζουν, για παράδειγμα, με ένα έγγραφο Word, αλλά στην πραγματικότητα ήταν εκτελέσιμα αρχεία με διπλή επέκταση.
Η Kaspersky Lab παροτρύνει τους οργανισμούς να προστατευτούν από την εκστρατεία κατασκοπείας Naikon, ακολουθώντας μερικές βασικές οδηγίες:
- Να μην ανοίγουν συνημμένα αρχεία και link από αποστολείς που δεν γνωρίζουν
- Να χρησιμοποιούν μια προηγμένηanti-malware λύση
- Αν υπάρχουν αμφιβολίες για ένα συνημμένο αρχείο, καλύτερα το άνοιγμα του να γίνετε σε ένα περιβάλλον sandbox
- Να βεβαιωθούν ότι διαθέτουν ενημερωμένο λειτουργικό σύστημα, με όλα τα απαραίτητα patches εγκατεστημένα
Οι λύσεις της Kaspersky Lab προστατεύουν τους χρήστες από την απειλή αυτή, εντοπίζοντας την με τη λειτουργία “Automatic Exploit Prevention”. Η απειλή έχει καταχωρηθεί με τις κωδικές ονομασίες “Exploit.MSWord.CVE-2012-0158”, “Exploit.MSWord.Agent”, “Backdoor.Win32.MsnMM”, “Trojan.Win32.Agent”και“Backdoor.Win32.Agent”.
Περισσότερες πληροφορίες για την επιχείρηση Naikon είναι διαθέσιμες στον ιστότοπο Securelist.com.
