Οι ερευνητές κακόβουλου λογισμικού της Kaspersky ανακάλυψαν ένα νέο πολύπλοκο σύστημα που αναπτύχθηκε και χρησιμοποιήθηκε από την Εθνική Υπηρεσία Ασφαλείας (NSA).
Το EquationDrug ή η πλατφόρμα Equestre χρησιμοποιεί 116 modules για να παρακολουθήσει επιτυχώς υπολογιστές και να υποκλέψει για την μυστική υπηρεσία πληροφοριών.
«Είναι σημαντικό να σημειωθεί ότι το EquationDrug δεν είναι απλώς ένα trojan, αλλά μια πλήρη πλατφόρμα κατασκοπείας, η οποία περιλαμβάνει ένα πλαίσιο για τη διεξαγωγή των δραστηριοτήτων κατασκοπείας αναπτύσσοντας ειδικά modules για να έχει καλύτερα αποτελέσματα στους υπολογιστές των επιλεγμένων θύματων,” αναφέρουν οι ερευνητές της Kaspersky.
“Η αρχιτεκτονική του όλου πλαισίου μοιάζει με ένα μίνι-λειτουργικό σύστημα που έχει πυρήνα λειτουργίας συστήματος και χρήστη (kernel-mode και user-mode) και τα συστατικά του αυτά φαίνεται να αλληλεπιδρούν πολύ προσεκτικά μέσω μίας εξατομικευμένης διεπαφής ανταλλαγής μηνυμάτων.”
Η πλατφόρμα είναι μέρος της συνεχιζόμενης εκστρατείας της NSA να μολύνει το firmware των σκληρών δίσκων. Αντικαθιστά το παλαιότερο EquationLaser και αναβαθμίζεται στην πλατφόρμα GrayFish.
Τα περισσότερα από τα μοναδικά αναγνωριστικά και τα κωδικοποιημένα ονόματα είναι δεμένα σε ενότητες που έχουν κρυπτογραφηθεί και έτσι είναι ασαφή. Μερικές ενότητες μπορεί να προσδιοριστούν με τον μοναδικό αριθμό ταυτοποίησης που χρησιμοποιούν. Άλλες πάλι εξαρτώνται από άλλα plugins για να λειτουργήσουν.
Κάθε plugin έχει ένα μοναδικό αναγνωριστικό και έναν αριθμό έκδοσης που ορίζει το σύνολο από τις λειτουργίες που μπορεί να προσφέρει.
Οι ερευνητές της Kaspersky μπόρεσαν να αποκαλύψουν 30 από τα 116 modules που εκτιμούν ότι υπάρχουν στο super malware της NSA.
«Τα πρόσθετα που ανακαλύψαμε πιθανώς αντιπροσωπεύουν μόνο ένα μικρό μέρος των δυνατοτήτων της επίθεσης,” αναφέρουν οι ερευνητές.
Οι ενότητες που έχουν ανιχνευτεί μέχρι τώρα στο εργαλείο της NSA περιλαμβάνουν κακόβουλα λογισμικά για:
- Δίκτυο παρακολούθησης της κυκλοφορίας για κλοπές ή επαναδρομολόγηση
- Αντίστροφη επίλυση DNS (DNS PTR records)
- Διαχείριση Υπολογιστών
- Έναρξη διαδικασιών/stop
- Φόρτωμα drivers και libraries
- Διαχείριση αρχείων και καταλόγων
- Συλλογή πληροφοριών συστήματος
- Ανίχνευση έκδοσης του λειτουργικού συστήματος
- Ανίχνευση ονόματος του υπολογιστή
- Ανίχνευση ονόματος χρήστη
- Ανίχνευση Τοποθεσίας
- Ανίχνευση Διάταξης πληκτρολογίου
- Ανίχνευση ζώνης ώρας
- Λίστα Διαδικασιών
- Ανίχνευση πόρων δικτύου περιήγησης, απαρίθμηση και πρόσβαση σε κοινόχρηστους χώρους
- WMI συλλογή πληροφοριών
- Συλλογή προσωρινά αποθηκευμένων κωδικών πρόσβασης
- Καταμέτρηση των διαδικασιών και άλλων λειτουργιών του συστήματος
- Παρακολούθηση δραστηριότητας του χρήστη από web browsers σε πραγματικό χρόνο
- Χαμηλού επιπέδου NTFS πρόσβαση σύστημα αρχείων βασισμένο στο δημοφιλές πλαίσιο Sleuthkit
- Παρακολούθηση αφαιρούμενων μονάδων αποθήκευσης
- Παθητικό backdoor δικτύου (τρέχει Equation shellcode από raw traffic)
- HDD και SSD χειραγώγηση των firmware
- Keylogging και παρακολούθηση στο πρόχειρο
- Ιστορικό περιήγησης, προσωρινά αποθηκευμένοι κωδικοί πρόσβασης και συλλογή δεδομένων αυτόματης συμπλήρωσης φόρμας.
