Kiberkémkedést azonosítottak - íme a részletek

2013. szeptember 19. csütörtök, 09:43 • hirado.hu/Kaspersky LabKiberbűnözés, Kapersky, támadás, kampány,
A Kaspersky biztonsági kutatócsoportja közzétette legújabb aktív kiberkémkedési kampányról szóló jelentését, amely elsősorban dél-koreai kutatóközpontokat céloz. A kampány neve Kimsuky, amely egy igen korlátozott és magasan célzott kiberbűnözői kampány, annak köszönhetően, hogy a támadók mindössze csak 11 dél-koreai székhelyű szervezetet és további két kínai intézetet figyeltek meg, ezek között megtalálható a Koreai Védelmi Kutató Intézet (KIDA), Dél-Korea Egyesítési Minisztériuma, a Hyundai Merchant Marine nevű vállalat, valamint Korea egyesítését támogató csoportok.

Twitter megosztás
Cikk nyomtatása

A támadás legkorábbi jele 2013. április 3-ra datálható, az első Kimsuky trójai vírus május 5-én jelent meg. Ez az egyszerű kémprogram számos alapvető kódolási hibát tartalmaz, és a fertőzött gépekkel történő kommunikációt egy bulgáriai, web alapú, ingyenes e-mail-szerveren (mail.bg) keresztül kezeli.

Bár a kezdeti megvalósítás és terjesztési mechanizmus még nem ismert, a kutatók úgy vélik, hogy a Kimsuky vírus valószínűleg az adathalász e-maileken keresztül terjed, amely a következő kémkedési funkciókkal rendelkezik: keylogger, címtár lista rögzítés, távoli hozzáférés és HWP fájlok ellopása. A támadók a távoli hozzáférésre szolgáló TeamViewer program módosított változatát használják backdoorként a fertőzött gépeken található fájlok ellopására. A Kaspersky szakértői olyan nyomokat találtak, amelyeknek köszönhetően sejteni lehet, hogy a támadók valószínűleg észak-koreaiak. A vírus által célzott profilok magukért beszélnek: először is azokat a dél-koreai egyetemeket célozták, amelyek kutatást végeznek nemzetközi kapcsolatok, kormányzati védelmi politika területén, illetve vizsgálják a nemzeti hajózási társaság és Korea egyesítését támogató csoportokat.

Másodszor: a programkód koreai szavakat tartalmaz, amelyek között megtalálható a „támadás” és a „befejezés”.

Harmadszor: a két e-mail-címet, amelyre a botok állapotjelentéseket, valamint levélmellékletekben a megfertőzött rendszerekre vonatkozó információkat küldenek – iop110112@hotmail.com és rsh1213@hotmail.com – a következő, „kim” kezdetű neveken regisztrálták: „kimsukyang” és „Kim asdfa”. Annak ellenére, hogy a regisztrált adatok nem tartalmaznak ténybeli információkat a támadókról, az IP címük forrása illik a profilhoz: mind a 10 IP cím a kínai Jilin és Liaoning tartomány hálózatához tartozik. Ezen internetszolgáltatók pedig Észak-koreai területeken is elérhetőek.