Шпионский вредонос Turla атакует правительственные сети Европы и США

Ранее неизвестное шпионское программное обеспечение уже смогло инфицировать сотни правительственных компьютеров в Европе и США.

Специалисты говорят, что по своей логике вредонос является одним из сложнейших за всю историю. Несколько западных специалистов по ИТ-безопасности и разведывательных агентств полагают, что вредоносное программное обеспечение Turla работает в интересах официальных российских властей и связано с тем же программным обеспечением, которое уже поражало американские военные сети в 2008 году.

Подобные утверждения основаны на анализе тактики хакеров, а также на множестве технических индикаторов и жертвах, которые были атакованы Turla. «Это сложное программное обеспечение, похожее на другие эксплоиты российского производства. Оно использует шифрование и ориентировано на западные правительства», — говорит Джим Льюис, экс-служащий дипломатической службы США, в настоящее время старший научный сотрудник Центра стратегических и международных исследований в Вашингтоне.

Тем не менее, эксперты по безопасности предупреждают: связь с Россией — это лишь догадка, которую невозможно подтвердить до тех пор, пока (и если) Москва не возьмет на себя ответственность за создание кода. В Turla разработчики используют много технологий для сокрытия собственной личности.

Отметим, что слухи о новом российском супер-вредоносе изначально были заявлены небольшой немецкой антивирусной компанией G Data, однако в терминологии этой компании код получил названием Uroburos. Здесь говорят, что российские про-правительственные хакеры пишут достаточно качественный с точки зрения функционала софт и умело скрывают свою личность, кроме того, они очень эффективно поддерживают контроль над зараженными ресурсами и сетями. Здесь тактика атак выбирается очень избранно и подгоняется под конкретную жертву. Китайские про-правительственные хакеры действуют совершенно иначе — они атакуют максимально широко, надеясь хотя бы единожды попасть в цель.

«Все они знают, что большинство людей не имеют технических знаний, чтобы победить. Кроме того, большинство людей не задумываются о хакерской угрозе и делают многие вещи в спящем состоянии», — говорит Льюис.

В пятницу британский оборонный подрядчик BAE Systems Applied Intelligence также сообщил о выявлении нового вредоносного кода, атакующего британские правительственные учреждения. В терминологии BAE код именуется Snake. В BAE также говорят о чрезвычайно высокой сложности кода. Сейчас невозможно установить, явлются ли Turla, Uroburos и Snake одним и тем же кодом.

В антивирусной компании Symantec говорят, что сейчас жертвами Turla стали около 1000 сетей. Кроме того, здесь убеждены, что за Turla и ранее обнаруженным кодом Agent BTZ стоят одни и те же люди. В Symantec не называют жертв вирусов, но говорят, что подавляющее большинство — это правительственные агентства.

В финской F-Secure говорят, что они впервые с Turla столкнулись еще в прошлом году, когда расследовали комплексную атаку в интересах одного из заказчиков. «Turla похож на русский код, однако достоверно говорить об этом нельзя», — говорит технический специалист F-Secure Микко Хиппонен. По его словам, Turla и Agent.BTZ — это коды одного семейства. Первые примеры этого семейства были использованы для атаки на Центральное командование США в 2008 году. При этом, сам Вашингтон не признает факт данной атаки и по сей день.

В F-Secure говорят, что про-российские коды использовались в том же 2008 году для атаки сетей НАТО. Сейчас неизвестны названия кодов, использованных тогда для атак. Хиппонен говорит, что в прошлом году похожий код был использован для нападения на Министерство иностранных дел Финляндии.

Эрик Чен, технический директор Sysmantec Security Response, говорит, что Turla — это «дальнейшая эволюция» Agent.BTZ. «Очевидно, что группа, работающая над этими вредоносами активна и в наши дни», — полагает он.

Хайме Бласко, директор AlienVault Labs, говорит, что им также известно о Turla. Здесь данный вредонос описывают как «фреймворк» для шпионажа, а не как единичное вредоносное ПО. Выявленный ими код создает клиентский руткит, который прячет свое присутствие посредством создания шифрованной виртуальной файловой системы, в которую уводятся краденные данные. Кроме того, архитектура вредоноса такова, что оператор атаки может добавлять во вредонос дополнительные модули с новым функционалом.

Эрик Чен говорит, что кодами Turla пользуются и в данный момент, так как управляющие серверы, на которые стекаются данные постоянно обновляются и при отключении одного сервера в сети тут же появляется новый.

Источник: CyberSecurity