Эксперты «Лаборатории Касперского» выяснили, что группировка, стоящая за сложной и масштабной кампанией кибер-шпионажа Turla, использует уязвимость в глобальных спутниковых сетях для сокрытия физического местоположения серверов управления зараженными ПК. При использовании одностороннего спутникового интернет-соединения пользователь отправляет свой запрос через наземный канал (кабель или GPRS), а ответ ему приходит через спутник. Интернет-контент в этом случае грузится сравнительно быстро, но передается он в незашифрованном виде. А это значит, что любой, имея недорогое оборудование и ПО, может легко перехватить трафик и получить доступ ко всем данным, которые загружает пользователь. Этой «лазейкой» и воспользовалась кибер-группировка Turla для того, чтобы скрыть местоположение серверов, с помощью которых она управляет атаками и где хранит собранные данные. Технически этот процесс выглядит так: сначала атакующие «слушают» трафик, исходящий от спутника, чтобы определить, какие пользователи, точнее IP-адреса, в настоящее время онлайн. Потом они выбирают тот IP-адрес, который будут использовать для маскировки своего сервера. После этого они направляют зараженным Turla компьютерам команды на отправку данных на выбранный IP-адрес. Данные при этом проходят через традиционные каналы к оператору спутникового Интернета, а затем через спутник попадают к ничего не подозревающему пользователю. Сам пользователь вряд ли заметит, что помимо запрашиваемого контента он получил что-то еще. Обычно организаторы Turla «инструктируют» зараженные компьютеры отправлять данные в те порты компьютера, которые по умолчанию закрыты. Откроет их тот самый командно-контрольный сервер, и пакеты с данными, таким образом, перейдут на него. Как выяснила «Лаборатория Касперского», кибер-группировка Turla использует в основном провайдеров, работающих на Ближнем Востоке и в Африке. Так, эксперты компании установили, что атакующие отправляли данные на IP-адреса из Афганистана, Ливана, Конго, Ливии, Нигера, Нигерии, Сомали и Замбии. Спутники, работающие в этом регионе, чаще всего не покрывают страны Европы и Северной Америки, делая расследование этих атак экспертами по безопасности, находящимися вне региона, невозможным. «Нам уже встречались по меньшей мере три разные кибергруппировки, которые также использовали спутниковый Интернет для маскировки своих операций. Однако вариант, который выбрала Turla, является наиболее интересным и необычным. С помощью своей тактики они добились максимального уровня анонимности, используя в общем-то широко распространенные технологии. Атакующие могут быть где угодно, поскольку территория, покрываемая спутником, может превышать тысячи квадратных километров. Так что отследить их практически невозможно», – рассказывает Стефан Танасе, старший антивирусный эксперт «Лаборатории Касперского». За этими операциями Turla, предположительно, стоят русскоязычные организаторы. К настоящему моменту от этой кампании кибер-шпионажа пострадали сотни пользователей в более чем 45 странах, в частности правительственные и дипломатические учреждения, военные, образовательные, исследовательские организации, а также фармацевтические компании.
Источник