Syryjski konflikt zagraża naszemu cyberbezpieczeństwu

W ciągu ostatnich kilku lat konflikty geopolityczne na Bliskim Wschodzie, a szczególnie w Syrii, uległy pogłębieniu. Konflikt cyberprzestępczy na tym obszarze zaostrza się, a obie strony próbują przechylić szalę zwycięstwa na swoją stronę, wykorzystując cyberwywiad i inne metody.

Przykłady syryjskiego szkodliwego oprogramowania Cyberprzestępcy powszechnie rozsyłają filmy w celu przyciągnięcia uwagi użytkowników i rozprzestrzeniania szkodliwego oprogramowania. Jednym z przykładów jest wideo pokazujące zranione ofiary niedawnego ataku bombowego, który miał wzbudzić strach w oglądających i skłonić ich do pobrania szkodliwej aplikacji z publicznego serwisu współdzielenia plików. Plik ten został mocno ukryty przy użyciu komercyjnego narzędzia MaxToCode, aby zapobiec wykryciu go przez rozwiązania antywirusowe. Po uruchomieniu pliku tworzony jest kolejny plik, który komunikuje się z narzędziami [zdalnego dostępu](https://www.dobreprogramy.pl/Zdalny-dostep-dla-specjalistow-IT,Programy,Windows,247.html). W tym przypadku trojan jest wykorzystywany do wyłączenia części ustawień bezpieczeństwa, rejestrowania wciskanych klawiszy i informacji systemowych, a potem odesłania ich po nawiązaniu połączenia z internetem.

Wśród próbek szkodliwego oprogramowania zbadanych przez Kaspersky Lab znajdował się skompresowany zestaw plików znalezionych na popularnym serwisie społecznościowym, rzekomo zawierające listę aktywistów oraz osób poszukiwanych w Syrii. Znajdował się tam odsyłacz umożliwiający pobranie bazy danych, który w rzeczywistości przekierowywał użytkowników do serwisu współdzielenia plików. Tam znajdował się skompresowany plik (RAR), zawierający szkodliwe oprogramowanie wraz z narzędziem zdalnej administracji wykorzystywanym przez cyberprzestępców.

Fałszywe aplikacje, w tym programy antywirusowe, cieszą się popularnością wśród cyberprzestępców. Kalkulatory, moduły ładujące gry itd. są wykorzystywane do rozpowszechniania szkodliwego oprogramowania. Jednym z przykładów jest Ammazon Internet Security - szkodliwa aplikacja, próbująca podszywać się pod skaner bezpieczeństwa. Analiza jego kodu pokazała, że duża część funkcjonalności jest związana z interfejsem programu, nie posiada on jednak rzeczywistych funkcji zabezpieczających komputer. Nie oferując niczego poza kilkoma przyciskami i chwytliwą nazwą, grupy stojące za syryjskim szkodliwym oprogramowaniem mają nadzieję, że ich cele wpadną w zastawione sidła. Ukradkowe odpalenie narzędzia zdalnej administracji podczas uruchamiania "pakietu bezpieczeństwa" powoduje, że na komputerach ofiar nie ma żadnej ochrony, jest natomiast zainstalowane narzędzie pozwalające na zdalny dostęp do komputera. Narzędzia wykorzystywane do rozprzestrzeniania szkodliwych programów obejmują komunikatory, które wykorzystują
również autorzy syryjskiego szkodliwego oprogramowania. W przeciwieństwie do Ammazon Internet Security, próbki te nie posiadają interfejsu graficznego ani nawet komunikatu ostrzegającego użytkowników, aby zatroszczył się o swoje bezpieczeństwo - od razu infekują system.

Z badania wynika, że do szpiegowania stosowane są także legalne aplikacje z wbudowanym szkodliwym oprogramowaniem. Oferowanie spreparowanych aplikacji, teoretycznie chroniących przed szpiegostwem, to jedna z wielu technik wykorzystywanych przez grupy tworzące szkodliwe oprogramowanie, aby nakłonić użytkowników do ich zainstalowania. Przykładem może być Total Network Monitor, który został zmodyfikowany przez cyberprzestępców tak, aby zbierał informacje systemowe, ukrywając jednocześnie całą szkodliwą aktywność do momentu pełnej instalacji w pełni legalnego narzędzia. ##Zrozumieć pułapkę Syryjskie szkodliwe oprogramowanie opiera się w dużej mierze na socjotechnice oraz aktywnym rozwoju wariantów szkodników, coraz bardziej zaawansowanych technicznie. Jednak po bliższym zbadaniu większość z tych programów szybko ujawnia swą prawdziwą naturę. Między innymi dlatego użytkownicy powinni dokładnie sprawdzać, skąd pobierają pliki/aplikacje i stosować wielowarstwową ochronę. Posiadanie uaktualnionego, skutecznego
programu antywirusowego oraz zapory sieciowej powinno być pierwszym krokiem podjętym przez użytkowników, którzy w jakikolwiek sposób korzystają z internetu.

"Połączenie kilku czynników, takich jak socjotechnika, szybki rozwój aplikacji oraz zdalne narzędzia administracji wykorzystywane do przejęcia całego systemu ofiary, tworzy niepokojący scenariusz dla niczego niepodejrzewających użytkowników. Sądzimy, że ataki dokonywane przy użyciu syryjskiego szkodliwego oprogramowania nadal będą przeprowadzane, a ich ewolucja będzie miała charakter zarówno jakościowy, jak i ilościowy. Dlatego też użytkownicy - nawet spoza terytorium Bliskiego Wschodu - powinni zachować szczególną ostrożność wobec podejrzanych odsyłaczy, dokładnie sprawdzać, co pobierają oraz mieć zainstalowane niezawodne i wszechstronne rozwiązanie bezpieczeństwa" - wyjaśnia Ghareeb Saad z Kaspersky Lab.

W celu zidentyfikowania szkodliwego oprogramowania, aplikacje służące naszemu bezpieczeństwu wykorzystują wykrywanie oparte na sygnaturach lub heurystyce. To pierwsze polega na wyszukiwaniu niepowtarzalnej sekwencji bajtów, która jest typowa dla danego fragmentu szkodliwego kodu, podczas gdy w wykrywaniu heurystycznym szkodliwe oprogramowanie jest identyfikowane na podstawie zachowania aplikacji. W badaniu przeprowadzonym przez Kaspersky Lab zebrano ponad 80 próbek szkodliwego oprogramowania wykorzystywanych do atakowania obywateli syryjskich oraz użytkowników z Bliskiego Wschodu. Chociaż większość z nich było już znanych, cyberprzestępcy wykorzystują szeroki wachlarz narzędzi i technik kamuflażu, aby zmienić strukturę oprogramowania i obejść wykrywanie oparte na sygnaturach. To dowodzi, jak istotne są technologie heurystyczne w przypadku ochrony przed tego rodzaju atakami. Rozwiązania bezpieczeństwa firmy Kaspersky Lab wykryły wszystkie próbki z kolekcji dzięki możliwości identyfikowania wariantów znanych
rodzajów szkodliwego oprogramowania, a nawet ich nowych rodzin.

Polecamy w wydaniu internetowym chip.pl: Poradnik: Storage, czyli bezpieczeństwo