Uroburos - potężny wirus rządowy o rosyjskich korzeniach

Eksperci bezpieczeństwa z laboratorium G Data w Bochum zidentyfikowali wyrafinowany oraz wysoce złożony spyware, przygotowany najprawdopodobniej przez rządowych programistów. Oprogramowanie zaprojektowano celem wykradania najbardziej poufnych danych z sieci komputerowych o wysokim potencjale i wartości przechowywanych w nich informacji.

Są to przede wszystkim instytucje rządowe, służby wywiadowcze czy duże międzynarodowe korporacje. Rootkit określany jako Uroburos działa w pełni automatycznie rozprzestrzeniając się w zaatakowanej sieci samodzielnie. Komputery nie posiadające bezpośredniego dostępu do internetu, także mogą stać się celem jego ataku. Specjaliści z G Data są przekonani, że stworzenie takiego malware’u wymagało ogromnych inwestycji w kadry oraz samą infrastrukturę. Sam projekt oraz wysoce zaawansowana budowa opisywanego złośliwego oprogramowania pozwala upatrywać źródeł jego pochodzenia w kręgach związanych ze służbami specjalnymi i agencjami rządowymi zajmującymi się bezpieczeństwem.

Na podstawie detali technicznych, jak nazewnictwo plików, szyfrowanie czy zachowania samego softu można wnioskować, że za Uroburosem stoją sprawcy cyberataku na USA z 200. roku. Do ataku na sieci wojskowe wykorzystano wtedy malware o nazwie Agent.BTZ. Eksperci szacują, że złośliwe oprogramowanie szpiegujące mogło pozostawać w ukryciu przez ostatnie 3 lata.

Uroburos to rootkit składający się z dwóch plików –. sterownika oraz zaszyfrowanego wirtualnego systemu plików. Prowadzący atak może użyć złośliwego oprogramowania do przejęcia kontroli nad zainfekowanym komputerem, zdalnie wykonać kod dowolnego programu, by następnie zamaskować swoje działania w zainfekowanym systemie. Uroburos jest również zdolny do kradzieży danych oraz monitorowania ruchu sieciowego. Modułowa struktura pozwala twórcom na dokonywanie rozszerzeń dodających nowe funkcjonalności. Właśnie ze względu na swoją elastyczność i modułowość budowy specjaliści określają Uroburosa jako niezwykle zaawansowany i niebezpieczny malware.

Złożoność oraz konstrukcja Uroburosa świadczy o ogromnych kosztach poniesionych podczas jego tworzenia, co pozwoliło na osiągnięcia tak wysokiego poziomu zaawansowania. Cyberprzestępcy czy nawet największe zorganizowane grupy przestępcze działające w sieci nie byłyby w stanie sprostać takiemu wyzwaniu, wszelkie tropy prowadzą do tajnych służb lub innych agencji rządowych. Jednego możemy być pewni, odkrywając tajemnice Uroburosa: jego twórcy mogli opracować jeszcze bardziej skomplikowany kod, którego dotychczas nie odkryto.

Uroburos został zaprojektowany do działania w olbrzymich sieciach należących do korporacji, jednostek rządowych, organizacji lub jednostek badawczych. Rootkit rozprzestrzenia się w sposób niezależny, działając w trybie P2P, dzięki czemu zainfekowane komputery w zaatakowanej sieci komunikują się ze sobą. Atakującym wystarczy jedynie jeden komputer, tzw. „styk”. z dostępem do internetu. Model ataku pokazuje, że odpowiedzialni za Uroburosa liczyli się z sytuacją, kiedy to atakowana sieć obejmuje komputery nie posiadające podłączenia do internetu. Tłumaczy to szpiegowane wszystkich stacji klienckich w sieci. Po zdobyciu interesujących sprawców danych, przesyłane są one do innego zaatakowanego komputera posiadającego dostęp do sieci, a następnie eksportowane są do serwera kontrolowanego przez dokonujących ataku. Uroburos działa na systemach 32 i 64 bitowych od Microsoftu.

Za rootkitem Uroburos stoją najprawdopodobniej ci sami sprawcy, co za atakami na sieć wojskową USA CENTCOM z 200. roku. Wykorzystano wtedy szkodliwe oprogramowanie o nazwie agent.BTZ. Uroburos sprawdza atakowaną maszynę pod kątem jego zawartości. Jeżeli złośliwe oprogramowanie agent.BTZ jest już zainstalowane na atakowanym komputerze odstępuje od zaplanowanych działań. Specjaliści G Data Software podczas analizy pliku natrafili na wskazówki mówiące, że twórcy rootkita komunikują się w języku rosyjskim.

Od samego początku celem nie był zwykły użytkownik internetu. Wysiłki towarzyszące stworzeniu Uroburosa mogą być uzasadnione jedynie jego przeznaczeniem, którym jest atak na wysoce wartościowe cele, jak sieci dużych korporacji, służb wywiadowczych, instytucji publicznych, organizacji i tym podobnych.

Najstarszy sterownik, na który natrafiono podczas analizy został opracowany w 201. roku. Data ta wskazuje na moment od którego szkodliwe oprogramowanie działało w ukryciu.

Jak do tej pory nie było możliwe ustalenie w jaki sposób Uroburos przenikał do atakowanych sieci. Specjaliści analizujący działanie rootkita biorą pod uwagę atak typu spear phishing, infekcje drive-by-download lub wymyślny atak socjotechniczny.

Malware został nazwany jednym ze słów wykorzystanych w sekwencji kodu źródłowego. Jest to określenie antycznego greckiego węża pożerającego swój własny ogon, który jednocześnie cały czas się odradza. Symbolizuje to nieskończoność działań, ciągłą destrukcje i odradzanie zarazem.

Źródło: G Data / JG, WP.PL

-/jg/jg

Rewelacyjne oprogramowanie antywirusowe w supercenach! Chroń swój komputer!