Οι ειδικοί της Kaspersky έφεραν στην επιφάνεια ένα άγνωστο αλλά εξαιρετικά εξελιγμένο κακόβουλο λογισμικό, το StripedFly, το οποίο έχει κάνει αισθητή την παρουσία του με πάνω από ένα εκατομμύριο κυβερνοεπιθέσεις παγκοσμίως. Λειτουργώντας αρχικά ως cryptocurrency miner (εξορύκτης κρυπτονομισματων), αποδείχθηκε ότι πρόκειται για ένα πολύπλοκο κακόβουλο λογισμικό με ένα εξεζητημένο τρόπο λειτουργίας.
Το 2022, η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky κατά την εκτέλεση του WININIT.EXE εντόπισε δύο απροσδόκητα ευρήματα. Αυτή η εξέλιξη προκλήθηκε από ακολουθίες κώδικα παρόμοιες με εκείνες που είχαν παρατηρηθεί και στην περίπτωση του Equation malware. Από το 2017, που είχε ξεκινήσει αυτήν τη δραστηριότητα, τo StripedFly είχε καταφέρει να μην γίνει αντιληπτό, έχοντας κατηγοριοποιηθεί λανθασμένα ως cryptocurrency miner. Έπειτα από ενδελεχή έρευνα, αποδείχτηκε πως το cryptocurrency miner ήταν απλώς ένα κομμάτι μιας αρκετά πιο πολύπλοκης απειλής.
Το συγκεκριμένο κακόβουλο λογισμικό μπορεί να εμφανιστεί είτε ως απειλή τύπου APT, είτε ως εξορύκτης κρυπτονομισματων (crypto miner) αλλά ακόμη και σαν ένα σύστημα κακόβουλου λογισμικού. Έτσι, λόγω της πολυπλοκότητας, δημιουργούνται πολλαπλά κίνητρα στους επίδοξους δράστες. Παράλληλα, αξίζει να σημειωθεί ότι το κρυπτονόμισμα Monero, που προκύπτει μέσα από αυτήν τη λειτουργία, έφτασε στα 542,33 δολάρια (την ανώτατη τιμή του) στις 9 Ιανουαρίου 2018, σε σύγκριση με την αξία του 2017 που ήταν περίπου 10 δολάρια. Κατά τη διάρκεια του τρέχοντος έτους η αξία του κυμάνθηκε γύρω στα 150 δολάρια. Οι ειδικοί της Kaspersky τονίζουν ότι ο πρωταρχικός λόγος που δεν είχε εντοπιστεί το malware ήταν η λειτουργία του ως εξορύκτης κρυπτονομισματων (crypto miner).
Επιπρόσθετα, ο δράστης αποκτά τη δυνατότητα να παρακολουθεί τους χρήστες τους οποίους έχει μολύνει με το κακόβουλο λογισμικό. Το κακόβουλο λογισμικό μπορεί να συλλέγει ανά δυο ώρες ευαίσθητα προσωπικά δεδομένα, όπως κωδικούς πρόσβασης ή ακόμα και το όνομα, τη διεύθυνση, τον αριθμό τηλεφώνου, την εταιρεία αλλά και τον τίτλο εργασίας του θύματος. Επιπλέον, μπορεί να κάνει λήψη στιγμιότυπων οθόνης, να αποκτήσει τον έλεγχο του συστήματος αλλά και να ανοίξει το μικρόφωνο της συσκευής κατά το δοκούν, χωρίς να γίνει αντιληπτό.
Όλες αυτές οι δυνατότητες ήταν άγνωστες μέχρι την έρευνα της Kaspersky, η οποία αποκάλυψε τη χρήση του εξατομικευμένου exploit ‘’EternalBlue SMBv1’’ που στόχευε στην απόκτηση πρόσβασης στο σύστημα του θύματος. Η απειλή παραμένει σημαντική καθώς πολλοί χρήστες δεν έχουν ενημερώσει τα συστήματά τους, παρότι η Microsoft κυκλοφόρησε ένα patch (με την ονομασία MS17-010), με την ευπάθεια του EternalBlue να είναι γνωστή στο ευρύ κοινό από το 2017.
Στην τεχνική ανάλυση της έρευνας της Kaspersky, οι ειδικοί παρατήρησαν ομοιότητες με το κακόβουλο λογισμικό Equation, καθώς τα τεχνικά χαρακτηριστικά, το στυλ κωδικοποίησης αλλά και οι εφαρμοσμένες πρακτικές έχουν πολλά κοινά χαρακτηριστικά με το StraitBizzare (SBZ) malware. Με βάση την καταμέτρηση των λήψεων στις οποίες είχε εγκατασταθεί το malware, ο εκτιμώμενος αριθμός των στόχων του StripedFly έφτασε πάνω από ένα εκατομμύριο θύματα σε όλο τον κόσμο.
«Το μέγεθος της προσπάθειας που καταβλήθηκε για τη δημιουργία αυτού του τύπου απειλής ήταν κάτι πρωτόγνωρο αλλά και η ανακάλυψή του ήταν εξίσου εντυπωσιακή. Η ικανότητα των εγκληματιών του κυβερνοχώρου να προσαρμόζονται και να εξελίσσονται αποτελεί μια συνεχή πρόκληση, γι' αυτό είναι τόσο σημαντικό για εμάς ως ερευνητές να συνεχίσουμε να αφιερώνουμε τις προσπάθειές μας στην αποκάλυψη εξελιγμένων απειλών στον κυβερνοχώρο. Πρέπει να αποτελεί προτεραιότητα για τους πελάτες μας να μην ξεχνούν τη σημασία της προστασίας από το έγκλημα στον κυβερνοχώρο», σχολιάζει ο Sergey Lozhkin, Principal Security Researcher στην Παγκόσμια Ομάδα Έρευνας και Ανάλυσης (GReAT) της Kaspersky.
Για να αποφύγετε να πέσετε θύμα στοχευμένης επίθεσης από οποιονδήποτε φορέα απειλής, οι ερευνητές της Kaspersky συνιστούν την εφαρμογή των ακόλουθων μέτρων:
- Ενημερώστε τακτικά το λειτουργικό σας σύστημα, τις εφαρμογές και το λογισμικό προστασίας από ιούς.
- Να είστε προσεκτικοί σε μηνύματα ηλεκτρονικού ταχυδρομείου, μηνύματα ή κλήσεις που σας ζητούν ευαίσθητες πληροφορίες. Επαληθεύστε την ταυτότητα του αποστολέα προτού μοιραστείτε οποιαδήποτε προσωπική πληροφορία ή κάνετε κλικ σε ύποπτους συνδέσμους.
- Παρέχετε στην ομάδα σας πρόσβαση στα νέα δεδομένα σχετικά με το threat intelligence (TI). Το Kaspersky Threat Intelligence Portal είναι μια ιδανική εφαρμογή για κάθε επιχείρηση, η οποία παρέχει όλη την τεχνογνωσία και δεδομένα που έχει συλλέξει η Kaspersky τις δυο τελευταίες δεκαετίες.
- Εκπαιδεύστε την ΙΤ ομάδα της επιχείρησης σας με το Kaspersky online training που αναπτύχθηκε από ειδικούς της GReAT.
- Για τον εντοπισμό, τη διερεύνηση και την έγκαιρη αποκατάσταση περιστατικών σε επίπεδο τερματικού σημείου, εφαρμόστε λύσεις EDR, όπως το Kaspersky Endpoint Detection and Response.
