Tor-verkosta haittaohjelmia - jäljet johtavat Venäjälle
Muutama viikko sitten kerroimme, että Tor-verkon kautta levitetään haittaohjelmia. Lähteeksi epäiltiin venäläistä palvelinta, ja F-Securen juuri julkaisemat havainnot tukevat käsitystä.
F-Securen blogissa kerrotaan, mitä yhtiön tutkijat saivat selville asiaa penkoessaan. ”Kaniininkolo osoittautui paljon odotettua syvemmäksi”, kuvaillaan löydöksiä.
Jäljet johtivat venäläiseen MiniDuke-hyökkäysohjelmaan, jota tiedetään käytetyn muun muassa Natoa ja eurooppalaisia hallituksia vastaan tehdyissä kyberhyökkäyksissä. F-Secure päätyi kutsumaan löytämäänsä haittaohjelmaa nimellä OnionDuke, koska se kuuluu eri haittaohjelmaperheeseen.
Levitystekniikkana käytetään kätkemistä. Kun käyttäjä lataa Tor-verkon kautta suoritettavan tiedoston, pahantahtoinen solmukone antaakin tiedoston (wrapper), johon on pakattu alkuperäisen tiedoston lisäksi haittaohjelma.
Paketoimalla harhautetaan tiedostojen vertailuun perustuva tarkistus. Koneelle päästyään wrapper-tiedosto haittaohjelman asentamisen lisäksi ajaa odotetun tiedoston, joten uhrin mielestä kaikki näyttää olevan kunnossa.
Itse haittaohjelma ottaa sitten yhteyden hyökkääjien saastuttamille sivuille, joilta ladataan lisää ikävyyksiä. F-Securen mukaan käytettyjä sivustoja on viisi. Näillä haittaohjelmilla varastetaan tietoja koneelta ja urkitaan myös käytettyjä suojausmenetelmiä.
Vaikka tähän kakkosvaiheeseen käytetään viattomia sivustoja eikä hyökkääjien omia palvelimia, joitakin jälkiä on silti jäänyt. Yhden käytetyistä domaineista on rekisteröinyt John Kasai -nimeä käyttävä taho, joka on parissa viikossa rekisteröinyt myös suuren joukon viattomilta kuulostavia muita domaineja. Osaa näistä on hyödynnetty myös Nato-hyökkäyksissä käytetyn MiniDuken levittämiseen.
F-Securen mukaan myös OnionDukea on käytetty eurooppalaisia viranomaisia vastaan, vaikka sen toimintafilosofia on varsin erilainen. Tarkoin tähdättyjen hyökkäysten sijasta ammutaan umpimähkään ja toivotaan osumia.
Blogissa varoitetaan lataamasta binääritiedostoja Tor-verkon kautta, koska on mahdotonta tietää, kenen hallussa niitä välittävät verkon solmut ovat.
Lähde: Tivi
http://www.mpc.fi/uutisia/torverkosta haittaohjelmia jaljet johtavat venajalle/a1028835
Muutama viikko sitten kerroimme, että Tor-verkon kautta levitetään haittaohjelmia. Lähteeksi epäiltiin venäläistä palvelinta, ja F-Securen juuri julkaisemat havainnot tukevat käsitystä.
F-Securen blogissa kerrotaan, mitä yhtiön tutkijat saivat selville asiaa penkoessaan. ”Kaniininkolo osoittautui paljon odotettua syvemmäksi”, kuvaillaan löydöksiä.
Jäljet johtivat venäläiseen MiniDuke-hyökkäysohjelmaan, jota tiedetään käytetyn muun muassa Natoa ja eurooppalaisia hallituksia vastaan tehdyissä kyberhyökkäyksissä. F-Secure päätyi kutsumaan löytämäänsä haittaohjelmaa nimellä OnionDuke, koska se kuuluu eri haittaohjelmaperheeseen.
Levitystekniikkana käytetään kätkemistä. Kun käyttäjä lataa Tor-verkon kautta suoritettavan tiedoston, pahantahtoinen solmukone antaakin tiedoston (wrapper), johon on pakattu alkuperäisen tiedoston lisäksi haittaohjelma.
Paketoimalla harhautetaan tiedostojen vertailuun perustuva tarkistus. Koneelle päästyään wrapper-tiedosto haittaohjelman asentamisen lisäksi ajaa odotetun tiedoston, joten uhrin mielestä kaikki näyttää olevan kunnossa.
Itse haittaohjelma ottaa sitten yhteyden hyökkääjien saastuttamille sivuille, joilta ladataan lisää ikävyyksiä. F-Securen mukaan käytettyjä sivustoja on viisi. Näillä haittaohjelmilla varastetaan tietoja koneelta ja urkitaan myös käytettyjä suojausmenetelmiä.
Vaikka tähän kakkosvaiheeseen käytetään viattomia sivustoja eikä hyökkääjien omia palvelimia, joitakin jälkiä on silti jäänyt. Yhden käytetyistä domaineista on rekisteröinyt John Kasai -nimeä käyttävä taho, joka on parissa viikossa rekisteröinyt myös suuren joukon viattomilta kuulostavia muita domaineja. Osaa näistä on hyödynnetty myös Nato-hyökkäyksissä käytetyn MiniDuken levittämiseen.
F-Securen mukaan myös OnionDukea on käytetty eurooppalaisia viranomaisia vastaan, vaikka sen toimintafilosofia on varsin erilainen. Tarkoin tähdättyjen hyökkäysten sijasta ammutaan umpimähkään ja toivotaan osumia.
Blogissa varoitetaan lataamasta binääritiedostoja Tor-verkon kautta, koska on mahdotonta tietää, kenen hallussa niitä välittävät verkon solmut ovat.
Lähde: Tivi
http://www.mpc.fi/uutisia/torverkosta haittaohjelmia jaljet johtavat venajalle/a1028835
Vastaukset
Vanhimmat
Ei vielä vastauksia
Aloittaja odottaa vastauksia. Kerro oma näkemyksesi ensimmäisenä.