10 dicembre 2016

ProjectSauron: la piattaforma di spionaggio di massimo livello ruba le comunicazioni governative criptate

A settembre 2015, la soluzione Anti-Targeted Attack Platform di Kaspersky Lab ha scoperto una funzionalità insolita nel network di un’organizzazione sua cliente. L’anomalia ha portato i ricercatori a “ProjectSauron”, un gruppo criminale supportato da uno stato-nazione che attacca organizzazioni nazionali con un set unico di tool per ciascuna vittima, rendendo praticamente inutili i tradizionali indicatori di compromissione. Lo scopo di questi attacchi sembra essere principalmente il cyber spionaggio.

ProjectSauron è particolarmente interessato a ottenere accesso alle comunicazioni criptate, attraverso una piattaforma avanzata e modulare di cyber spionaggio che incorpora un set di tool e tecniche unici. La caratteristica più notevole delle tattiche di ProjectSauron è l’elusione deliberata di schemi: ProjectSauron personalizza i propri impianti e infrastrutture per ciascun obiettivo e non li riutilizza mai. Questo approccio, insieme a router multipli usati per l’esfiltrazione dei dati, come canali email legittimi e DNS, permette a ProjectSauron di condurre campagne di spionaggio segrete e a lungo termine nei network presi di mira.

ProjectSauron dà l’impressione di essere un gruppo tradizionale esperto che si è notevolmente impegnato nello studio di altri gruppi molto avanzati, come Duqu, Flame, Equation e Regin, adottando alcune delle sue tecniche più innovative e migliorando le proprie tattiche per non venire scoperti.

Principali caratteristiche

I tool e le tecniche di ProjectSauron di particolare interesse includono:

  • Un’impronta unica: i nomi dei file dei diversi impianti e le loro dimensioni sono differenti e sono appositamente realizzati per ciascun obiettivo, il che rende molto difficile il rilevamento in quanto gli stessi indicatori base di compromissione non sarebbero di alcun valore per qualsiasi altro obiettivo.
  • Eseguiti nella memoria: gli impianti usano script di aggiornamenti software legittimi e funzionano da backdoor, scaricando nuovi moduli o lanciando comandi provenienti dai criminali semplicemente in memoria.
  • Una predilezione per le comunicazioni criptate: ProjectSauron cerca attivamente informazioni su un software tra i più rari e personalizzabili per la crittografia dei network. Questo software client-server è ampiamente adottato da molte delle organizzazioni prese di mira per ottenere comunicazioni sicure, che si tratti di scambi vocali, email o documenti. I criminali sono particolarmente interessati ai componenti del software di crittografia, a chiavi, file di configurazione e posizione dei server che trasmettono i messaggi criptati tra i nodi.
  • Flessibilità basata su script: il gruppo ProjectSauron ha implementato un set di tool di basso livello controllati da script LUA di alto livello. L’uso dei componenti LUA nei malware è molto raro – è stato sinora scoperto solo negli attacchi Flame e Animal Farm.
  • Bypassare gli air-gap: ProjectSauron utilizza drive USB realizzati appositamente per raggiungere i network protetti da air-gap. I drive USB contengono partizioni nascoste in cui vengono celati i dati rubati.
  • Meccanismi di esfiltrazione unici: ProjectSauron implementa diversi percorsi per l’esfiltrazione di dati, compresi canali legittimi come le email e i DNS, con informazioni rubate dal traffico giornaliero della vittima.

Profilo delle vittime e geografia

Finora, sono state identificate più di 30 organizzazioni colpite in Russia, Iran e Ruanda e potrebbero essere stati coinvolti Paesi di lingua italiana. Crediamo che molte altre organizzazioni, situate in diversi Paesi, verranno probabilmente colpite.

Sulla base delle nostre analisi, le organizzazioni colpite generalmente giocano un ruolo importante nell’offerta di sevizi statali e includono:

  • Pubblica amministrazione
  • Settore militare
  • Centri di ricerca scientifica
  • Operatori di telecomunicazioni
  • Organizzazioni finanziarie

Un’analisi forense indica che ProjectSauron è ha iniziato le sue operazioni a giugno 2011 ed è ancora attivo nel 2016. Il vettore d’infezione iniziale usato da ProjectSauron per infiltrarsi nel network preso di mira rimane sconosciuto.

“Diversi attacchi mirati si basano ora su tool a basso costo e immediatamente disponibili. ProjectSauron, invece, è uno di quelli che utilizzano tool fidati, sviluppati in house e con codice personalizzabile. L’utilizzo singolo di indicatori unici, come i server di controllo, le chiavi di crittografia, e così via, insieme all’adozione di tecniche all’avanguardia usate da altri gruppi criminali, è abbastanza nuovo. L’unico modo per resistere a queste minacce è avere molti livelli di protezione, basati su una catena di sensori che monitorano anche la minima anomalia nel flusso di lavoro, a cui si aggiunge l’intelligence sulle minacce e l’analisi forense per trovare gli schemi anche quando sembra che non ce ne siano”, ha commentato Vitaly Kamluk, Principal Security Researcher di Kaspersky Lab.

Il costo, la complessità, la persistenza e lo scopo finale dell’operazione – rubare informazioni confidenziali e segrete a organizzazioni con legami con lo stato – suggeriscono il coinvolgimento o il supporto di uno stato-nazione.

Gli esperti di sicurezza di Kaspersky Lab suggeriscono alle organizzazioni di condurre un controllo su tutta la rete informatica e sugli endpoint e di implementare le seguenti misure:

  • Introdurre una soluzione contro gli attacchi mirati in aggiunta alla nuova o esistente protezione endpoint. La protezione endpoint da sola non è sufficiente a contrastare la prossima generazione di minacce.
  • Chiamare gli esperti se le soluzioni rilevano un’anomalia. Le soluzioni di sicurezza più avanzate sono in grado di scoprire un attacco nello stesso momento in cui inizia e i professionisti di sicurezza sono a volte gli unici che possono effettivamente bloccare, mitigare e analizzare i principali attacchi.
  • Completare la protezione con servizi di intelligence sulle minacce, che informano i team di sicurezza sulle ultime evoluzioni nel panorama delle minacce, sui trend di attacco e sui segnali da cercare.
  • Infine, ma non meno importante, considerato che molti tra i principali attacchi iniziano con lo spear-phishing o con un altro approccio agli impiegati, è importante assicurarsi che lo staff comprenda e adotti un comportamento informatico responsabile.

Il report completo su ProjectSauron è già stato reso disponibile per gli utenti dei servizi di intelligence sulle APT di Kaspersky Lab. Ulteriori informazioni su: http://www.kaspersky.com/enterprise-security/apt-intelligence-reporting

Gli indicatori di compromissione e le YARA rules sono disponibili.

Tutti i prodotti Kaspersky Lab rilevano i campioni di ProjectSauron come HEUR:Trojan.Multi.Remsec.gen.

Per avere ulteriori informazioni su ProjectSauron è possibile leggere il blogpost su Securelist.com.

Scopri di più su come i prodotti Kaspersky Lab riescano a proteggere gli utenti da questa minaccia.