그루지야는 러시아 기반 해커를 사진과 함께 내 보냅니다.

Cert.gov.geOne은 러시아 해커라고 주장하는 두 개의 이미지이다. 사진은 조지아 주정부에 의해 발표되었습니다.

사진 중 하나에 검은 머리카락에 턱수염이 나는 사용자가 자신의 컴퓨터 화면을 보며 어쩌면 무슨 일이 벌어 지는지에 의아해합니다. 몇 분 후 그는 컴퓨터가 연결되어 있음을 깨닫고 자신이 발견되었음을 알게되었다.

사진은 러시아에서 발생한 침입을 주장하는 보고서에 포함되어 있는데, 2008 년 8 월 조지아와의 5 일간의 군사 작전을 시작했다. 사이버 공격의 물결.

[추가 정보: Windows PC에서 악성 코드 제거 방법]

그 사진은 그루지아 정부의 컴퓨터 응급 대응 팀 (Cert.gov.ge)과 함께 조사관이 미끼로 관리 한 후 촬영되었습니다 그가 민감한 정보를 담고있는 파일이라고 생각한 것을 컴퓨터 사용자가 다운로드하도록했습니다. 실제로, 그것은 그것의 자신의 비밀 감시 프로그램을 포함하고있었습니다. 배경은 자신의 웹캠에서 가져온 것입니다.

배경

Georgia는 정부 관리에 소속 된 컴퓨터 파일이 러시아어 바이러스 백신에 의해 "의심스러운"것으로 표시 된 후 2011 년 3 월이 남성과 연결된 사이버 스파이를 조사하기 시작했습니다. 프로그램은 닥터 웹 (Dr. Web)이라고 불렀다.이 조사는 수많은 조지 왕조 뉴스 웹 사이트에 악의적 인 소프트웨어를 심어 놓은 정교한 작전을 드러 냈지만 해커가 목표로 삼을만한 사람들의 관심을 끌만한 특정 기사가있는 페이지에서만 가능하다고 조르지 구르 기니 지, 컴퓨터 보안 사고를 처리하는 Cert.gov.ge의 사이버 보안 전문가.

희생자를 유치하기 위해 선택된 뉴스 기사에는 "NATO 대표단 방문"과 "미국 - 그루지야 합의 및 회의"와 같은 헤드 라인이있었습니다.

전투의 세부 사항

CERT-Georgia는 누가 그 전나무가 누구인지 정확하게 말하지 않을 것이다. 세인트 감염된 컴퓨터가 속한. 그러나 그루지아의 선량한 사람들과 고도로 숙련 된 해커 또는 러시아에있는 해커 팀과의 서사적 전자전으로 가장 잘 묘사됩니다.

주요 기관에서 300-400 대의 컴퓨터가 감염되었음을 신속하게 발견했습니다 그리고 민감한 문서를 문제의 사람이 제어하는 ​​서버로 전송하는 것. 손상된 컴퓨터는 "Georbot"이라는 별명을 가진 봇넷을 형성했습니다. 악성 소프트웨어는 Microsoft Word 문서 및 PDF에서 특정 키워드 (예: 미국, 러시아, NATO 및 CIA)를 검색하도록 프로그래밍되었으며 결국 오디오 및 스크린 샷을 찍어 라. 사용자가 파일을 자신의 PC에 복사 한 후 문서가 드롭 서버에서 몇 분 내에 삭제되었습니다.

조지아는 문서를 수신하는 드롭 서버에 대한 연결을 차단했습니다. 감염된 컴퓨터는 악성 코드를 제거합니다. 그러나 그의 작업이 발견 되었음에도 불구하고 사용자는 멈추지 않았습니다. 사실, 그는 게임을 강화했다.

그는 다음 라운드에서 조지아 대통령으로부터 온 것으로 보이는 정부 관료에게 "[email protected]"라는 주소로 일련의 이메일을 보냈다. 이 이메일에는 법적인 정보를 포함하고있는 것으로 알려진 악성 PDF 첨부 파일이 포함되어 있으며 악성 코드를 유포하는 악용 사례가 있습니다.

악성 코드 나 악성 코드가 보안 소프트웨어에 의해 탐지되지 않았습니다.

PDF 공격의 작동 방식

PDF 공격은 표준 PDF 파일의 Base64로 인코딩 된 사본을 포함하는 XML 데이터 파일 인 XDP 파일 형식을 사용했습니다. 한 번에이 방법을 사용하여 모든 바이러스 백신 소프트웨어 및 침입 탐지 시스템을 피했습니다. 올해 6 월에 있었던 영국의 컴퓨터 응급 대응 팀 (Computer Emergency Response Team)은 정부 기관이 목표를 정한 후이를 경고했습니다. 조지아는 경고하기 1 년 전에 그러한 공격을 보았습니다. 조지아는 평균적인 해커를 다루지 않았지만 복잡한 공격에 대한 확고한 지식을 지닌 팀의 일원이었을 수도있는 주요 단서 중 하나였습니다.

"이 사람은 고급 스킬을 가졌다"고 구르 기니 제는 말했다.

2011 년 내내 공격은 계속되고 더 정교 해졌다. 수사관들은 문제의 사람이 적어도 러시아인 2 명과 독일인 1 명과 연결되어 있다는 사실을 알게되었습니다. 그는 일부 암호 포럼에서도 활발히 활동했습니다. 그 단서와 약간의 보안 관행이 수사관들에게 더 가까이 다가갔습니다.

그때 함정이 설치되었습니다.

조지아 관리는 사용자가 컴퓨터 중 하나를 의도적으로 감염 시키도록 허용했습니다. 그 컴퓨터에서 그들은 "조지아 나토 협정"이라는 제목의 ZIP 아카이브를 배치했습니다. 그는 미끼를 가지고 조사관의 감시 프로그램을 설치하게 만들었습니다.

거기에서 그의 웹캠이 켜져서 얼굴이 상당히 선명하게 보입니다. 그러나 5 ~ 10 분 후 사용자가 해킹 당했다는 것을 알았 기 때문에 연결이 끊어졌습니다. 그러나 몇 분 만에 그루지야 정부를 목표로했던 컴퓨터와 같은 문서가 문서로 채취되었습니다.

러시아어로 된 하나의 Microsoft Word 문서에는 감염시킬 대상과 방법에 대한 관리자의 지시가 포함되어 있습니다. 러시아의 개입을 가리키는 다른 정황 증거로는 악성 전자 메일을 보내는 데 사용 된 웹 사이트 등록이 포함되었습니다. 이 보고서는 이전에 KGB로 알려진 국가 안보국 (Federal Security Service)의 주소에 등록됐다고 보도했다.

"우리는 러시아 보안 당국을 다시 한번 확인했다"고 결론 지었다.

러시아와 그루지야 사이에 밝혀지지 않은 사진 속 남자가 러시아에 살면 기소 될 가능성은 희박하다.