수 년 동안 야생에서 데이터를 훔친 후 발견 된 적색 악성 프로그램

미국의 목표를 포함하여 5 년 이상 외계인, 정부 및 과학 연구 컴퓨터 네트워크에서 전 세계적으로 지능 데이터를 사이퍼했다. 카스퍼 스키 랩 (Kaspersky Lab)으로부터의보고

카스퍼 스키 랩은 10 월에 맬웨어 공격에 대한 연구를 시작했으며 "Rocro"는 "Red October"의 약자입니다. Rocra는 Microsoft Excel, Word 및 PDF 문서 유형의 여러 보안 취약점을 사용하여 PC, 스마트 폰 및 컴퓨터 네트워킹 장비. 화요일에 연구원들은 맬웨어 플랫폼이 웹 기반 Java 익스플로잇도 사용하고 있음을 발견했습니다.

공격의 배경은 누구인지는 분명하지 않지만 Rocra는 원래 중국 해커가 만든 적어도 3 건의 공개 된 악용 사례를 사용합니다. 카스퍼스키랩 (Kaspersky Lab)의 보고서에 따르면, Rocra의 프로그래밍은 러시아어를 사용하는 별도의 단체에서 나온 것으로 보입니다.

[추가 정보: 새 PC에 15 가지의 무료 프로그램이 필요합니다.]

공격은 스피어 낚시 (spear-fishing) 공격으로 알려진 고위급 기관을 지속적으로 목표로 삼고 있습니다. 카스퍼 스키는 레드 10 월 공격이 2007 년 5 월 초에 가능할 것으로 예상되는 시간에 수백 테라 바이트의 데이터를 확보했다고 추정합니다.

Rocra 감염은 2011 년부터 2012 년까지 300 개국 이상에서 발견되었습니다. 카스퍼 스키 안티 바이러스 제품 정보. 영향을받은 국가는 주로 러시아 (35 건), 카자흐스탄 (21 건), 아제르바이잔 (15 건)을 포함하여 소련 국가 원이었습니다. 감염률이 높은 국가로는 벨기에 (15 건), 인도 아프가니스탄 (10 명), 아르메니아 (10 명). 미국에있는 대사관에서 6 건의 감염이 발견되었습니다. 이 수치는 카스퍼 스키 소프트웨어를 사용하는 컴퓨터에서만 발생했기 때문에 실제 감염 건수는 훨씬 더 많을 수 있습니다.

카스퍼 스키는 Rocra에서 사용 된 악성 코드가 PC 워크 스테이션 및 PC에 연결된 스마트 폰의 데이터를 도용 할 수 있다고 말했습니다 iPhone, Nokia 및 Windows Mobile 핸드셋. Rocra는 시스코 브랜드 장비에서 네트워크 구성 정보를 수집하고 삭제 된 데이터를 포함한 이동식 디스크 드라이브에서 파일을 가져올 수 있습니다. 맬웨어 플랫폼은 전자 메일 메시지 및 첨부 파일을 도용하고 감염된 시스템의 모든 키 스트로크를 기록하며 스크린 샷을 찍고, Chrome, Firefox, Internet Explorer 및 Opera 웹 브라우저에서 인터넷 사용 기록을 수집 할 수 있습니다. 로커는 로컬 네트워크 FTP 서버에 저장된 파일을 가져 와서 로컬 네트워크를 통해 복제 할 수 있습니다.

물론 진행 과정

Rocra의 기능이 광범위하게 나타나지만 보안 분야의 모든 사람 Rocra의 공격 방법에 깊은 인상을 받았습니다. 보안 회사 인 F-Secure는 자사의 블로그에서 "사용 된 악용 사례는 전혀 발전하지 못했습니다. "공격자들은 오래되고 잘 알려진 Word, Excel 및 Java 공격을 사용했습니다. 지금까지 제로 데이 취약점에 대한 징후는 보이지 않았습니다. "제로 데이 취약점은 이전에 알려지지 않은 야생에서 발견 된 악용을 의미합니다. 기술 능력으로는별로 인상적이지 않지만 F-Secure는 레드 10 월 공격 Rocra가 활동적이었던 시간의 길이와 단일 그룹에 의해 착수 된 간첩의 규모 때문에 흥미 롭습니다. "그러나,"F-Secure는 덧붙였다. "슬픈 진실은 회사와 정부가 여러 가지 다른 소스로부터 비슷한 공격을 받고 있다는 것입니다."Rocra는 피해자가 악성 생산성 파일 (Excel, Word, PDF)을 다운로드하고 열면 Rocra의 악성 코드를 더 많이 검색 할 수 있습니다. 명령 및 제어 서버, 트로이 dropper로 알려진 방법. 이 두 번째 악성 프로그램에는 데이터를 수집하여 해당 정보를 다시 해커에게 전송하는 프로그램이 포함되어 있습니다.

도난당한 데이터는 일반 텍스트, 서식있는 텍스트, Word 및 Excel과 같은 일상적인 파일 형식을 포함 할 수 있지만 Red October 공격은 pgp 및 gpg 암호화 파일과 같은 암호화 데이터도 처리합니다.

또한 Rocra는 "Acid Cryptofile"확장은 유럽 연합 및 북대서양 조약기구를 포함한 정부 및 기관에서 사용하는 암호화 소프트웨어입니다. Rocra 뒤에있는 사람들이 그들이 얻은 암호화 된 데이터를 해독 할 수 있는지 여부는 명확하지 않습니다.

전자 메일 갱생

Rocra는 특히 Kaspersky에 따르면 법 집행 기관의 간섭에 특히 저항합니다. 캠페인의 명령 및 제어 서버가 종료 된 경우 해커는 간단한 전자 메일을 사용하여 악성 프로그램 플랫폼을 다시 제어 할 수 있도록 시스템을 설계했습니다.

Rocra의 구성 요소 중 하나는 들어오는 PDF 또는 Office 문서를 검색합니다 실행 가능한 코드를 포함하며 특수 메타 데이터 태그로 플래그가 지정됩니다. 이 문서는 모든 보안 검사를 통과 할 것이라고 카스퍼 스키는 말하지만 일단 다운로드되고 열리면 Rocra는 문서에 첨부 된 악의적 인 응용 프로그램을 시작하고 악의적 인 사람들에게 데이터를 계속 제공 할 수 있습니다. 이 트릭을 사용하여 모든 해커는 이전의 희생자에게 새로운 서버를 설치하고 비즈니스에 복귀하기 위해 악의적 인 전자 메일을 보내야합니다.

Rocra의 서버는 일련의 프록시 (다른 서버 뒤에 숨어있는 서버)로 설정됩니다), 공격의 근원을 발견하는 것을 훨씬 더 어렵게 만듭니다. 카스 퍼 스키 (Kasperksy)는 Rocra의 인프라의 복잡성이 PC를 감염시키고 민감한 데이터를 훔치는데도 사용 된 화염 (Flame) 맬웨어와 경쟁하고 있다고 말합니다. F-Secure가 지적한 바와 같이, Red October 공격은 특히 새로운 것을 수행하는 것처럼 보이지는 않지만, Stuxnet과 유사한 코드로 구축 된 Duqu와 같은 Rocra, Flame 또는 malware 간에는 알려진 연결이 없습니다. 그러나이 멀웨어 캠페인이 야생에 있었던 시간은 인상적입니다. Flame과 같은 다른 사이버 간첩 캠페인과 마찬가지로 Red October는 사용자가 악의적 인 파일을 다운로드하여 열거 나 코드를 장치에 삽입 할 수있는 악성 웹 사이트를 방문하도록합니다. 이것은 컴퓨터 스파이가 증가하고있는 동안 컴퓨터 보안의 기본은 이러한 공격을 막기 위해 먼 길을 갈 수 있음을 시사합니다.

예방 조치 취하기

알려지지 않은 발신자의 파일을주의하거나 감시하는 것과 같은 유용한주의 사항 소문난 발신자의 문자가 아닌 파일은 좋은 시작입니다. 특히 회사 장비를 사용할 때 모르는 웹 사이트를 방문하는 것을 조심하는 것도 유용합니다. 마지막으로, 사용중인 Windows 버전에 맞는 최신 보안 업데이트를 모두 설치하고 절대적으로 필요하지 않으면 Java를 해제하는 것이 좋습니다. 모든 종류의 공격을 막을 수는 없지만 기본 보안 관행을 고수하면 온라인상의 많은 악의적 인 행위자로부터 당신을 보호 할 수 있습니다.

레드 10 월 공격이 국민 국가 또는 범죄자의 작품인지 여부는 확실하지 않습니다 암시장에서 민감한 데이터를 판매합니다. 보안 회사는 앞으로 Rocra에 대한 더 많은 정보를 공개 할 계획입니다.

F-Secure는 Rocra의 영향을받는 시스템이 있는지 여부를 염려 할 경우 바이러스 백신 소프트웨어가 현재 알려진 악성 코드를 탐지 할 수 있다고 말합니다. 레드 10 월 공격. 카스퍼 스키 안티 바이러스 소프트웨어는 Rocra의 위협도 탐지 할 수 있습니다.