Xtreme RAT 맬웨어 대상 미국, 영국 및 기타 정부

최근 이스라엘 경찰 컴퓨터에 Xtreme RAT 멀웨어를 감염시킨 해커 그룹은 미국, 영국, 안티 바이러스 업체 인 트렌드 마이크로 (Trend Micro)의 연구원에 따르면, 공격자들은 타겟 정부 기관의 이메일 주소에.RAR 첨부 파일을 첨부하여 불량 메시지를 보냈다. 이 아카이브에는 실행시 Xtreme RAT 맬웨어를 설치하고 팔레스타인 미사일 공격에 관한 뉴스 보고서가있는 미끼 문서가 열리는 Word 문서로 위장한 악성 실행 파일이 포함되어 있습니다.

이 공격은 10 월 말에 이스라엘 경찰은 악성 프로그램을 시스템에서 제거하기 위해 컴퓨터 네트워크를 종료합니다. 대부분의 원격 액세스 트로이 목마 프로그램 (RAT)과 마찬가지로 Xtreme RAT는 공격자가 감염된 시스템을 제어하고 문서 및 기타 파일을 서버에 다시 업로드 할 수있게 해줍니다.

[추가 정보: Windows PC에서 멀웨어를 제거하는 방법]

이스라엘 경찰 공격에 사용 된 맬웨어 샘플을 분석 한 결과, 노르웨이의 바이러스 백신 공급 업체 인 Norman의 보안 연구원은 올해 초반과 2011 년 말부터 이스라엘과 팔레스타인 지역의 조직을 대상으로 일련의 오래된 공격을 발표했습니다. 그들의 발견은이 지역의 같은 집단의 공격자에 의해 1 년 동안 계속되는 사이버 스레 션 운영의 모습을 그렸습니다. 그러나 트렌드 마이크로의 연구원들이 밝힌 새로운 데이터에 따르면, 캠페인의 범위는 훨씬 더 커 보인다.

"Trend Micro의 수석 위협 연구원 인 Nart Villeneuve는 이번 주 초 블로그 게시물에서"11 월 11 일과 11 월 8 일에 {BLOCKED} [email protected]에서 보낸 두 가지 이메일을 주로 발견했습니다. "이메일 중 하나는 294 개의 이메일 주소로 발송되었습니다."

"대부분의 이메일이 이스라엘 정부 (mfa.gov.il) [이스라엘 외무부]에 보내졌지만 'idf. gov.il '(이스라엘 국방부)와'mod.gov.il '(이스라엘 국방부)는 상당한 돈을 미국 정부에'state.gov '[미국 국무부] 이메일 주소로 보냈습니다. "Villeneuve가 말했다. "미국 정부의 다른 목표로는 'senate.gov'[미국 상원]과 'house.gov'[미 하원] 이메일 주소가 포함되어 있으며, 'usaid.gov'[미국 국제 개발처 (US Agency for International Development)] 이메일에도이 이메일이 전송되었습니다. "() 대상 목록에는 'fco.gov.uk'(영국 외무부) 및 'mfa.gov.tr'(터키 외무부) 이메일 주소와 정부 주소가 포함됩니다. 이 연구원은 슬로베니아, 마케도니아, 뉴질랜드, 라트비아에있는 기관들을 대상으로 연구를 진행했다.

동기가 불분명

트렌드 마이크로 연구원은 미끼 문서의 메타 데이터를 사용하여 저자 중 일부를 온라인 포럼으로 추적했습니다. BBC와 Quartet 대표부와 같은 일부 비정부 조직도 ​​대상이었습니다. 그들 중 한 명은 "aert"라는 별칭을 사용하여 DarkComet 및 Xtreme RAT를 비롯한 다양한 악성 프로그램에 대해 이야기하고 다른 포럼 회원과 상품 및 서비스를 교환한다고 Villeneuve는 말했습니다. 그러나 공격자의 동기는 분명하지 않습니다. 노먼 보고서 이후 트렌드 마이크로의 최신 연구 결과에 따라 공격자들이 이스라엘과 팔레스타인 영토에 묶여있는 정치적 의제를 가지고 있다고 추측했을 수도있다. 이메일을 통해 Trend Micro의 선임 위협 연구원이자 보안 전도사 인 Ivan Macalintal은 다음과 같이 말했습니다.

트렌드 마이크로는 감염된 컴퓨터에서 어떤 데이터가 도용되는지를 결정하기 위해 공격자가 사용하는 명령 및 제어 (C & C) 서버를 통제하지 못했다고이 연구원은 밝혔다.

보안 회사는 때때로 도메인 공급자와 협력하여 공격자가 사용하는 C & C 도메인 이름을 자신의 통제하에있는 IP 주소로 지정합니다. 이 프로세스는 "sinkholing"으로 알려져 있으며 특정 위협 요소에 감염된 컴퓨터 수와 해당 컴퓨터가 제어 서버로 보내는 정보의 종류를 결정하는 데 사용됩니다.

" 영향을받는 특정 주들에 대한 CERTs [컴퓨터 응급 대응 팀]와 마침내 어떤 손상이 있었는지를 알 수 있습니다 "라고 Macalintal이 말했습니다. "현재 우리는 여전히 캠페인을 적극적으로 모니터링하고 그에 따라 업데이트를 게시 할 것입니다."