Το Megabreach των 773 εκατομμυρίων Passwords ξεκίνησε χρόνια πριν
infosec

Το Megabreach των 773 εκατομμυρίων Passwords ξεκίνησε χρόνια πριν

Πρόσφατα κυκλοφόρησε η είδηση, ότι σχεδόν 773 εκατομμύρια διευθύνσεις ηλεκτρονικού ταχυδρομείου και 21 εκατομμύρια passwords δημοσιεύθηκαν σε ένα φόρουμ hacking....
Read More
infosec

Instagram influencers ανακτούν τα accounts με τη βοήθεια hackers

Οι Instagram influencers που έχουν δει τους λογαριασμούς τους να χακάρονται και τις προσωπικές τους πληροφορίες να εκτίθενται, λένε ότι...
Read More
infosec

Windows 10: Πώς να διορθώσετε το browsing σφάλμα στο Microsoft Edge

Η τελευταία αναβάθμιση που κυκλοφόρησε από τη Microsoft για τα Windows 10 έφερε ένα πρόβλημα, το οποίο παρατηρείται όταν επιχειρεί...
Read More
infosec

Google Play: Κρυβόταν malware με τη χρήση των αισθητήρων κίνησης

Στην αγορά του Google Play υπάρχουν πολλές κακόβουλες εφαρμογές που δοκιμάζουν κόλπα για να αποφευχθεί η ανίχνευση τους. Για την...
Read More
infosec

Bug του Twitter δημοσίευε τα προσωπικά tweets των χρηστών για 5 χρόνια

Οι χρήστες του Twitter, οι οποίοι χρησιμοποιούν το δημοφιλές κοινωνικό δίκτυο από τις Android συσκευές τους, θα πρέπει να ελέγξουν...
Read More
Latest Posts

Moonlight Maze: Μία 20ετής επίθεση που παραμένει επίκαιρη

Οι ερευνητές της Kaspersky Lab και του Πανεπιστημίου Kings College του Λονδίνου, αναζητώντας πώς συνδέεται ένας σύγχρονος απειλητικός φορέας με τις επιθέσεις Moonlight Maze που είχαν στόχο το Πεντάγωνο, τη NASA και άλλους οργανισμούς στα τέλη της δεκαετίας του ’90, έφεραν στο φως δείγματα, αρχεία καταγραφής και αντικείμενα που ανήκουν στην «αρχαία» επίθεση τύπου APT. Moonlight Maze

Τα ευρήματα δείχνουν ότι ένα backdoor που χρησιμοποιούνταν το 1998 από το Moonlight Maze για τη διοχέτευση πληροφοριών εκτός του δικτύου των θυμάτων συνδέεται με ένα backdoor που χρησιμοποιήθηκε από τον Turla το 2011 και, ενδεχομένως, και μέχρι το 2017.

Αν η σχέση μεταξύ Turla και Moonlight Maze αποδειχθεί, θα τοποθετήσει τον εξελιγμένο απειλητικό φορέα μαζί με τον φορέα Equation Group αναφορικά με τη μακροβιότητά του, καθώς μερικοί από τους command-and-control servers του Equation χρονολογούνται από το 1996.

Σύγχρονες εκθέσεις για το Moonlight Maze δείχνουν ότι, ξεκινώντας από το 1996, στρατιωτικά και κυβερνητικά δίκτυα των ΗΠΑ, καθώς και πανεπιστήμια, ερευνητικά ιδρύματα και ακόμη και το Υπουργείο Ενέργειας ξεκίνησαν να εντοπίζουν παραβιάσεις στα συστήματά τους. Το 1998, το FBI και το Υπουργείο Άμυνας ξεκίνησαν μια τεράστια έρευνα. Η ιστορία είδε το φως της δημοσιότητας το 1999, αλλά πολλά από τα στοιχεία παρέμειναν απόρρητα, διατηρώντας άκρα μυστικότητα και αφήνοντας τις λεπτομέρειες για το Moonlight Maze να αποτελούν μύθο.

Με την πάροδο των χρόνων, αρχικοί ερευνητές σε τρεις διαφορετικές χώρες έχουν δηλώσει ότι το Moonlight Maze εξελίχθηκε στον Turla, ένα ρωσόφωνο απειλητικό φορέα γνωστό και ως Snake, Uroburos, Venomous Bear, και Krypton. Ο Turla θεωρείται συμβατικά ότι είναι ενεργός από το 2007.

Moonlight Maze: Τα «ξεχασμένα» δείγματα

Το 2016, ο Thomas Rid από το Πανεπιστήμιο Kings College του Λονδίνου, ενώ βρισκόταν σε έρευνα για το βιβλίο του «Η Άνοδος των Μηχανών», εντόπισε έναν πρώην διαχειριστή συστήματος του οποίου ο υπηρεσιακός server  είχε καταληφθεί ως proxy από τους επιτιθέμενους του Moonlight Maze. Αυτός ο server, με το όνομα «HRTest», είχε χρησιμοποιηθεί για να εξαπολύσει επιθέσεις στις ΗΠΑ. Ο πλέον συνταξιούχος επαγγελματίας του τομέα της Πληροφορικής είχε κρατήσει τον αρχικό server και αντίγραφα από οτιδήποτε αφορούσε τις επιθέσεις, τα οποία και έδωσε στο πανεπιστήμιο Kings College και στην Kaspersky Lab για περαιτέρω ανάλυση.

Οι ερευνητές  της Kaspersky Lab, Juan Andres Guerrero-Saade και Costin Raiu, μαζί με τους Thomas Rid και Danny Moore από το πανεπιστήμιο Kings College, πέρασαν εννιά μήνες πραγματοποιώντας μια λεπτομερή τεχνική ανάλυση αυτών των δειγμάτων. Ανακατασκεύασαν τις λειτουργίες, τα εργαλεία και τις τεχνικές των επιτιθέμενων και διεξήγαγαν μια παράλληλη έρευνα για να δουν αν θα μπορούσαν να αποδείξουν τη  σύνδεση που υποστηρίζεται ότι υπάρχει με τον Turla.

Το Moonlight Maze ήταν μία ανοικτού κώδικα, Unixbased επίθεση με στόχο τα συστήματα Solaris, με τα ευρήματα να δείχνουν ότι πιθανώς χρησιμοποιούσε ένα κενό ασφαλείας που υπήρχε στο LOKI2 (ένα πρόγραμμα που κυκλοφόρησε το 1996 και έδινε τη δυνατότητα στους χρήστες να εξάγουν δεδομένα από συγκαλυμμένα κανάλια). Αυτό οδήγησε τους ερευνητές στο να έχουν τη δυνατότητα για μία δεύτερη ματιά σε κάποια σπάνια δείγματα Linux που χρησιμοποιήθηκαν από τον Turla, τα οποία είχε ανακαλύψει η Kaspersky Lab το 2014. Με την ονομασία Penquin Turla, τα συγκεκριμένα δείγματα βασίζονται επίσης στο LOKI2. Ακόμη, η επανεξέταση έδειξε ότι όλοι τους χρησιμοποιούσαν κώδικα που δημιουργήθηκε μεταξύ 1999 και 2004.

Είναι αξιοσημείωτο ότι αυτός ο κώδικας χρησιμοποιείται ακόμα και σήμερα σε επιθέσεις. Εντοπίστηκε ελεύθερος στο Διαδίκτυο το 2011, όπου πραγματοποιούσε επίθεση στην ελβετική αμυντική εταιρεία Ruag, μία επίθεση που αποδίδεται στον Turla. Έπειτα, το Μάρτιο του 2017, οι ερευνητές της Kaspersky Lab ανακάλυψαν ένα νέο δείγμα του backdoor Penquin Turla σε ένα σύστημα στη Γερμανία. Είναι πιθανό ότι ο Turla χρησιμοποιεί τον παλιό κώδικα για επιθέσεις σε υψηλής ασφάλειας οργανισμούς, καθώς ενδέχεται να είναι δυσκολότερο να παραβιαστούν χρησιμοποιώντας τα περισσότερο τυπικά εργαλεία των Windows. 

 «Στα τέλη της δεκαετίας του 1990, κανείς δεν προέβλεψε την εμβέλεια και την επιμονή μιας συντονισμένης εκστρατείας ψηφιακής κατασκοπείας. Πρέπει να αναρωτηθούμε γιατί οι επιτιθέμενοι είναι ακόμη σε θέση να αξιοποιούν με επιτυχία «αρχαίο» κώδικα για σύγχρονες επιθέσεις. Η ανάλυση των δειγμάτων του Moonlight Maze δεν είναι απλά μια συναρπαστική αρχαιολογική μελέτη. Είναι επίσης μια υπενθύμιση ότι οι αντίπαλοι με καλές πηγές δεν πρόκειται να πάνε πουθενά. Είναι στο χέρι μας να υπερασπιστούμε τα συστήματα αναπτύσσοντας τις κατάλληλες δεξιότητες», δήλωσε ο Juan Andres GuerreroSaade, Ερευνητής Ασφαλείας στην Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky Lab.

Τα αρχεία του Moonlight Maze που ήρθαν πρόσφατα στο φως αποκαλύψαν πολλές συναρπαστικές λεπτομέρειες σχετικά με το πώς πραγματοποιήθηκαν οι επιθέσεις  χρησιμοποιώντας ένα πολύπλοκο δίκτυο proxies, και το υψηλό επίπεδο των δεξιοτήτων και των εργαλείων που χρησιμοποιούνταν από τους επιτιθέμενους.

Περισσότερες πληροφορίες σχετικά με την ακολουθία της επίθεσης Moonlight Maze και την τυπολογία της μπορείτε να δείτε παρακάτω:

Για περισσότερες πληροφορίες μπορείτε να διαβάσετε το blogpost στον ειδικό ιστότοπο Securelist.com.

Έχετε άποψη; Αφήστε το σχόλιό σας.

Ο συντάκτης σας επιτρέπει να αντιγράψετε το κείμενό του, μόνο εφόσον αναφέρετε την πηγή (SecNews.gr), σαν ηλεκτρονική διεύθυνση (Live URL) του άρθρου.
Updated on by

Reader Interactions

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται. Τα υποχρεωτικά πεδία σημειώνονται με *