Ezek a kiberbűnözők főleg kémkedésre és felderítésre szakosodtak

Ezek a kiberbűnözők főleg kémkedésre és felderítésre szakosodtak
Az ESET felfedezte a BlackEnergy APT-csoport utódját. A kiberbiztonsági cég által GreyEnergy névre keresztelt csoport fő tevékenysége a kémkedés és felderítés, amely feltehetően egy későbbi nagyszabású szabotázsakció előkészítésére szolgál.

Az Ukrajnát évek óta terrorizáló BlackEnergy 2015 decemberében vált ismerté, amikor 230 ezer embert érintő áramkimaradást okozott. Ez volt az első bizonyítottan kibertámadás okozta áramszünet. A támadással egy időben az ESET szakemberei elkezdtek felderíteni egy másik kiberbűnözői csoportot, a GreyEnergy-t.

"Észrevettük, hogy a GreyEnergy számos energiavállalat elleni támadásban, és más kiemelt célpontok elleni akciókban vett részt Ukrajnában és Lengyelországban az elmúlt három év során” - mondja Anton Cherepanov, az ESET vezető biztonsági kutatója, aki a kutatás vezetője volt.

Az Ukrajna elleni 2015-ös kibertámadás volt az utolsó olyan ismert akció, amelynek során a BlackEnergy eszközkészletét használták. Az ESET szakemberei ezt követően dokumentálták egy új APT alcsoport, a TeleBots működését. A TeleBots csoport leginkább a NotPetya, egy 2017-es globális üzleti tevékenységet megzavaró merevlemez-törlő akció révén ismerhető. Ahogy azt az ESET kutatói nemrégiben megerősítették, a TeleBots az Industroyer-hez is köthető, amely a legerősebb, ipari irányítórendszereket támadó modern kártevő. Ez a vírus volt felelős az ukrán fővárost sújtó 2016-os áramkimaradásért.

„A GreyEnergy a TeleBots-szal együtt került felszínre, de a GreyEnergy tevékenysége nem korlátozódik Ukrajnára és eddig még nem okozott károkat. Nyilvánvaló, hogy észrevétlenek szeretnének maradni” – tette hozzá Anton Cherepanov.

Az ESET elemzése szerint a GreyEnergy kártevők szorosan összefüggnek a BlackEnergy és a TeleBots rosszindulatú programokkal. Ezek felépítése moduláris, így a funkcionalitása attól függ, hogy a modulok milyen kombinációját töltik fel az áldozatok rendszereire.

Az ESET elemzésében leírt modulokat kémkedésre és felderítésre használták, és többek között hátsóajtó, fájlkicsomagoló, képernyőfelvétel-készítő, keylogger, jelszavakat és hitelesítőket kiszivárogtató funkciókat foglal magában.

„Nem észleltünk olyan modulokat, amelyek kifejezetten ipari vezérlőrendszerek szoftvereit (Industrial Control Systems – ICS) célozzák. Azonban megfigyeltünk olyan GreyEnergy operátorokat, akik stratégiai céllal támadták a SCADA szoftvereket és szervereket futtató ICS munkaállomásokat” – mondta Anton Cherepanov.

Kövesd az oldalunkat a Facebook-on és a Twitteren is!