Hvordan den 'røde oktober' cyberangreb-kampagne lykkedes under radaren

Kaspersky Lab frigav den første af en to-delt rapport om "Red October", et malware-angreb, som virksomheden mener er at angribe regeringssystemer på højt niveau i hele Europa og kan specifikt målrette mod klassificerede dokumenter. Ifølge rapporten er de stjålne data i størrelsesordenen "hundreder af Terabyte" og gik stort set uopdagede i cirka fem år.

Rød oktober, eller "Rocra, " tager sit navn fra den måned, hvor den første gang blev opdaget, og den titulære tause russiske ubåd, som forfatter Tom Clancy forestillede sig. Du kan om rød oktober og dens baggrund på PC Mag.

Specielt målrettede angreb

Rapporten beskriver Rød Oktober som en "ramme", der hurtigt kan opgraderes for at drage fordel af ofrene sine svagheder. Angriberen startede deres angreb med spearfiserende e-mails eller inficerede dokumenter, der er skræddersyet til at appellere til deres mål. Når de var inficeret, ville indtrængende indsamle oplysninger om systemet, før de installerer specifikke moduler for at vokse indtrængen. Kaspersky tællede omkring 1.000 sådanne unikke filer, der faldt i ca. 30 kategorier af moduler.

Dette er en markant anden tilgang end Flame eller anden overskridende malware. Rapporten siger, "der er en høj grad af interaktion mellem angribere og offeret - operationen er drevet af den form for konfiguration, offeret har, hvilken type dokumenter brugen, installeret software, modersmål og så videre."

"Sammenlignet med Flame og Gauss, som er meget automatiserede cyberespionage-kampagner, er Rocra meget mere 'personlig' og finjusteret for ofrene, " skriver Kaspersky.

Angriberne var lige så uærlige som de var metodiske og skiftede faktisk taktik for at anvende stjålne oplysninger. "Oplysninger, der høstes fra inficerede netværk, genbruges i senere angreb, " skriver Kaspersky. "F.eks. Blev stjålne legitimationsoplysninger samlet på en liste og brugt, når angribere havde brug for at gætte adgangskoder og netværksoplysninger andre steder."

Forbliver fra radaren

Denne form for målrettet angreb gjorde det ikke kun muligt for dem bag Røde Oktober at gå efter mål på højt niveau, men hjalp også operationen med at forblive uopdaget i årevis. "Kombinationen af ​​meget dygtige, velfinansierede angribere og en begrænset distribution betyder generelt, at malware er i stand til at forblive under radaren i en betydelig periode, " sagde seniorforsker Kaspersky Roel Schouwenberg til SecurityWatch . "Derudover har vi ikke set brugen af ​​nul-dages sårbarheder, som igen viser, hvor vigtig programrettelse er."

Schouwenberg sagde fortsat, at flere lag af sikkerhed kan hjælpe med at blokere mod denne slags angreb. Han sagde til SecurityWatch , "dette er grunden til, at forsvar i dybden er vigtige, og fremgangsmåder som standardafvisning, hvidlisting og applikationskontrol kommer i spil. Attacker kan stoppes, selv uden nøjagtig detektion."

Ikke nødvendigvis nationernes arbejde

På trods af målene på højt niveau understreger Kaspersky, at der ikke er nogen endelig forbindelse til et statsstøttet angreb. Rapporten siger, at selvom de målrettede oplysninger kunne være værdifulde for nationerne, "kan sådanne oplysninger handles i undergrundsbanen og sælges til den højeste byder, som selvfølgelig kan være overalt."

Skræddersyede trusler som rød oktober er den slags worst-case scenarier, der holder sikkerhedsfolk på Pentagon ope hele natten. Heldigvis betyder den specificitet, der gjorde Røde oktober vellykket, også, at det er usandsynligt, at det truer regelmæssige forbrugere som dig og mig.

Desværre ændrer det ikke det faktum, at en ny og magtfuld spiller har opereret bag kulisserne i årevis.

For mere fra Max, følg ham på Twitter @wmaxeddy.