Η “Οδύσσεια” ως δόλωμα για κακόβουλο λογισμικό σε torrents – Στο στόχαστρο και η Ελλάδα

Μια νέα, εξελιγμένη κακόβουλη εκστρατεία βρίσκεται σε εξέλιξη, με τους δράστες να αξιοποιούν δημοφιλείς ταινίες και αρχεία torrent ως «δόλωμα» για να μολύνουν υπολογιστές χρηστών και οργανισμών.

Την εκστρατεία αποκάλυψε η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης (GReAT) της Kaspersky, η οποία εντόπισε ένα μέχρι πρότινος άγνωστο είδος κακόβουλου λογισμικού. Μεταξύ των ταινιών που χρησιμοποιούνται ως «βιτρίνα» για τη διανομή του βρίσκεται και η «Οδύσσεια» του Κρίστοφερ Νόλαν.

Σύμφωνα με την Kaspersky, ένα δημοφιλές δημόσιο αποθετήριο αρχείων torrent παραβιάστηκε και στη συνέχεια χρησιμοποιήθηκε για τη διανομή του κακόβουλου φορτίου.

Ήδη έχουν εντοπιστεί εκατοντάδες θύματα, τόσο μεμονωμένοι χρήστες όσο και οργανισμοί, σε πολλές χώρες. Μεταξύ αυτών συγκαταλέγονται η Ρωσία, η Τουρκία, η Ιαπωνία, η Κένυα, η Ουγκάντα και η Κολομβία, καθώς και ευρωπαϊκές χώρες, όπως η Ελλάδα, η Ισπανία, η Ολλανδία, το Βέλγιο και η Γερμανία.

Η εκστρατεία βρίσκεται σε εξέλιξη τουλάχιστον από τα μέσα Αυγούστου και παραμένει ενεργή. Μέχρι στιγμής, έχουν εντοπιστεί θύματα από τον επιχειρηματικό και τον δημόσιο τομέα, αλλά και από τους κλάδους της πληροφορικής, της συμβουλευτικής, του λιανεμπορίου, των μεταφορών και της γεωργίας.

Πώς λειτουργεί η επίθεση

Η επίθεση βασίζεται σε μια πολυσταδιακή διαδικασία, με διαφορετικά στοιχεία του κακόβουλου λογισμικού να αναλαμβάνουν συγκεκριμένες λειτουργίες σε κάθε φάση της παραβίασης.

Στο αρχικό στάδιο χρησιμοποιείται ένας loader, ο οποίος έχει τη δυνατότητα να εντοπίζει antivirus sandboxes, δηλαδή απομονωμένα περιβάλλοντα που χρησιμοποιούνται από τις λύσεις κυβερνοασφάλειας για την ασφαλή ανάλυση ύποπτων αρχείων.

Με αυτόν τον τρόπο, το κακόβουλο λογισμικό μπορεί να αντιλαμβάνεται ότι βρίσκεται υπό έλεγχο και να περιορίζει τη δραστηριότητά του, δυσχεραίνοντας τον εντοπισμό και την ανάλυσή του.

Αφού ενεργοποιηθεί στη συσκευή του θύματος, εγκαθιστά επιπλέον μονάδες που διευρύνουν τις δυνατότητές του. Μεταξύ άλλων, οι μονάδες αυτές εξασφαλίζουν την παραμονή του στο σύστημα, επιτρέποντάς του να επανενεργοποιείται μετά από επανεκκίνηση, ακόμη και αν προηγουμένως έχει τερματιστεί.

Παράλληλα, το κακόβουλο λογισμικό μπορεί να παρακάμπτει τον Έλεγχο Λογαριασμού Χρήστη (User Account Control – UAC), αποκτώντας δικαιώματα διαχειριστή στα Windows χωρίς να εμφανίζεται η συνηθισμένη προειδοποίηση προς τον χρήστη.

Τελικός στόχος είναι η παροχή απομακρυσμένης πρόσβασης στους δράστες, ώστε να μπορούν να ελέγχουν το παραβιασμένο σύστημα.

Ο ρόλος του blockchain Solana

Ένα από τα στοιχεία που ξεχωρίζουν στη συγκεκριμένη εκστρατεία είναι ο τρόπος με τον οποίο το κακόβουλο λογισμικό εντοπίζει τον διακομιστή εντολών και ελέγχου (command-and-control server).

Για τον σκοπό αυτό αξιοποιείται το blockchain Solana. Η συγκεκριμένη τεχνική επιτρέπει στους επιτιθέμενους να διατηρούν πιο ανθεκτική την υποδομή τους, δυσκολεύοντας τις προσπάθειες αποκλεισμού ή απενεργοποίησής της.

Με άλλα λόγια, ακόμη και αν οι ερευνητές κυβερνοασφάλειας εντοπίσουν και επιχειρήσουν να μπλοκάρουν μέρος της υποδομής, οι δράστες μπορούν να χρησιμοποιήσουν το blockchain για να ανακτήσουν τη διεύθυνση του διακομιστή τους.

«Συνδυάζει ένα συνηθισμένο δόλωμα με εξελιγμένο τεχνικό σχεδιασμό»

Ο Konstantin Isakov, ειδικός σε θέματα ασφάλειας στην Kaspersky GReAT, υπογραμμίζει ότι η συγκεκριμένη εκστρατεία συνδυάζει ένα γνώριμο δόλωμα με προηγμένες τεχνικές.

«Η συγκεκριμένη εκστρατεία ξεχωρίζει, καθώς συνδυάζει ένα συνηθισμένο δόλωμα με έναν εξελιγμένο τεχνικό σχεδιασμό. Ενσωματώνοντας το κακόβουλο λογισμικό σε torrents δημοφιλών ταινιών, οι επιτιθέμενοι αυξάνουν τις πιθανότητες να το κατεβάσουν ανυποψίαστοι χρήστες», αναφέρει.

Όπως προσθέτει, μετά την ενεργοποίησή του, το κακόβουλο λογισμικό έχει σχεδιαστεί ώστε να αποφεύγει τον εντοπισμό, να παραμένει στο σύστημα και να παρέχει στους δράστες απομακρυσμένη πρόσβαση στις μολυσμένες συσκευές.

Ο ίδιος προειδοποιεί τους χρήστες να είναι ιδιαίτερα προσεκτικοί με αρχεία που κατεβάζουν από ανεπίσημες πηγές, καθώς ακόμη και φαινομενικά ακίνδυνο ψυχαγωγικό περιεχόμενο μπορεί να χρησιμοποιηθεί ως μέσο παραβίασης.

Η Kaspersky αναφέρει ότι οι λύσεις ασφαλείας της εντοπίζουν το συγκεκριμένο κακόβουλο λογισμικό, ενώ η πλήρης τεχνική ανάλυση της εκστρατείας είναι διαθέσιμη στο Securelist.com.

Τι συστήνει η Kaspersky στους χρήστες

Για την προστασία από αντίστοιχες απειλές, η Kaspersky συνιστά στους χρήστες:

• Να είναι ιδιαίτερα προσεκτικοί με τα αρχεία που κατεβάζουν και να προτιμούν επίσημες ή αξιόπιστες πηγές για την εγκατάσταση παιχνιδιών, mods και άλλου λογισμικού.
• Να χρησιμοποιούν αξιόπιστη λύση κυβερνοασφάλειας σε όλους τους υπολογιστές και τις κινητές συσκευές τους.
• Να μην απενεργοποιούν τα εργαλεία ασφαλείας ή το antivirus προκειμένου να κατεβάσουν ή να εγκαταστήσουν ένα αρχείο ή πρόγραμμα.

Οι συστάσεις για τις επιχειρήσεις

Για τους οργανισμούς, η Kaspersky προτείνει τη θέσπιση σαφών κανόνων σχετικά με τη χρήση λογισμικού από εξωτερικούς παρόχους στις εταιρικές συσκευές.

Παράλληλα, συστήνει τη χρήση ολοκληρωμένων λύσεων κυβερνοασφάλειας της σειράς Kaspersky Next, οι οποίες περιλαμβάνουν προστασία σε πραγματικό χρόνο, συνολική εικόνα των απειλών, καθώς και δυνατότητες διερεύνησης και αντιμετώπισης περιστατικών μέσω EPP, EDR και XDR.

Η εταιρεία προτείνει επίσης την αξιοποίηση υπηρεσιών Threat Intelligence, ώστε οι ομάδες ασφάλειας πληροφοριών να έχουν καλύτερη εικόνα για τις κυβερνοαπειλές και να μπορούν να εντοπίζουν έγκαιρα πιθανές επιθέσεις.

Τέλος, για επιχειρήσεις που δεν διαθέτουν εξειδικευμένο προσωπικό, προτείνεται η αξιοποίηση υπηρεσιών κυβερνοασφάλειας, όπως Compromise Assessment, Managed Detection and Response και Incident Response, οι οποίες καλύπτουν διαφορετικά στάδια της διαχείρισης ενός περιστατικού, από τον εντοπισμό της απειλής έως την αντιμετώπιση και την αποκατάσταση.