Корпоративная сеть «Лаборатории Касперского» подверглась нападению Duqu 2.0
Весной 2015 года «Лаборатория Касперского» зафиксировала кибервторжение в свою корпоративную сеть. В ходе последовавшего за этим расследования была обнаружена новая вредоносная платформа, имеющая непосредственное отношение к одной из самых сложных и загадочных кампаний кибершпионажа – Duqu, раскрытой в 2011 году. Новая платформа получила название Duqu 2.0, сообщает ЛК.
Атакующие использовали уникальные и ранее не встречавшиеся инструменты и практически не оставляли следов в системе. Атака осуществлялась при помощи эксплойтов, использовавших уязвимости нулевого дня в OC Windows, а дополнительное вредоносное ПО доставлялось в атакованные системы под видом Microsoft Software Installers (MSI) – установочных файлов, используемых системными администраторами для инсталляции ПО на компьютеры в удаленном режиме. Вредоносное ПО не создавало и не модифицировало какие-либо дисковые файлы или системные настройки, что делало детектирование атаки затруднительным.
Как показал первичный анализ, главной задачей атакующих было получение информации о технологиях и исследованиях «Лаборатории Касперского». Помимо попыток кражи интеллектуальной собственности, никакой другой вредоносной активности зафиксировано не было.
Эксперты компании также обнаружили других жертв в ряде западных, ближневосточных и азиатских стран. Среди наиболее заметных мишеней новой кампании Duqu в 2014-2015 годах стали площадки для переговоров по иранской ядерной программе «Группы 5+1» и мероприятий, посвященных 70-й годовщине освобождения узников Освенцима. Во всех этих событиях принимали участие высокопоставленные лица и политики.
В настоящее время «Лаборатория Касперского» продолжает расследовать инцидент.
[box]Детали инцидента
Признаки таргетированной атаки на свою корпоративную сеть «Лаборатория Касперского» заметила в ходе тестирования прототипа решения для защиты от подобных угроз – целевых атак и кибершпионажа. В процессе исследования Duqu 2.0 удалось установить следующее:
- Атака была тщательно спланирована и выполнялась той же группировкой, что стояла за известной кампанией кибершпионажа Duqu, обнаруженной в 2011 году. «Лаборатория Касперского» считает, что эта кампания спонсируется на государственном уровне.
- ЛК уверена, что атака организовывалась с целью получить информацию о новейших технологиях компании. Атакующие проявляли особенный интерес к деталям разработки новых продуктов. Подразделения вроде отдела продаж, маркетинга, коммуникаций, юрдепартамента не интересовали атакующих.
- Информация, оказавшаяся в руках организаторов атаки, не является критической для функционирования продуктов компании.
- Атакующие также проявили высокий интерес к исследованиям кампаний кибершпионажа, которые «Лаборатория Касперского» проводит в настоящее время.
- Для реализации атаки использовалось до трех уязвимостей нулевого дня. Последняя из них (CVE-2015-2360) была закрыта Microsoft 9 июня 2015 года (MS15-061) после сообщения от «Лаборатории Касперского».
- Вредоносная программа использует усовершенствованный метод сокрытия своего присутствия в системе: код Duqu 2.0 существует только в оперативной памяти компьютера и старается удалить все следы на жестком диске.[/box]
Комментируя ситуацию, Евгений Касперский, генеральный директор «Лаборатории Касперского», заявил: «Шпионаж в отношении антивирусных компаний – очень тревожная тенденция. В современных условиях, когда любое оборудование и сеть могут подвергнуться заражению, защитное ПО является последним рубежом информационной безопасности для компаний и пользователей. Кроме того, существует большая вероятность, что рано или поздно технологии, задействованные в подобных таргетированных атаках, начнут использовать террористы и киберпреступники. А это уже очень серьезно».
ЛК уверена, что инцидент не оказал никакого влияния на продукты, технологии и сервисы компании. Ее клиенты и партнеры в безопасности, говорится в сообщении.