Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

La rete di spionaggio ProjectSauron

Ago 12, 2016 Marco Schiaffino Approfondimenti, Attacchi, In evidenza, Malware 0

Attivo in dal 2011, il gruppo criminale ha compromesso enti statali e aziende rimanendo pressoché invisibile. Gli analisti Kaspersky: “collaborano con qualche governo”.

Cresce l’allarme per l’aumento nella diffusione di APT (Advanced Persistent Threats) sempre più sofisticate ed efficaci. L’ultima operazione di infiltrazione di alto profilo è stata scoperta dai ricercatori Kaspersky, che hanno individuato una rete di spionaggio attiva da almeno 5 anni.

Gli analisti hanno battezzato il gruppo con il nome ProjectSauron a causa di un riferimento al “cattivissimo” del Signore degli anelli inserito dall’autore del codice degli impianti APT.

Per il momento, gli impianti di ProjectSauron sono stati individuati in 30 organizzazioni situate in Russia, Iran e Rwanda. Gli analisti Kaspersky, però, ipotizzano la presenza in alcuni paesi (non specificati) in cui è comune l’uso della lingua italiana.

A finire nel mirino dei cyber-spioni sono soprattutto enti legati ai governi e all’esercito, centri di ricerca scientifici, operatori del settore delle telecomunicazioni e della finanza.

Anche se il vettore iniziale d’infezione non è stato ancora identificato, i ricercatori del GReAT (Global Research and Analysis Team) di Kaspersky hanno potuto analizzare a fondo gli impianti utilizzati per sorvegliare i sistemi informatici delle vittime.

Il nome assegnato all’APT deriva da una citazione nel codice degli impianti. L’autore è probabilmente un fan di Tolkien.

Il modulo che permette la presenza dell’APT viene installato sui server Domain Controller sotto forma di un filtro per le password Windows LSA (Local System Authority), uno strumento solitamente usato dagli amministratori di sistema per imporre policy specifiche nella gestione delle credenziali di accesso.

Una posizione privilegiata, che consente a ProjectSauron di individuare immediatamente qualsiasi accesso al dominio e memorizzare le credenziali di accesso di tutti gli utenti nel momento stesso in cui vengono create o modificate.

Nel caso in cui i server infettati non offrano un collegamento diretto a Internet, Project Sauron punta a compromettere tutte le macchine della rete che gestiscono grandi quantità di traffico (come quelli che ospitano i siti Web) per garantirsi immediatamente un canale di comunicazione con l’esterno che permetta di non dare troppo nell’occhio.

A questo punto, il malware entra in una modalità “dormiente” e rimane in attesa di un comando di attivazione dall’esterno. Uno stratagemma che gli consente di passare inosservato il maggior tempo possibile e che è abbinato a tecniche di offuscamento decisamente insolite, che secondo gli esperti di Kaspersky testimoniano l’attenta pianificazione che caratterizza l’attività del gruppo.

Condividi l'articolo