Za portalem niebezpiecznik.pl przytaczamy ciekawy raport na temat sieci zainfekowanych komputerów, służącej do ataków i pozyskiwania niejawnych informacji – botnetu – mogącej być „własnością” gruzińskiego rządu.
Jako pierwsi w Polsce mamy przyjemność poninformować, że dziś o 14:00 ESET postanowił ujawnić informacje na temat ciekawego botnetu, który został namierzony na początku tego roku. Botnet miał swoje C&C (czyli centrum zarządzania) w… rządowej domenie Gruzji.
Win32/Georbot
Oto kilka ciekawych faktów dotyczących botnetu Win32/Georbot pochodzących z nadesłanego nam przez ESET raportu:
– Centrum sterowania zlokalizowane między innymi w rządowej domenie Gruzji (gov.ge). Nie oznacza to, że rząd Gruzji musi mieć z tym coś wspólnego, ale interesujące jest to, że jeśli bot nie znajdzie żadnego żywego C&C, to próbuje odwołać się do pewnej rządowej gruzińskiej domeny, skąd pobiera informacje o działających C&C.
– Atakowanie przede wszystkim gruzińskich internautów. Bot przed infekcją sprawdza, czy ofiara jest w strefie czasowej (UTC+3 lub UTC+4). Infekcja botem następuje poprzez odwiedzenie strony internetowej — ESET nie ujawnia z jakich podatności korzysta Georbot.
– Ręczna obfuskacja kodu. Większość dzisiejszego malwareu jest obfuskowana automatycznie, przede wszystkim packerami. Georbot ma obfuskowane nawet URL-e, adresy IP, ładowane DLL-ki oraz wywołania Windows API.
Win32/Georbot potrafi przeprowadzać ataki DDoS, wykradać certyfikaty (klucze prywatne) oraz konfigi RDP, skanować lokalną sieć ofiary, przesyłać dowolne pliki z dysku ofiary na zewnętrzne serwery i oczywiście standardowo: robić screenshoty, podpinać się pod webcam i mikrofon. Ale co ciekawe — wszystkie te komendy są aktywowane RĘCZNIE i wysyłane indywidualnie do WYBRANYCH hostów.
Najciekawsza funkcja Win32/Georbot
Jednak najciekawszą funkcją bota (i zarazem najczęściej używaną) jest wyszukiwanie na dysku ofiary plików Microsoft Worda oraz przeszukiwanie ich pod kątem konkretnych słów kluczowych. Oto, jakie zestawy słów kluczowych były wyszukiwane:
ministr,service,secret,top,agent,contact,army,USA,
Russia,Georgia,major,colonel,FBI,CIA,phone,number,
east,program
ministr service secret Russia Geo Euro weapon USA
Americ top colonel major serg soldie contact telephone
Cauca FBI CIA FSB KGB army name surname important
ministry,secret,plan,scheme,fsb,fbi,cia,kgb,captain,
colonel,leutenant,plan,phone,contact,number,russia,
georgia,usa,europe,major,general,top,interest,photo,
build,sphere
…to raczej nie pozostawia wielu wątpliwości, jaki jest cel botnetu Win32/Georbot. Zwróćcie uwagę, że szukano angielskich, a nie gruzińskich słów.
Powyższe “poszukiwane frazy”, jak i to, że na pierwsze ślady bota można było trafić już w 2010 roku pochodzą z panelu sterowania botem, do którego udało się dotrzeć analitykom ESET-u.
Z panelu i historii upgrade’ów bota wynika, że bot jest często uaktualniany, głównie są to jednak zmiany typowo kosmetyczne i polegają na uniknięciu wykrycia przez antywirusy.
Wątpliwości co do “rządowości”.
ESET wspomina, że gruziński CERT oraz gruzińskie ministerstwo sprawiedliwości wiedzieli o tym zagrożeniu od 2011 roku, a z analitykami ESET-u współpracowali bez przeszkód. Firma twierdzi także, że malware jest za mało skomplikowany, żeby być finansowany przez rząd. Pracownicy ESET-u obstawiają, że jest to twór grupy, która trudni się wykradaniem i sprzedażą informacji. Kto wie, może to wewnętrzny projekt STRATFOR-u? 🙂
