Лаборатория Касперского раскрыла особенности государственного кибершпионажа
В процессе изучения вредоносной платформы EquationDrug, использовавшейся в атаках Equation Group, специалисты «Лаборатории Касперского» выявили ряд новых особенностей, которые отличают спонсируемые государствами кампании кибершпионажа от рядовых киберпреступных операций. Атаки, поддерживаемые государственными органами, становятся все более сложными: организаторы не только тщательно отбирают интересующих их жертв, но также стремятся к увеличению числа программных компонентов используемой платформы, что позволяет как можно дольше скрывать свое присутствие в зараженной системе.
Самые современные платформы для атак имеют множество встраиваемых модулей, позволяющих применять широкий спектр вредоносных инструментов и, более того, подбирать наиболее подходящий набор зловредов в зависимости от особенностей конкретной жертвы и той информации, которой она владеет. Так, платформа EquationDrug, по оценкам специалистов, содержит 116 различных программных модулей.
Помимо этого, спонсируемые государствами кампании заметно отличаются от прочих атак своими масштабами. Они не стремятся охватить как можно больше пользователей. Атакующие, поддерживаемые правительствами, наносят точные и хорошо продуманные удары по небольшому числу заранее избранных жертв. В качестве «оружия» в подобных атаках всегда используются уникальные вредоносные программы, создаваемые с учетом потребностей операции.
Специалисты, стоящие за кибератаками с государственной поддержкой, обладают всеми необходимыми ресурсами для сбора и хранения на зараженном компьютере всей интересующей их информации – они не ограничены ни во времени, ни в объемах собираемых данных. Эти атакующие не привлекают внимание защитного ПО, поскольку старательно избегают заражения случайных пользователей. Зачастую они применяют инструменты удаленного контроля системы, которые позволяют копировать любую информацию в любых объемах. Однако слабое место есть и в этом подходе – перемещение больших массивов данных способно замедлить сетевое соединение, что в свою очередь может вызвать подозрение.
Источник новости: Лаборатория Касперского