Το malware με την ονομασία Regin είναι επιπλέον και μία κακόβουλη πλατφόρμα κατασκοπείας δικτύων GSM

Σύμφωνα με την εταιρεία Kaspersky, το Regin είναι η πρώτη πλατφόρμα ψηφιακών επιθέσεων που μπορεί να διαπερνά και να παρακολουθεί GSM δίκτυα, πραγματοποιώντας παράλληλα και άλλες "τυπικές" εργασίες κατασκοπείας. Οι επιτιθέμενοι πίσω από την πλατφόρμα έχουν παραβιάσει δίκτυα υπολογιστών σε τουλάχιστον 14 χώρες.

 

Την άνοιξη του 2012, οι ειδικοί της Kaspersky Lab αντιλήφθηκαν για πρώτη φορά το κακόβουλο λογισμικό Regin, το οποίο φαινόταν να είναι μέρος μιας περίπλοκης εκστρατείας κατασκοπείας. Εδώ και τρία σχεδόν χρόνια, ίχνη του κακόβουλου λογισμικού έχουν εντοπιστεί σε όλο τον κόσμο. Κατά καιρούς, εμφανίζονταν δείγματα σε διάφορες multi-scanner υπηρεσίες, αλλά ήταν όλες άσχετες μεταξύ τους, με αινιγματική λειτουργικότητα και χωρίς συγκεκριμένο πλαίσιο. Ωστόσο, οι ειδικοί της Kaspersky Lab μπόρεσαν να απομονώσουν δείγματα που εμπλέκονταν σε διάφορες επιθέσεις, συμπεριλαμβανομένων και εκείνων κατά κυβερνητικών οργανισμών και παρόχων τηλεπικοινωνιών. Τα δείγματα αυτά παρείχαν επαρκή πληροφόρηση ώστε να προχωρήσει μια πιο ενδελεχής έρευνα σχετικά με την απειλή αυτή.

 

Η μελέτη των ειδικών της εταιρείας διαπίστωσε ότι το Regin δεν είναι απλώς ένα κακόβουλο πρόγραμμα, αλλά μια πλατφόρμα, ένα πακέτο λογισμικού αποτελούμενο από πολλαπλές μονάδες, οι οποίες μπορούν να "μολύνουν" ολόκληρο το δίκτυο των στοχοποιημένων οργανισμών, για να αποκτήσουν πλήρη απομακρυσμένο έλεγχο σε κάθε επίπεδο που αυτό ήταν δυνατόν. Σκοπός του Regin είναι η συγκέντρωση εμπιστευτικών δεδομένων μέσα από τα δίκτυα που δέχονται επίθεση και η εκτέλεση πολλών άλλων τύπων επιθέσεων.

 

Ο παράγοντας που βρίσκεται πίσω από την πλατφόρμα Regin διαθέτει μια πολύ καλά αναπτυγμένη μέθοδο για τον έλεγχο των δικτύων που έχουν "μολυνθεί". Οι ειδικοί της Kaspersky Lab εντόπισαν αρκετούς οργανισμούς που βρίσκονταν σε κίνδυνο σε μία χώρα, αλλά μόνο ένας από αυτούς ήταν προγραμματισμένος να επικοινωνεί με τον Command & Control server που βρισκόταν σε άλλη χώρα.

 

 

Ωστόσο, όλα τα θύματα του Regin στην περιοχή ενώθηκαν σε ένα peer-to-peer δίκτυο, που έμοιαζε με δίκτυο VPN, γεγονός που επέτρεπε την μεταξύ τους επικοινωνία. Έτσι, οι επιτιθέμενοι μετέτρεψαν τους παραβιασμένους οργανισμούς σε ένα πολύ μεγάλο, ενοποιημένο θύμα και ήταν σε θέση να στέλνουν εντολές και να υποκλέπτουν πληροφορίες μέσω ενός και μόνο σημείου εισόδου. Βάσει της έρευνας της Kaspersky Lab, η δομή αυτή επέτρεψε στον παράγοντα να λειτουργεί αθόρυβα για πολλά χρόνια χωρίς να εγείρει υποψίες.

 

Το πιο πρωτότυπο και ενδιαφέρον χαρακτηριστικό της πλατφόρμας Regin, όμως, είναι η ικανότητά της να επιτίθεται σε GSM δίκτυα. Σύμφωνα με ένα αρχείο καταγραφής δραστηριότητας σε έναν ελεγκτή σταθμού βάσης GSM που μελετήθηκε από τους ερευνητές της Kaspersky Lab, οι επιτιθέμενοι ήταν σε θέση να αποκτήσουν στοιχεία πρόσβασης που θα τους επέτρεπαν να ελέγχουν τις κυψέλες GSM του δικτύου μίας μεγάλης εταιρείας κινητής τηλεφωνίας. Αυτό σημαίνει ότι θα μπορούσαν να έχουν πρόσβαση σε πληροφορίες σχετικά με το ποιες κλήσεις βρίσκονται υπό την επεξεργασία μιας συγκεκριμένης κυψέλης GSM, να ανακατευθύνουν τις κλήσεις σε άλλες κυψέλες, να ενεργοποιούν γειτονικές κυψέλες και να εκτελούν άλλες επιθετικές δραστηριότητες. Προς το παρόν, οι επιτιθέμενοι πίσω από το Regin είναι οι μόνοι που έχει γνωστό ότι ήταν σε θέση να υλοποιήσουν τέτοιου είδους επιχειρήσεις.

 

 

Το Regin αποδεικνύεται ότι είναι μία απειλή με ιδιαίτερα πολύπλοκο και εκλεπτισμένο μηχανισμό που "χτυπάει" και δίκτυα GSM.

 

Πρόσφατα, η ομάδα CERT (Computer Emergency Readiness Team) στις Ηνωμένες Πολιτείες δημοσιοποίησε μία προειδοποίηση για το Regin. Αρκετοί που είδαν την ανακοίνωση, έσπευσαν να ειρωνευτούν, αφού οι περισσότεροι πιστεύουν ότι πίσω από τον κώδικα του Regin κρύβονται οι υπηρεσίες αντικατασκοπείας των Ηνωμένων Πολιτειών ή της Μ.Βρετανίας.

 

Το πιθανότερο είναι η ομάδα CERT ήθελε να αναγνωρίσει τις ανησυχίες των εταιρειών Symantec και Kaspersky, αν και η κίνηση μοιάζει... κωμική. Βεβαίως δεν είναι η πρώτη φορά που η ομάδα CERT δημοσιοποιεί προειδοποιήσεις, το έχει κάνει και στην περίπτωση του Stuxnet και του malware με την ονομασία Duqu.

 

Site: Kaspersky

Site: Engadget