Преступники научились красть данные с физически изолированных компьютеров
Кражу данных с компьютеров, не подключенных к сети, научилась осуществлять APT-группировка Cycldek. Информацию об этом обнародовала «Лаборатория Касперского», 4 июня сообщает интернет-издание CNews.
Вредоносная программа USBCulprit позволяет злоумышленникам получать доступ к файлам на отключенных от сети, изолированных компьютерах. По данным «Лаборатории Касперского», это вредоносное ПО появилось в 2014 году, обновлялось в 2019.
Основной принцип кражи: проникновение на компьютер, подключенный к сети. Затем заражаются флешки, которые используются при переносе данных между компьютерами. Обмен с изолированными компьютерами осуществляется через переносные носители.
В случае заражения носителя, который используется при обмене данных с изолированным компьютером, достигается цель — на изолированном компьютере устанавливается вредоносное ПО. Оно собирает, шифрует и сжимает данные, которые при следующем подключении внешнего носителя копируются туда.
APT (advanced persistent threat) — целевая кибератака, которая готовится длительное время, при этом максимально маскирует себя. Как правило, она нацелена на конкретные компании или производственные сектора.
По информации «Лаборатории Касперского», APT-группировка Cycldek атакует преимущественно крупные компании и правительственные учреждения в Юго-Восточной Азии. Для первого проникновения используется социальная инженерия. Один или несколько сотрудников компании получают фишинговое письмо с вложением, открытие которого приводит к заражению компьютера шпионским ПО Newcore RAT. Но это заражение никак внешне не проявляется. Письмо не вызывает подозрений даже после прочтения.
Newcore RAT в свою очередь устанавливает программу USBCulprit, которая заражает подключаемые внешние носители. Помимо USBCulprit, на зараженные компьютеры устанавливаются программы для кражи файлов, cookie и паролей из баз данных веб-браузера.
Деятельность Cycldek комментирует руководитель российского исследовательского центра «Лаборатории Касперского» Юрий Наместников: «Мы видим, что эта группировка использует гораздо более сложные инструменты, а ее присутствие в Юго-Восточной Азии гораздо шире, чем предполагалось раньше». Он также считает, что активность группировки будет расширяться на другие страны.
«Лаборатория Касперского» разрабатывает продукты, которые позволяют уменьшить вероятность успеха APT атаки. Это программа для защиты конечных устройств, расследования и своевременного восстановления после инцидентов Kaspersky Endpoint Detection and Response и продукт корпоративного уровня, который обнаруживает угрозы на ранней стадии Kaspersky Anti Targeted Attack Platform.
