NetTraveler: атаки под символом красной звезды

В течение нескольких лет мы наблюдали за активностью кибершпионской сети, которая заразила компьютеры более чем 350 избранных жертв в 40 странах мира. Главным инструментом атакующих была вредоносная программа NetTraveler, разработанная для скрытного наблюдения за компьютером.

Название ‘NetTraveler’ было обнаружено в одном из внутренних сообщений, встроенных в тело программы: ‘NetTravelerisRunning!’ (‘NetTraveler активен!’). Эта вредоносная программа известна также как ‘Travnet’ или ‘Netfile’. Она использовалась для базового наблюдения за жертвами. Наиболее ранние версии этой программы, которые нам удалось обнаружить, датируются 2005 годом, однако есть сведения, указывающие, что разработка велась, начиная с 2004 года. Большинство вредоносных файлов, которые нам удалось собрать, датируются 2010 — 2013 годами.

Иконка программы-конструктора NetTraveler

Известные нам жертвы NetTraveler включают Тибетских и Уйгурских активистов, нефтяные компании, научно-исследовательские институты, университеты, различные частные компании, правительства и правительственные организации, посольства и военные объекты.

Карта жертв NetTraveler

Приведенная ниже диаграмма показывает распределение жертв по индустриям (часть жертв классифицировать не удалось):

Распределение жертв NetTraveler по индустриям

Ключевые моменты в исследовании атак NetTraveler:

• Наибольшее число жертв сосредоточено в Монголии, Индии и в России. В целом, нам удалось идентифицировать 40 стран, где находятся жертвы этих атак, включая: Казахстан, Киргизия, Китай, Таджикистан, Южная Корея, Испания, Германия, США, Канада, Великобритания, Чили, Марокко, Греция, Бельгия, Австрия, Украина, Литва, Беларусь, Австралия, Гонконг, Япония, Иран, Турция, Пакистан, Таиланд, Катар и Иордания.
• Кибератаки NetTraveler поразили правительства, посольства, научную и военную сферу государств, а также отдельные активистские движения.
• На основе собранных данных мы считаем, что число атакующих насчитывает до 50 человек, для большинства из которых китайский язык является родным, однако они владеют и английским языком — на среднем уровне.
• В последнее время целями кибератак NetTraveler являются научные институты, занимающиеся аэрокосмическими исследованиями, нанотехнологиями, лазерной физикой, исследованиями в области ядерной физики; медицинские институты; нефтедобывающие и телекоммуникационные компании.
• NetTraveler разработан с целью кражи ценной информации, хранимой на зараженном компьютере, а также записи нажатий клавиш, получения списка доступных файлов, а также автоматического копирования документов MicrosoftOffice и PDF.
• Мы обнаружили 6 жертв, которые были заражены одновременно NetTraveler и RedOctober (http://www.securelist.com/en/blog/785/).
• Продукты ‘Лаборатории Касперского’ детектируют и нейтрализуют вредоносные программы данного семейства под именами  Trojan-Spy.Win32.TravNet и Downloader.Win32.NetTraveler. Кроме этого, вредоносные документы MicrosoftOffice, используемые для первичного заражения через E-mail, детектируются как Exploit.MSWord.CVE-2010-333 и Exploit.Win32.CVE-2012-0158.

Дополнительная информация о NetTraveler доступна в нашем открытом отчете — ‘TheNetTravelerAttacks, Part 1’ [PDF]

Содержание документа ‘Атаки NetTraveler — Часть 1′:

• Анализ атак
• Сервера управления
• Статистика
• Обнаружение
• Выводы