Equation: Звезда смерти Галактики Вредоносного ПО

 Equation group: questions and answers PDF (eng)

«Хьюстон, у нас проблема»

В один прекрасный солнечный день 2009 года Гжегож Бженчишчикевич¹ прилетел в цветущий город Хьюстон, где открывалась престижная международная научная конференция. Будучи крупным специалистом в своей области, Гжегож давно привык к подобным поездкам. На протяжении следующих двух дней г-н Бженчишчикевич обменивался визитными карточками с другими ведущими исследователями и обсуждал с ними важные вопросы, какие обычно и обсуждают друг с другом ученые такого уровня (что это были за вопросы, простому человеку не понять). Но все хорошее заканчивается – завершилась и конференция. Гжегож Бженчишчикевич отправился домой, увозя с собой тезисы наиболее интересных докладов, представленных на этом важном форуме.

Некоторое время спустя, как принято на подобных мероприятиях, организаторы разослали всем участникам компакт-диск, содержащий множество прекрасных фотографий с конференции. Вставив компакт-диск в свой компьютер и начав просматривать слайд-шоу, Гжегож и понятия не имел о том, что стал жертвой могущественной организации, занимающейся кибершпионажем и только что заразившей его компьютер вредоносным кодом, применив при этом три эксплойта, два из которых были эксплойтами нулевого дня.

Свидание с «богом» кибершпионажа

Нет точных данных о том, когда группировка Equation² начала свою деятельность. Наиболее ранние из известных нам вредоносных образцов были скомпилированы в 2002 году, однако домен их командного сервера был зарегистрирован в августе 2001 года. Домены других командных серверов, используемых группировкой Equation, были, судя по всему, зарегистрированы еще в 1996 году; это может означать, что группировка действует уже почти два десятилетия. Она много лет взаимодействует с другими влиятельными группировками, например с теми, что стоят за Stuxnet и Flame, причем каждый раз с позиции превосходства: Equation всегда получала доступ к эксплойтам нулевого дня раньше других групп.

Начиная с 2001 года группировка Equation сумела заразить по всему миру компьютеры тысяч, возможно даже десятков тысяч жертв, относящихся к следующим сферам деятельности:

• правительственные и дипломатические учреждения;
• телекоммуникации;
• аэрокосмическая отрасль;
• энергетика;
• ядерные исследования;
• нефтегазовая отрасль;
• военные;
• нанотехнологии;
• исламские активисты и теологи;
• СМИ;
• транспорт;
• финансовые организации;
• компании, разрабатывающие технологии шифрования.

Для заражения жертв Equation применяет мощный арсенал «имплантов» (так они называют свои троянские программы), для которых мы придумали следующие имена: EQUATIONLASER, EQUATIONDRUG, DOUBLEFANTASY, TRIPLEFANTASY, FANNY и GRAYFISH. Несомненно, существуют и другие импланты, которые нам еще только предстоит обнаружить и назвать.

#EquationAPT взаимодействует с другими влиятельными группировками, например, #Stuxnet и #Flame #TheSAS2015

Tweet

Сама группировка использует множество внутренних кодовых слов для обозначения собственных инструментов и имплантов, таких как SKYHOOKCHOW, UR, KS, SF, STEALTHFIGHTER, DRINKPARSLEY, STRAITACID, LUTEUSOBSTOS, STRAITSHOOTER, DESERTWINTER и GROK. Как это ни удивительно для группировки столь высокого уровня, один из разработчиков совершил непростительную ошибку, оставив свое имя пользователя «RMGREE5» в одном из вредоносных образцов в названии рабочей папки: «c:usersrmgree5«.

Вероятно, наиболее мощный инструмент в арсенале группировки Equation – таинственный модуль, известный под именем «nls_933w.dll«. Этот модуль позволяет изменять встроенную микропрограмму (прошивку) жестких дисков двенадцати наиболее популярных производителей, в том числе Seagate, Western Digital, Toshiba, Maxtor, IBM и т.д. Это поразительное техническое достижение, позволяющее сделать выводы об уровне возможностей группы.

Модуль nls_933w.dll из арсенала #EquationAPT позволяет изменять прошивку жестких дисков #TheSAS2015

Tweet

За последние годы группировка Equation организовала множество различных атак. Одна из них выделяется на общем фоне – это червь Fanny. Вредоносная программа предположительно была скомпилирована в июле 2008 года, впервые она обнаружена и заблокирована нашими системами в декабре 2008 года. В Fanny были применены два эксплойта нулевого дня, которые были впоследствии обнаружены при изучении Stuxnet. Червь распространялся через USB флеш-накопители, используя тот же LNK-эксплойт, что и Stuxnet. Повышение привилегий Fanny в системе обеспечивалось за счет эксплуатации уязвимости, впоследствии закрытой патчем Microsoft MS09-025. Эта же уязвимость использовалась в одной из ранних версий Stuxnet, датируемой 2009 годом.

LNK-эксплойт, используемый Fanny

Важно подчеркнуть, что оба этих эксплойта были применены в Fanny до того, как они вошли в состав Stuxnet. Это говорит о том, что группировка Equation получила доступ к этим эксплойтам нулевого дня раньше, чем группировка Stuxnet. Главная задача, решаемая Fanny, – получение подробных сведений об изолированных сетях, отделенных от внешнего мира так называемым «воздушным барьером», то есть не подключенных к интернету. Для решения этой задачи червь использовал уникальный механизм офлайновой связи с командными серверами, основанный на применении USB-накопителей для передачи команд и данных между изолированными сетями и командным сервером, причем в обе стороны.

Группировка #EquationAPT применила два эксплойта нулевого дня до того, как они вошли в состав #Stuxnet #TheSAS2015

Tweet

В ближайшие дни мы опубликуем новые подробности о вредоносных программах группировки Equation и атаках, осуществленных этой группой. В первом документе серии будут даны ответы на часто задаваемые вопросы.

Публикуя эти данные, мы хотим пригласить к сотрудничеству компании, работающие в сфере информационной безопасности, а также независимых исследователей. Возможно, это позволит лучше понять механизм таких атак. Чем больше мы изучаем подобные кибершпионские операции, тем больше отдаем себе отчет в том, что в действительности мы очень мало о них знаем. Сообща мы сможем приподнять эту завесу тайны и сделать (кибер-)мир более безопасным.

 Equation group: questions and answers PDF (eng)

Индикаторы заражения («по одному для каждого»):

Командные серверы (домены и IP-адреса):

DoubleFantasy:

EquationLaser:

Fanny:

EquationDrug:

GrayFish:

TripleFantasy:

Серверы эксплойтов группировки Equation:

IP-адреса, в явном виде прописанные в блоках конфигурации вредоносных образцов:

Вердикты, выдаваемые продуктами «Лаборатории Касперского»:

• Backdoor.Win32.Laserv
• Backdoor.Win32.Laserv.b
• Exploit.Java.CVE-2012-1723.ad
• HEUR:Exploit.Java.CVE-2012-1723.gen
• HEUR:Exploit.Java.Generic
• HEUR:Trojan.Java.Generic
• HEUR:Trojan.Win32.DoubleFantasy.gen
• HEUR:Trojan.Win32.EquationDrug.gen
• HEUR:Trojan.Win32.Generic
• HEUR:Trojan.Win32.GrayFish.gen
• HEUR:Trojan.Win32.TripleFantasy.gen
• Rootkit.Boot.Grayfish.a
• Trojan-Downloader.Win32.Agent.bjqt
• Trojan.Boot.Grayfish.a
• Trojan.Win32.Agent.ajkoe
• Trojan.Win32.Agent.iedc
• Trojan.Win32.Agent2.jmk
• Trojan.Win32.Diple.fzbb
• Trojan.Win32.DoubleFantasy.a
• Trojan.Win32.DoubleFantasy.gen
• Trojan.Win32.EquationDrug.b
• Trojan.Win32.EquationDrug.c
• Trojan.Win32.EquationDrug.d
• Trojan.Win32.EquationDrug.e
• Trojan.Win32.EquationDrug.f
• Trojan.Win32.EquationDrug.g
• Trojan.Win32.EquationDrug.h
• Trojan.Win32.EquationDrug.i
• Trojan.Win32.EquationDrug.j
• Trojan.Win32.EquationDrug.k
• Trojan.Win32.EquationLaser.a
• Trojan.Win32.EquationLaser.c
• Trojan.Win32.EquationLaser.d
• Trojan.Win32.Genome.agegx
• Trojan.Win32.Genome.akyzh
• Trojan.Win32.Genome.ammqt
• Trojan.Win32.Genome.dyvi
• Trojan.Win32.Genome.ihcl
• Trojan.Win32.Patched.kc
• Trojan.Win64.EquationDrug.a
• Trojan.Win64.EquationDrug.b
• Trojan.Win64.Rozena.rpcs
• Worm.Win32.AutoRun.wzs

Правила Yara:

¹ псевдоним, необходимый для защиты тайны частной жизни жертвы >>
² имя Equation («уравнение») было дано группировке из-за ее любви к сложным схемам шифрования >>