Cercetători: Malware-ul de supraveghere distribuit prin exploatarea Flash Player

Activiștii politici din Orientul Mijlociu au fost vizați în atacuri care au exploatat o vulnerabilitate necunoscută anterior pentru Flash Player pentru a instala un așa- numitul program de interceptare legal conceput pentru utilizarea legii, cercetatorii de securitate de la vanzatorul antivirus Kaspersky Lab a declarat marti

Joia trecuta, Adobe a lansat o actualizare de urgenta pentru Flash Player pentru a aborda doua vulnerabilitati care nu existau folosit în atacuri active. În cadrul consultanței sale de securitate la vremea respectivă, Adobe ia creditat lui Sergey Golovanov și lui Alexander Polyakov de la Kaspersky Lab pentru raportarea uneia dintre cele două vulnerabilități, și anume CVE-2013-0633.

Marți, cercetătorii Kaspersky Lab au dezvăluit mai multe informații despre modul în care au descoperit inițial vulnerabilitatea. "Au fost observate exploziile pentru CVE-2013-0633 în timpul monitorizării așa-numitului malware de" legalitate "de supraveghere creat de compania italiană HackingTeam," a declarat Golovanov într-un post pe blog. PC-ul tău Windows]

HackingTeam are sediul la Milano dar are și o prezență în Annapolis, Maryland și Singapore. Potrivit site-ului său, compania dezvoltă un program de supraveghere a computerelor denumit RCS (Remote Control System), care este vândut agențiilor de aplicare a legii și agențiilor de informații. "Aici în HackingTeam credem că combaterea criminalității ar trebui să fie ușoară: - pentru a folosi tehnologia ofensiva pentru comunitatile de aplicare a legii si comunitatile de informatii din intreaga lume ", spune compania pe site-ul sau.

Kaspersky Lab monitorizeaza RCS-ul HackingTeam, cunoscut si ca DaVinci, din august 2012, a declarat Costin Raiu, director Kaspersky Echipa de cercetare și analiză globală a laboratorului

RCS / DaVinci poate înregistra conversații text și audio de la diferite programe de chat, inclusiv Skype, Yahoo Messenger, Google Talk și MSN Messenger; poate fura istoricul navigării pe Web; poate activa microfonul computerului și camera web; poate să fure acreditările stocate în browsere și în alte programe și mult mai mult, a spus el.

Cercetătorii Kaspersky au detectat până în prezent aproximativ 50 de incidente care au implicat utilizarea DaVinci împotriva utilizatorilor de calculatoare din diferite țări, inclusiv Italia, Mexic, Kazahstan, Arabia Saudită, Turcia, Argentina, Algeria, Mali, Iran, India și Etiopia.

Cele mai recente atacuri care exploatează activiștii vulnerabili vizați de CVE-2013-0633 dintr-o țară din Orientul Mijlociu, a spus Raiu. Cu toate acestea, el a refuzat să numească țara pentru a evita expunerea informațiilor care ar putea duce la identificarea victimelor.

Nu este clar dacă exploatarea zero-zi pentru CVE-2013-0633 a fost vândută de HackingTeam împreună cu malware-ul de supraveghere sau dacă cineva care a achiziționat programul a obținut exploatarea dintr-o altă sursă, Raiu a spus că

HackingTeam nu a răspuns imediat la o solicitare de comentariu.

În atacurile anterioare detectate de Kaspersky Lab, DaVinci a fost distribuit prin exploatări pentru Flash Player vulnerabilități care au fost descoperite de firma de cercetare franceză de vulnerabilitate Vupen, a declarat Raiu.

Vupen admite deschis vânzarea de explozii de zi zero, dar susține că clienții săi sunt guverne și organe de aplicare a legii din țări membre sau parteneri ai NATO, ANZUS sau organizațiile geopolitice ASEAN

Programul de instalare DaVinci care a scăzut pe computere prin exploatarea CVE-2013-0633 în prima etapă a atacului a fost semnat cu o problemă validă a certificatului digital d de către GlobalSign către o persoană numită Kamel Abed, a declarat Raiu

GlobalSign nu a răspuns imediat la o cerere pentru mai multe informații despre acest certificat și despre starea sa actuală

Acest lucru este in concordanta cu atacurile din trecut ale lui DaVinci, in care picuratorul a fost semnat si digital, a spus Raiu. Certificatele anterioare folosite pentru semnarea droppers-ului DaVinci au fost inregistrate la un Salvetore Macchiarella si la o companie denumita OPM Security inregistrata in Panama, a declarat el.

Potrivit website-ului, OPM Security vinde un produs numit Power Spy pentru 200 de euro (267 USD) titlul "spionarea soțului, soției, copiilor sau angajaților dvs." Lista de caracteristici a lui Power Spy este foarte asemănătoare cu lista de caracteristici a lui DaVinci, ceea ce înseamnă că OPM ar putea fi un reseller al programului de supraveghere al lui HackingTeam, a spus Raiu. nu este primul caz în care malware-ul de supraveghere legală a fost folosit împotriva activiștilor și disidenților în țările în care libera exprimare este limitată.

Există rapoarte anterioare despre FinFisher, un set de instrumente de supraveghere a calculatorului dezvoltat de compania Gamma Group International, activiști politici din Bahrain

Cercetătorii de la Laboratorul Citizen de la Scoala de Afaceri Globale din cadrul Universității Toronto de la Toronto au raportat, de asemenea, în octombrie că RCS HackingTeam (DaVinc i) Programul a fost folosit împotriva unui activist pentru drepturile omului din Emiratele Arabe Unite.

Acest tip de program este o bomba cu ceas, din cauza lipsei reglementării și a vânzării necontrolate, a spus Raiu. Unele țări au restricții privind exportul de sisteme criptografice, care ar acoperi teoretic astfel de programe, însă aceste restricții pot fi ușor ignorate prin vânzarea software-ului prin intermediul resellerilor offshore, a afirmat el.

Marea problemă este că aceste programe nu pot fi utilizate numai guvernele să spioneze propriii cetățeni, dar pot fi folosiți și de guverne pentru a spiona alte guverne sau pot fi folosite pentru spionaj industrial și corporativ, a spus Raiu.

Când astfel de programe sunt folosite pentru a ataca companii mari sau sunt folosite de către infractorii ciberneticieni care vor fi responsabili de faptul că software-ul se încadrează în mâinile greșite, a întrebat Raiu.

Din perspectiva Kaspersky Lab, nu există nici o îndoială: Aceste programe vor fi detectate ca malware indiferent de destinația lor, a spus el.