Zdaniem badaczy atak był częścią szerszej operacji kradzieży kryptowalut i haseł, z użyciem fałszywej weryfikacji Google, która miała zmylić użytkowników.
Podejrzany atak cybernetyczny z użyciem fałszywych testów CAPTCHA, wymierzony w ukraińską instytucję rządową, powiązano z Moskwą – wynika z nowego raportu (źródło w Angielski).
REKLAMA
REKLAMA
Amerykański gigant technologiczny Cisco poinformował, że jego specjaliści ds. cyberbezpieczeństwa w kwietniu zauważyli nietypową aktywność w systemach komputerowych tej organizacji. Firma twierdzi „z umiarkowaną pewnością”, że ataku dokonał rosyjski sprawca.
Badacze Cisco wykryli w systemie złośliwe oprogramowanie Amatera, zdolne do kradzieży poufnych informacji.
Zostało ono wykorzystane również do zainstalowania oprogramowania, które mogło dać atakującemu dostęp do komputera, w tym możliwość przeglądania plików, przesyłania danych i uruchamiania poleceń – podaje firma.
Cisco ustaliło, że oprogramowanie było skonfigurowane tak, by łączyć się z serwerem o adresie IP zarejestrowanym w Rosji.
Raport nie potwierdza, czy z ukraińskiej organizacji faktycznie wykradziono jakiekolwiek informacje, czy hakerzy aktywnie korzystali z tego dostępu, ani w jaki sposób komputer został pierwotnie zainfekowany.
Badacze Cisco oceniają jednak, że był to element szerszej operacji ukierunkowanej na kradzież kryptowalut i danych logowania.
„Nie było jasne, co uruchomiło ten łańcuch zdarzeń” – czytamy w raporcie.
Fałszywe testy CAPTCHA jako pułapki
W ukraińskim systemie eksperci Cisco zauważyli złośliwy plik ukryty pod nazwą „verification.google”, jednak nie zdołali ustalić, co spowodowało jego uruchomienie.
Aby zrozumieć, jak mogło dojść do infekcji w Ukrainie, poszukali podobnych ataków i natrafili na kolejne zakażenie z wykorzystaniem tego samego złośliwego oprogramowania Amatera.
Tym razem udało się powiązać je ze zhakowanymi stronami internetowymi, które wyświetlały fałszywe wersje testu weryfikacyjnego Google CAPTCHA, używanego do odróżniania ludzkich użytkowników od automatycznych botów.
Zamiast standardowego polecenia zaznaczenia okienka czy wskazania odpowiednich obrazków, fałszywy test nakazywał użytkownikom otworzyć okno na komputerze i wkleić tekst, który uruchamiał złośliwe oprogramowanie.
W tamtej infekcji Amatera posłużyła również do zainstalowania programu stworzonego do kradzieży kryptowalut.
Program mógł śledzić adresy portfeli kryptowalut, które ofiary kopiowały, i zastępować je adresami kontrolowanymi przez napastników, co mogło prowadzić do przekierowania płatności.
Cisco podkreśla, że podobieństwa między tymi infekcjami sugerują, iż atak na Ukrainę mógł rozpocząć się w podobny sposób.
Badacze nie byli jednak w stanie potwierdzić, że obie infekcje zaczęły się w ten sam sposób ani że stoją za nimi ci sami sprawcy.