GreyEnergy Ukraina bizneslariga firibgarlik bilan hujum qilmoqda

Bir necha yillar davomida hujumchilar maxsus texnikalar yordamida hujumlarini samarali ravishda yashira oldilar.

APT guruhi GreyEnergy bir necha yillardan beri Ukraina va Sharqiy Yevropa bo’ylab sanoat ob’ektlariga hujum qilib kelmoqda. Nozomi Networks GreyEnergy faoliyatini tahlil qildi va guruhning uzoq vaqt davomida sezilmay qolishiga imkon bergan vositalar va taktikalarni aniqladi.

Hujumchilar Polsha va Ukrainadagi sanoat korxonalariga maxsus ICS dasturi yordamida hujum qilishdi. Zararli dastur kompyuterlarga ukrain tilida yozilgan fishing elektron pochtalari orqali yetkazildi. Elektron pochtalarda zararli Microsoft Word hujjati mavjud bo’lib, u ochilgandan so’ng foydalanuvchidan «tarkibni tahrirlash»ni talab qilardi. Zararli elektron pochta xabarlari jabrlanuvchidan ilova qilingan interaktiv shaklni to’ldirishni ham talab qildi.

Nayza fishingi APT guruhlari orasida juda mashhur hujum vektoridir. Biroq, Nozomi Networks tahlilchilarining fikriga ko’ra, GreyEnergy kodi boshqa hech kimga o’xshamaydi. U yaxshi yozilgan va kompilyatsiya qilingan bo’lib, xavfsizlik mahsulotlari tomonidan aniqlanmasligi mumkin.

Zararli hujjatni ochgandan so’ng (jabrlanuvchi makroslarni faollashtirishdan oldin), tasvir uzoq manbadan maqsadli tizimga yuklab olinadi. Keyin zararli kod oledump vositasi yordamida osongina ajratib olinadi va paketdan chiqariladi.

«Tahlilni tugatgandan so’ng, men GreyEnergy qadoqlovchisi teskari muhandislik jarayonini sekinlashtirishda ajoyib ish qilishini angladim. U qo’llayotgan texnikalar yangi emas, lekin asboblar ham, taktikalar ham juda oqilona tanlangan», – deydi Nozomi Networks mutaxassisi Alessandro Di Pinto.

Hujumchilar qarshi turish oson bo’lgan, ammo foydali yukni ishonchli himoya qiladigan maxsus algoritmlardan foydalanadilar. Bundan tashqari, ularning xotiradan satrlarni o’chirish kabi qochish usullari hujumlarini samarali ravishda yashiradi.

GreyEnergy’ning faoliyati ilgari ESET tadqiqotchilari tomonidan aniqlangan edi. Ularning fikricha, guruh tomonidan ishlatilgan zararli dastur mashhur BlackEnergy’ning bevosita avlodi hisoblanadi.