צוות המחקר של מעבדת קספרסקי פירסם דוח מחקר חדש על חשיפת Icefog, קבוצה קטנה אך פעילה של האקרים המתמקדת במטרות בדרום קוריאה ויפן, ואשר פוגעת בשרשרת האספקה של חברות מערביות. פעילות הקבוצה החלה בשנת 2011 והתרחבה במהלך השנים האחרונות.
"במהלך השנים האחרונות ראינו מספר איומים טורדניים שפוגעים בכמעט כל סוגי הקורבנות והמגזרים. בדרך כלל, התוקף שומר על דריסת רגל בארגון או ברשת הממשלתית במשך שנים, ומבריח החוצה טרה ביט רבים של נתונים רגישים", אמר קוסטין ראיו, מנהל מחקר בינלאומי וצוות ניתוח. "אך אופי פעילות ה'פגע וברח' של התקפות Icefog מציג מגמה חדשה: חבורות קטנות מייצרות פעילות פגע וברח המאתרות מידע בדיוק כירורגי. ההתקפה לרוב נמשכת מספר ימים או שבועות, ולאחר שהשיגו מה שחיפשו, התוקפים מבצעים ניקוי ועוזבים. בעתיד, אנו צופים צמיחה במספר הקבוצות הקטנות להשכרה המתמחות בפעילות פגע וברח; סוג של 'שכירי חרב מקוונים' המתאימים לעולם המודרני".
ממצאים מרכזיים
- בהתבסס על פרופיל המטרות שזוהו, נראה כי לתוקפים יש עניין במגזרים הבאים: צבא, בניית ספינות ופעילות ימית, פיתוח מחשבים ותוכנה, חברות מחקר, פעילות טלקום, מפעילי לווינים, תקשורת המונים וטלוויזיה.
- המחקר מראה כי התוקפים הציגו עניין בתקיפת קבלנים של תעשיית הביטחון כגון Lig Nex 1 וסלקטרון תעשיות, חברות בניית אוניות כגון DSME Tech, ו- Hanjin Heavy Industries, חברות טלקום כגון קוריאה טלקום וחברות תקשורת כגון פוג'י TV.
- התוקפים חוטפים מסמכים רגישים ותוכניות ארגוניות, הרשאות גישה לדואר אלקטרוני וסיסמאות גישה למשאבים שונים בתוך ומחוץ לרשת המותקפת.
- במהלך הפעילות, התוקפים השתמשו במערך דלת אחורית Icefog (הנקרא גם Fucobha). מעבדת קספרסקי זיהתה גרסאות של Icefog עבור מערכת חלונות ועבור מחשבים מבוססי Mac OS X.
- בעוד שברוב פעילויות התקיפה הקורבן נותר פגוע במהלך חודשים או אפילו שנים, והתוקפים ממשיכים לגנוב מידע, המפעילים של Icefog מטפלים בקורבנות באופן ממוקד – מאתרים ומעתיקים רק מידע ייעודי וממוקד. ברגע שהמידע הרצוי הושג, הם עוזבים.
- ברוב המקרים, נראה כי מפעילי Icefog יודעים היטב מה הם מחפשים אצל הלקוח. הם מחפשים אחר שמות קבצים מסויימים, שמזוהים במהירות ומועברים אל מרכז השליטה והפיקוד.
ההתקפה ודרכי הפעולה
חוקרי קספרסקי פיצחו 13 מתוך 70 הדומיינים ששימשו את התוקפים. הדבר מספק סטטיסטיקות לגבי מספר הקורבנות שנפגעו ברחבי העולם. בנוסף, שרתי השליטה והפיקוד של Icefog שומרים לוגים מוצפנים של הקורבנות, יחד עם פעולות שונות המבוצעות אצלם. הלוגים יכולים לפעמים לסייע בזיהוי מטרות ההתקפה, ובמקרים מסוימים את הקורבנות.
נוסף על יפן וקוריאה, אותרה פעילות במספר מדינות נוספות, כולל טייאוון, הונג קונג, סין, ארה"ב, אוסטרליה, קנדה, איטליה, בריטניה, גרמניה, אוסטריה, סינגפור, בלארוס ומלזיה. בסך-הכל, מעבדת קספרסקי זיהתה יותר מ-4,000 כתובות IP שנדבקו וכמה מאות קורבנות (כמה עשרות משתמשי חלונות ויותר מ-350 משתמשי מק).
בהתבסס על רשימת כתובות ה- IP שנעשה בהן שימוש כדי לשלוט על התשתית, מומחי מעבדת קספרסקי מניחים כי השחקנים מאחורי הפעילות פועלים משלוש מדינות – סין, דרום קוריאה ויפן.
פתרונות מעבדת קספרסקי מזהים ומחסלים את כל הגרסאות של Icefog.