FinFisher (FinSpy) – шпионское ПО, разработанное компанией Gamma Group International, которое ранее продавалось правоохранительным органам и правительственным структурам по всему миру. В программе предусмотрен широкий спектр возможностей для слежки через веб-камеру и микрофон, а также функции кейлоггинга (перехват нажатия клавиш), кражи файлов, прослушивания через Skype и др.

Для распространения FinFisher используются различные механизмы заражения, включая целевой фишинг, установку вручную (если у атакующих есть физический доступ к устройству), уязвимости нулевого дня и watering hole атаки (заражение сайтов, которые предположительно посещают потенциальные жертвы).

В последних операциях FinFisher обнаружен новый вектор – схема man-in-the-middle (атака посредника) с возможным участием интернет-провайдера. Вектор используется в двух странах, где активны последние модификации FinFisher.

В рамках этой схемы, когда объект слежки собирается скачать одно из популярных приложений, его перенаправляют на версию программы, зараженную FinFisher. Процесс переадресации невидим для пользователя. После скачивания на устройстве появляется не только легитимное приложение, но и шпионское ПО.

Аналитики Eset обнаружили троянизированные версии WhatsApp, Skype, Avast, WinRAR, VLC Player и некоторых других программ, но теоретически так можно использовать любое легитимное приложение.

Один из образцов FinFisher, обнаруженный Eset, был замаскирован под исполняемый файл мессенджера Threema. Приложение обеспечивает безопасный обмен мгновенными сообщениями со сквозным шифрованием, его устанавливают пользователи, стремящиеся к конфиденциальности.

Акцент на пользователей, интересующихся технологиями шифрования, не ограничивается мессенджерами. Например, один из установочных файлов, зараженных FinFisher, предназначался для установки ПО для шифрования диска TrueCrypt.

Антивирусные продукты Eset обнаруживают и блокируют новую модификацию угрозы как Win32/FinSpy.AA и Win32/FinSpy.AB.

Программный комплекс «Офисный контроль и DLP Safetica» представляет собой модульный продукт, помимо системы предотвращения утечек данных (Data Loss Prevention, DLP) включающий средства мониторинга и аналитические инструменты, отражающие наиболее полную картину рабочего дня сотрудников организации. Решение защищает компанию от спланированных или случайных утечек данных, злонамеренных действий инсайдеров и BYOD-рисков, а также помогает повысить продуктивность работы персонала и обеспечить соблюдение политик безопасности предприятия.

Возможности комплекса «Офисный контроль и DLP Safetica» позволяют пресекать передачу любой циркулирующей в сети организации конфиденциальной информации, обнаруживать атаки с использованием методов социальной инженерии, выявлять колебания производительности офисных работников и другие опасные тенденции, контролировать личные устройства сотрудников в корпоративной среде, использование приложений и принтеров, а также формировать отчёты о сетевой активности персонала. При этом система отчётности интерактивна и позволяет в динамике наблюдать за развитием событий в информационном поле компании.
«Офисный контроль и DLP Safetica» относится к категории универсальных продуктов. Помимо предотвращения утечек данных и расследования произошедших инцидентов в области информационной безопасности, его можно применять для контроля над использованием корпоративных ресурсов, продуктивностью работы персонала, оценки лояльности сотрудников, настроений в коллективе и решения прочих задач.

Представленный ESET комплекс функционирует в среде Windows и не требует изменения сетевой IT-инфраструктуры организации. Перехват данных с рабочих станций осуществляется с помощью программ-агентов (Safetica Endpoint Client), устанавливаемых на рабочие станции сотрудников и взаимодействующих с системой управления через сервер (Service Management Safetica). Сервер создаёт базу данных деятельности сотрудников на рабочих станциях и распространяет политики безопасности на каждое устройство или пользователя.

Группа Turla специализируется на операциях кибершпионажа. Ее жертвами становились крупные организации из Европы и США, в 2016 году хакеры провели атаку на швейцарский оборонный холдинг RUAG. Характерные для Turla методы – атаки типа watering hole и целевой фишинг. Как показало новое исследование Eset, группа совершенствует инструментарий.

Хакеры Turla объединили в пакет собственный бэкдор и программу-установщик Adobe Flash Player, а также внедрили специальные техники, чтобы домены и IP-адреса загрузки поддельного софта внешне напоминали легитимную инфраструктуру Adobe. Данные меры заставляют потенциальную жертву поверить, что она скачивает подлинное ПО с сайта adobe.com, хотя это не соответствует действительности – подмена легитимного установщика вредоносным производится на одном из этапов пути от серверов Adobe к рабочей станции.

Специалисты Eset предполагают, что подобная атака может производиться следующими способами. Одна из машин в корпоративной сети жертвы может быть взломана, чтобы использоваться в качестве плацдарма для локальной атаки Man-in-the-Middle (MitM). Далее в ходе атаки трафик компьютера жертвы будет перенаправлен на скомпрометированную машину в локальной сети. Атакующие могут скомпрометировать сетевой шлюз организации для перехвата входящего и исходящего трафика между корпоративной сетью и интернетом.

Перехват трафика может производиться на уровне интернет-провайдера (ISP) – тактика известна из недавнего исследования Eset, посвященного кибершпионажу. Известные жертвы находятся в разных странах и, по данным Eset, используют услуги минимум четырех провайдеров. Хакеры могут выполнить атаку на BGP-маршрутизаторы (Border Gateway Protocol hijacking) для перенаправления трафика на контролируемый ими сервер, хотя эта тактика, скорее всего, привлекла бы внимание систем мониторинга.

После запуска поддельного инсталлятора Flash Player на компьютер жертвы будет установлен один из бэкдоров группы Turla. Это может быть одна из версий Windows-бэкдора Mosquito, вредоносный файл JavaScript или неизвестный файл, загруженный с фиктивного и несуществующего URL-адреса Adobe.

Далее выполняется основная задача – эксфильтрация конфиденциальных данных. Атакующие получают уникальный идентификатор скомпрометированной машины, имя пользователя, список установленных продуктов безопасности и ARP-таблицу.

На финальной стадии процесса поддельный инсталлятор загружает и запускает легитимное приложение Flash Player.

Новый инструмент используется в атаках минимум с июля 2016 года. Связь с Turla установлена на основании нескольких признаков, включающих использование бэкдора Mosquito и нескольких IP-адресов, ранее отнесенных к данной кибергруппе.

В Eset исключают сценарии, связанные с компрометацией Adobe. Вредоносные программы группа Turla не были внедрены в какие-либо легитимные обновления Flash Player и не связаны с известными уязвимостями продуктов Adobe. Практически исключена также компрометация веб-сайта загрузки Adobe Flash Player.