Regin szpieguje sieci GSM

Przeczytaj także: Infrastruktura krytyczna łakomym kąskiem dla cybeprzestępców

Najważniejsze fakty

• Podmioty, które padły ofiarą platformy Regin to w przeważającej mierze: operatorzy telekomunikacyjni, rządy, instytucje finansowe, organizacje badawcze, międzynarodowe organy polityczne, a także wybrani badacze zaangażowani w badania dotyczące matematyki oraz kryptografii.
• Działania cyberprzestępców uderzyły w Algierię, Afganistan, Belgię, Brazylię, Fidżi, Niemcy, Iran, Indie, Indonezję, Kiribati, Malezję, Pakistan, Syrię i Rosję.
• Regin to zbiór wielu szkodliwych narzędzi, dzięki którym możliwe jest przeniknięcie do sieci atakowanych organizacji.
• Używana przez Regin metoda komunikacji między zaatakowanymi sieciami a serwerami znajdującymi się pod kontrolą cyberprzestępców jest niezwykle skomplikowana. Zezwala m.in. na zdalne sterowanie zainfekowanymi maszynami i ukradkowe przesyłanie danych.
• Tym, co wyróżnia kampanię jest moduł, dzięki któremu możliwe jest monitorowanie stacji bazowych GSM, gromadzenie informacji o komórkach GSM oraz o infrastrukturze sieci komórkowej.
• W kwietniu 2008 r. atakujący stojący za platformą Regin zgromadzili uprawnienia administracyjne, pozwalające im na manipulowanie siecią GSM w jednym z bliskowschodnich krajów.
• Najstarsze próbki tworzone w ramach kampanii Regin pochodzą z 2003 r.

Wiosną 2012 r. eksperci z Kaspersky Lab natknęli się na szkodliwy program Regin, który wydawał się być częścią zaawansowanej kampanii cyberszpiegowskiej. Przez niemal trzy kolejne lata specjaliści monitorowali to zagrożenie na całym świecie. Od czasu do czasu pojawiały się nowe próbki tego szkodnika, jednak analiza nie wykazywała żadnych powiązań między nimi. Mimo to ekspertom udało się wejść w posiadanie próbek wykorzystanych w kilku atakach, których celem były instytucje rządowe i operatorzy telekomunikacyjni. Informacje te okazały się wystarczające do przeprowadzenia szczegółowej analizy.

Badania wykazały, że Regin nie jest pojedynczą szkodliwą aplikacją, ale platformą – pakietem oprogramowania składającym się z wielu modułów pozwalających na infekowanie całych sieci atakowanych organizacji w celu przejęcia zdalnej kontroli na wszystkich możliwych poziomach. Głównym zadaniem cyberprzestępców jest gromadzenie poufnych informacji i przeprowadzanie kilku innych rodzajów ataków.

Osoby stojące za platformą Regin dopracowały mechanizmy pozwalające im kontrolować zainfekowane sieci. Na przykład, w jednym z krajów eksperci z Kaspersky Lab zaobserwowali kilka zainfekowanych organizacji, ale tylko sieć w jednej z nich komunikowała się z serwerem nadzorowanym przez atakujących zlokalizowanym w innym kraju. Mimo takiego wybiórczego podejścia, wszystkie ofiary kampanii w tym regionie były ze sobą połączone siecią P2P (na wzór połączenia VPN) i mogły się dowolnie komunikować między sobą. Atakujący wybrali zatem jedną sieć do wydawania poleceń, które następnie były przesyłane do wszystkich zainfekowanych maszyn. Zdaniem badaczy z Kaspersky Lab właśnie takie podejście pozwoliło cyberprzestępcom na tak długotrwałe działanie bez wzbudzania żadnych podejrzeń.

Najbardziej oryginalną funkcją platformy Regin jest możliwość atakowania sieci GSM. Podczas prowadzenia analizy eksperci z Kaspersky Lab mieli możliwość zbadania jednego z kontrolerów stacji bazowej GSM i z pozyskanych z niego raportów aktywności wynika, że atakujący mieli możliwość kontrolowania komórek GSM w sieci jednego z dużych operatorów. Oznacza to, że cyberprzestępcy mogli uzyskiwać dostęp do informacji o połączeniach przetwarzanych przez poszczególne komórki, przekierowywać te rozmowy do innych komórek i przeprowadzać inne ofensywne działania. Obecnie nie jest znana żadna inna operacja cyberszpiegowska, która dawałaby atakującym takie możliwości.

„Możliwość monitorowania i kontrolowania sieci GSM jest prawdopodobnie najbardziej nietypowym i interesującym aspektem platformy Regin. W dzisiejszych czasach jesteśmy zależni od telefonii komórkowej działającej w oparciu o przestarzałe protokoły komunikacyjne, które uwzględniają niewiele bezpieczeństwa lub wcale go nie uwzględniają. Poza tym wszystkie sieci GSM posiadają mechanizmy pozwalające organom ścigania śledzić podejrzanych. Uzyskanie dostępu do takich funkcji daje cyberprzestępcom zupełnie nowe możliwości atakowania użytkowników urządzeń mobilnych”, powiedział Costin Raiu, dyrektor Globalnego Zespołu ds. Badań i Analiz (GReAT), Kaspersky Lab.