Cyberprzestępcy zaatakowali przez Adobe Flash Player

Przeczytaj także: Hakerzy kontra opieka zdrowotna

Za zidentyfikowanym przez ESET zagrożeniem stoi rosyjska grupa cyberprzestępcza Turla, która już w przeszłości zdążyła zasłynąć z wykradania danych z konsulatów, ambasad oraz jednostek militarnych na całym świecie. O Rosjanach stało się głośno za sprawą ataków, w których posłużyli się komercyjnymi satelitami oraz szkodliwymi programami rozsyłającymi infekujące maile do konkretnych osób z danej organizacji.

Na czym polega atak?

W ataku na dyplomatów Turla posłużyła się fałszywym instalatorem programu Adobe Flash Player, czyli powszechnie znanej wtyczki, dzięki której możliwe jest m.in. wyświetlanie animacji na stronach internetowych. Co jednak interesujące, fałszywy instalator był pobierany z całkowicie legalnego adresu get.adobe.com. Jak to było możliwe? Okazuje się, że w czasie nawiązywania połączenia ruch był przekierowywany na serwer znajdujący się pod kontrolą cyberprzestępców. Nie wiadomo jednak, w jaki sposób do tego dochodziło. Istnieje natomiast co najmniej kilka możliwych sposobów technicznej realizacji takiego przekierowania, m.in. poprzez przejęcie serwera domenowego operatora, dostarczającego ofiarom połączenie z Internetem lub poprzez urządzenie sieciowe, np. router dostarczający Internet samej ofierze. Cały atak ukierunkowano na dyplomatów krajów Europy Wschodniej.

- Wykorzystanie prawdziwych stron do dystrybucji złośliwego oprogramowania oraz kradzieży danych sprawia, że wykrycie takiej aktywności jest trudniejsze niż zwykle. Nawet ostrożni użytkownicy mogą zostać oszukani podczas pobierania złośliwego instalatora – komentuje Kamil Sadkowski, analityk zagrożeń ESET.

W dalszej fazie infekcji złośliwa aplikacja pobierała z serwera cyberprzestępców zagrożenie, które realizowało główny cel ataku – infiltrację danych z komputera i kradzież znajdujących się na nim informacji, nazwy użytkownika, czy stosowane rozwiązanie antywirusowe. Po tym wszystkim zagrożenie instalowało na komputerze prawdziwe i bezpieczne oprogramowanie Adobe Flash Player. Pracownicy ESET są przekonani, że atak grupy Turla nie naruszył bezpieczeństwa oryginalnej aplikacji Flash Playera, ani też nie jest powiązany z lukami w oprogramowaniu Adobe.

Jak ochronić się przed podobnym atakiem?

Wprawdzie atak grupy cyberprzestępczej Turla dotyczył dyplomatów z Europy Wschodniej, ale podobne zdarzenia mogą dotyczyć każdego internauty. We wspomnianym przypadku, aby uchronić się przed instalacją fałszywego Flash Playera, należy pobierać go wyłącznie za pośrednictwem szyfrowanego połączenia.

- Można je sprawdzić w przeglądarce, w polu wpisywania adresu strony WWW. Jeśli połączenie jest szyfrowane, to pojawia się zielona kłódka (protokół HTTPS) – tłumaczy Kamil Sadkowski.

Warto również sprawdzić podpis cyfrowy pliku instalacyjnego (można to zrobić klikając we „Właściwości” pliku, a następnie w opcję „Podpis cyfrowy”) – ten prawdziwy powinien być oznaczony przez Adobe.