Potato Express: Nový malware útočí v zemích bývalého SSSR

Experti zanalyzovali špionážní malware Potato Express, který útočil na cíle především na Ukrajině. Útoky tohoto malware jsou vedené dosud nepoužívanými metodami. 

Malware, který experti ESET nazvali Potato Express, je klasický špionážní malware: jeho cílem je sbírat citlivá data, především přihlašovací údaje, a odesílat je na řídící servery útočníků. Poprvé byl zachycen již v roce 2011. Útoky tohoto malware směřovaly (a stále směřují) proti řadě cílů na Ukrajině, v Rusku a v dalších zemích bývalého Sovětského svazu. Cíle jsou velmi různorodé a většinou mezi nimi neexistuje žádná viditelná souvislost. Jedna z velkých kampaní směřovala proti organizátorům i účastníkům gigantického pyramidového podvodu MMM. Jde o jeden z největších pyramidových podvodů v dějinách, v němž miliony obětí (odhady se pohybují mezi 5 a 40 miliony) přišly o zhruba čtvrt bilionu korun. Dalšími cíli byly ukrajinské vládní instituce a armáda, a také ukrajinský státní tisková kancelář.

Potato Express spoléhá na inovativní způsoby šíření. Není to extrémně sofistikovaný malware a nevyužívá žádné bezpečnostní chyby v aplikacích. Některé jeho kampaně však stojí za pozornost, protože se dá předpokládat, že se jimi nechají inspirovat i další útočníci. Příkladem je gruzínská mailová kampaň, lákající na anglicky psané a důvěryhodně vypadající svatební oznámení nebo ruská kampaň s podvrženou stránkou imitující populární doručovací službu.

Jak experti ESET zjistili při analýze Potato Expres, do ruské verze TrueCryptu útočníci vložili trojského koně, který jednak dokáže instalovat malware skupiny Potato, a také funguje jako plně vybavený špionážní modul. Ten dokáže působit v utajení: směřuje pouze na vybrané cíle a navíc se aktivuje pouze na počítačích dlouhodobých uživatelů aplikace TrueCrypt. Pouze na těchto počítačích prohledává podle zadaného algoritmu data a odesílá je na řídící servery.

Skrývat soubory malware za názvy odvozené od některého známého software je starý trik. Ale v daném případě experti zjistili, že stránky TrueCryptRussia.ru slouží nejen k distribuci infikovaného šifrovacího software TrueCrypt, ale také k hostování malware ze skupiny „Potato“ – a dokonce fungují i jako řídící server pro „trojanizovanou“ verzi TrueCrypt.

Důležité je, že zdaleka ne veškerý TrueCrypt software ze zmíněné ruské stránky je infikovaný. „Trojanizovanou“ verzi nabídne server ke stažení pouze počítačům, které splňují specifická, zatím neodhalená kritéria. Také toto opatření ukazuje, že celá operace je řízená profesionály, kteří jdou po omezeném okruhu cílů.

Na malware skupiny Potato je pozoruhodné, že útoky s jeho využitím mají charakter takzvaných APT útoků (z angl. Advanced Persistent Threats), a to aniž by samotný malware byl odpovídajícím způsobem sofistikovaný. Potato Express tak ukazuje, že technologické nedostatky lze u malware do velké míry nahradit důmyslným sociálním inženýrstvím.

-of-