Червь Regin

2018: Атака на «Яндекс»

27 июня 2019 года западная разведка взломала «Яндекс», чтобы шпионить за учётными записями. В самой компании подтвердили атаки, но заверили, что данные пользователей удалось сохранить.

Как сообщает Reuters со ссылкой на информированные источники, с октября по ноябрь 2018 года хакеры, работающие на спецслужбы, вторглись в компьютерные системы «Яндекса» и внедрили редкий тип вредоносной программы под названием Regin. Этот вирус используется разведывательным альянсом «Пять глаз» (Five Eyes), в который входят спецслужбы США, Великобритании, Австралии, Новой Зеландии и Канады. Однако определить, какое из пяти государств стояло за атакой на «Яндекс», невозможно, сообщили собеседники агентства. Подробнее здесь.

2014: Обнаружение вируса

Специалисты антивирусной компании Symantec осенью 2014 года обнаружили вирус Backdoor.Regin, предназначенный для кражи конфиденциальных данных у государственных структур, коммунальных предприятий, коммерческих организаций, научно-исследовательских центров и физических лиц. Авторы вируса «продемонстрировали уровень технической подготовки, который редко можно встретить»^[1].

Атаки с помощью вируса Regin проводились в различных странах регулярно в период с 2008 по 2011 гг., о чем свидетельствует статистика, собранная Symantec с инфицированных систем. В 2011 г. вирус внезапно пропал, но в 2013 г. появился вновь.Дмитрий Бородачев, DатаРу Облако: Наше преимущество — мультивендорная модель предоставления облачных услуг

В основном вирус атакует физических лиц и малый бизнес — на них приходится около 50% всех атак. Также атаки направлены на операторов связи, с целью получения доступа к телефонным звонкам в их сетях.

Наибольшее число атак вируса Regin зафиксировано в Российской Федерации (28%) и Саудовской Аравии (24%). Меньшее число — в Мексике (9%), Ирландии (9%), Индии (5%), Афганистане (5%), Иране (5%), Бельгии (5%), Австрии (5%) и Пакистане (5%).

Стандартный функционал Regin включает: захват скриншотов, получение контроля над курсором мыши, кражу паролей, мониторинг сетевого трафика и восстановление удаленных файлов. Однако, в зависимости от типа цели и задач, хакеры могут выбрать и подключить к Regin дополнительные модули. Всего их несколько десятков.

Один из таких модулей предназначен для мониторинга веб-трафика на серверах под управлением программного обеспечения Microsoft, другой — для перехвата трафика в сетях телекоммуникационных компаний.

«Троян предоставляет хакерам мощные инструменты для массового наблюдения и был использован для шпионажа в органах власти, коммунальных предприятиях коммерческих организациях, научно-исследовательских центрах и в отношении физических лиц», — сообщили в Symantec.

Заражение вирусом Regin происходит после того, как жертва посещает вредоносную веб-ссылку. В одном случае вирус проник на компьютер через уязвимость в приложении Yahoo! Instant Messenger.

Примечательно, что Regin снабжен высокой степенью защиты. Все его модули зашифрованы, причем использован нестандартный алгоритм шифрования. Вирус можно обнаружить на компьютере, но чем именно он занимается, выяснить крайне трудно, рассказали в Symantec.

Специалисты предполагают, что разработка вредоносной программы заняла многие месяцы или даже годы. По их мнению, за Regin определенно стоит государство, так как только оно обладает тем объемом ресурсов, который необходим для создания вируса подобного уровня сложности. В компании не делают предположений, где именно была разработана программа.

Regin является многоэтапной атакой. Каждый этап, кроме первого, шифруется. Каждый этап сам по себе не дает представление об общей атаке. Целостная картина возникает только когда у вас есть все пять этапов.

Атаки осуществлялись в период с 2008 по 2011 годы (Regin 1.0), после чего вредоносные программы исчезли. Они всплыли в 2013 году (Regin 2.0) с некоторыми значительными отличиями: новая версия 64-битная, и, возможно, лишилась одного этапа.

Symantec не нашла этап 3 в версии 2.0, что можно объяснить тем, что в 1-й версии, 3-й этап касается драйвера устройства, а тайная установка драйверов устройств в 64-битной Windows является сложным делом даже для изощренных хакеров.

Описание Backdoor.Trojan.GR в базе данных угроз Symantec показывает, что она была обнаружена и защита предоставляется с 12 декабря 2013 года. Предположительно, они не знали, что угроза существовала намного дольше, а ретроспективный анализ показал ее истинную природу и использование в предшествующие годы.

Тем не менее, есть еще много непонятного для исследователей Regin. Например, не определен воспроизводимый вектор инфекции, а он может настраиваться для конкретных атак.

Существует также «десятки вариантов полезной нагрузки Regin», обеспечивающие множество обычных вещей: кражу пароля, захват изображения экрана, воровство файлов (в том числе удаленных файлов) и многое другое.

Вредоносная программа использует нестандартные и странные методы, чтобы оставаться незаметной. Например, она имеет собственную встроенную зашифрованную виртуальную файловую систему. Symantec считает, что многие компоненты Regin остаются нераскрытыми.

Основываясь на сложности угрозы и значительных инвестициях, которые она требует, трудно не согласиться с Symantec, что это похоже на инструмент государственного шпионажа. График Symantec распространения инфекций по стране также демонстрирует нетипичную ситуацию.

Смотрите также

Примечания