Search the Community

Full Title: Desert Falcons – primul grup de spionaj cibernetic de nationalitate araba identificat – ataca mii de victime la nivel global Expertii Global Research and Analysis Team (GReAT) din cadrul Kaspersky Lab au descoperit Desert Falcons, o grupare de spionaj cibernetic de origine araba care vizeaza organizatii importante si utilizatori individuali localizati in mai multe tari din Orientul Mijlociu. Echipa de cercetare Kaspersky Lab considera ca Desert Falcons este primul grup de mercenari cibernetici de nationalitate araba, care proiecteaza si executa operatiuni de spionaj cibernetic la scara larga. Campania Desert Falcons este activa de cel putin doi ani. Gruparea a inceput sa opereze in 2011, iar activitatile principale de infectare a dispozitivelor au fost demarate in 2013. Cel mai important moment din actiunile grupului s-a inregistrat la inceputul anului 2015; Cele mai multe tinte sunt localizate in Egipt, Palestina, Israel si Iordania; Pe langa tarile din Orientul Mijlociu, grupul Desert Falcons vizeaza si tinte din alte zone. In total, membrii gruparii au atacat peste 3.000 de tinte din peste 50 de tari din lume, furand peste un milion de fisiere; Atacatorii folosesc instrumente malware proprii pentru a ataca PC-urile Windows si dispozitivele cu Android; Expertii Kaspersky Lab au numeroase dovezi care arata ca atacatorii sunt vorbitori nativi de limba araba. Lista tintelor vizate include organizatii militare si guvernamentale, in special functionarii specializati in contracararea activitatilor de spalare de bani, precum si cei care lucreaza in sanatate si economie; institutii media de top, institutii de cercetare si educatie, furnizori de energie si de utilitati, activisti si lideri politici, servicii de paza si protectie si alte tinte care detin informatii geopolitice importante. In total, expertii Kaspersky Lab au descoperit peste 3.000 de victime, din peste 50 de tari, si peste un milion de fisiere sustrase. Desi gruparea Desert Falcons a vizat in principal tari precum Egipt, Palestina, Israel si Iordania, mai multe tinte au fost localizate si in Qatar, Arabia Saudita, Emiratele Arabe Unite, Algeria, Liban, Norvegia, Turcia, Suedia, Franta, SUA, Rusia si alte tari. Operatiunile de infectare si de spionaj Principala metoda utilizata de grupul Desert Falcons pentru a transmite fisiere periculoase este prin spear phishing, postari pe retele sociale si mesaje private. Mesajele de phishing includ fisiere periculoase (sau link-uri catre fisiere periculoase) prezentate drept documente sau aplicatii legitime. Grupul Desert Falcons utilizeaza mai multe tehnici pentru a convinge tintele sa acceseze fisierele periculoase, precum asa-numita “right-to left extension override”. Aceasta metoda utilizeaza un caracter special in format Unicode pentru a inversa ordinea caracterelor din numele fisierului, camufland extensia documentului periculos in centrul numelui si adaugand o alta extensie, care pare inofensiva, la final. Utilizand aceasta tehnica, fisierele periculoase (cu extensiile .exe, .scr) par inofensive si se confunda cu documente .pdf, astfel incat chiar si utilizatorii atenti pot fi inclinati sa le acceseze. De exemplu, o extensie a unui fisier de tipul .fdp.scr este inlocuita cu una de tipul .rcs.pdf. Dupa infectarea cu succes a tintei, gruparea Desert Falcons utilizeaza doua fisiere diferite de tip backdoor: troianul Desert Falcons sau backdoor-ul DHS, care par sa fi fost dezvoltate integral de acestia, si care evolueaza constant. Expertii Kaspersky Lab au reusit sa identifice un numar total de peste 100 de mostre de malware utlizate in atacuri. Instrumentele periculoase utilizate au functionalitate Backdoor si au capacitatea sa capteze imagini, sa inregistreze tastele apasate, sa incarce/descarce fisiere, sa colecteze informatii despre toate fisierele word si excel stocate pe hard disk sau pe dispozitivele USB conectate, sa fure parolele stocate (din Internet Explorer si din soft-ul de mesagerie live) si sa inregistreze fisiere audio. Expertii Kaspersky Lab au descoperit si urme ale unui malware – care pare a fi un fisier de tip backdoor pentru Android – si care sustragea lista de apeluri si SMS-urile. Utilizand aceste instrumente, grupul Desert Falcons a lansat si a derulat cel putin trei campanii diferite, care vizau mai multe tinte din tari diferite. Grupul Desert Falcons vizeaza informatii confidentiale Expertii Kaspersky Lab estimeaza ca peste 30 de persoane, din trei echipe localizate in mai multe tari, sunt implicate in campaniile Desert Falcons. „Atacatorii din spatele acestor activitati periculoase sunt foarte hotarati, activi si detin informatii tehnice, politice si culturale complexe”, a avertizat Dmitry Bestuzhev, Expert in Securitate in cadrul echipei Global Research and Analysis Team. „Prin spear phishing, inginerie sociala si instrumente si fisiere backdoor dezvoltate intern, gruparea Desert Falcons a infectat sute de tinte importante din regiunea Orientului Mijlociu, prin intermediul computerelor sau a dispozitivelor mobile, reusind sa sustraga date importante. Ne asteptam la o evolutie a operatiunii prin dezvoltarea mai multor troieni si prin utilizarea unor tehnici si mai avansate. Cu fonduri suficiente, acestia pot obtine si dezvolta exploit-uri care sa maximizeze eficienta atacurilor”, a explicat Dmitry Bestuzhev. Produsele Kaspersky Lab detecteaza si blocheaza cu succes malware-ul utilizat de membrii gruparii Desert Falcons. Mai multe informatii despre gruparea Desert Falcons puteti citi pe Securelist.com -> Sursa: Desert Falcons – primul grup de spionaj cibernetic de nationalitate araba identificat – ataca mii de victime la nivel global

A cyber mercenary group, codenamed Desert Falcons, has infected thousands of government departments and businesses with malware, according to Kaspersky Lab. The security firm revealed the campaign at its Security Analyst Summit, revealing that it has already detected 3,000 confirmed Desert Falcons infections on Android and Windows devices. Victims include military and government bodies, media outlets, financial firms, research institutions, political activists, energy companies and physical security providers in Egypt, Palestine, Israel and Jordan. "The Desert Falcons cyber criminals are native Arabic speakers, and it is believed to be the first known Arab group to develop and run a full cyber espionage operation," read the report. "Desert Falcons began its operations in 2011, with the first infections taking place in 2013. The group became very active in late 2014/early 2015." The group is believed to have around 30 members split into three teams, and focuses mainly on stealing political and military intelligence. Kaspersky estimated that the hackers managed to steal more than one million files and documents containing sensitive information before being discovered. Dmitry Bestuzhev, security expert at Kaspersky Lab's Great team, said the Desert Falcons target victims with tailored campaigns which include a prolonged period of surveillance. "The individuals behind this threat are highly determined, active and with good technical, political and cultural insight," he explained. "Using only phishing emails, social engineering and homemade tools and backdoors, Desert Falcons was able to infect hundreds of sensitive and important victims." The campaign used a variety of malware types, and is one of the first to attempt to spread malware using Facebook chat. "The attackers created authentic Facebook accounts and then interacted with chosen victims through common Facebook pages until they had gained their trust. Then they sent Trojan files in the chat hidden as an image or similar," read the paper. "The Desert Falcons depends on two different backdoors to spy on victims. Both are homemade and are under continuous development. We were able to identify and collect more than 100 malware samples used by the Desert Falcons." The selection of tools gives the hackers a variety of powers, including key-logging and the ability to upload and download files to command and control servers owned by the group. Other powers include the ability to view information on all the .doc and .xls files on the victim's hard disk or connected USB devices, steal passwords and record audio files using infected machines. Kaspersky has managed to identify some Desert Falcon members, but expects the group to continue operating. "We were able to track and identify the full profile of some of the attackers, including Facebook and Twitter accounts, private blogs and websites," read the paper. "[but] we expect their operations to carry on developing more trojans and using more advanced techniques." Desert Falcons was one of many high-profile threat campaigns revealed during Kaspersky's security conference. Kaspersky researchers reported on Tuesday that they had uncovered a widespread Equation attack infecting hard drive operating systems with malware. The team also reported a Carbanak campaign which is believed to have stolen over $1bn from financial institutions. Source