Adathalászat hamis PDF dokumentumokkal

A vezető proaktív biztonságtechnológiai vállalat, az ESET feltárt és kielemzett egy célzott kampányt, mely különböző szervezetek információit próbálta ellopni, főleg Pakisztánban.  Az ESET nyomozása során kiderült, hogy a fenyegetés Indiából érkezett és már legalább két éve folyik. 

Ez a célzott támadás látszólag legális kódolású tanúsítványokat, csatolt pdf dokumentumokat és exe fájlokat használt arra, hogy bejuttassa a rosszindulatú tartalmakat és terjessze azokat. Az újdelhi vállalat a tanúsítványt 2011-ben állították ki. A rosszindulatú program emailekhez csatolt dokumentumként terjedt. 

„Az ESET szakemberei több különböző dokumentumot azonosítottak, amelyek témái felkelthették a címzettek érdeklődését. Nincs pontos információnk a vírus célcsoportjáról, de nyomozásunk alapján feltételezhető, hogy főleg pakisztáni cégek és magánemberek álltak a célkeresztben, hiszen  az összes célzott támadás 79%-a ideköthető.  Az leggyakoribb hamis PDF fájl egy önkicsomagoló "pakistandefencetoindiantopmiltrysecreat.exe" nevű formátumban érkezett a célszemélyek postaládájába" – mondta Béres Péter, az ESET magyarországi disztribútora, a Sicontact Kft. vezető IT tanácsadója. 

Az incidens első fertőzési vektora egy CVE-2012-0158 sebezhetőséghez kapcsolódik, ez a Microsoft Office rendszeréhez köthető hiba és már korábban is használták kémkedésre, adatlopásra például egy 2012 decemberi kínai eredetű támadásnál, amelynél orosz gépekről próbáltak meg bizalmas adatokat lopni. A fertőzött email mellékletekben található Word és PDF állományokban voltak a sebezhetőségek.

A rosszindulatú program adatokat lopott el a megfertőzött számítógépekről, melyeket aztán a támadók szerverére küldött. Különböző kémkedési és adatlopási technikákat használtak, kezdve a billentyű leütések naplózásától a képernyőképek rejtett készítésén át egészen a felhasználó gépéről történő állománylopásig. „Érdekes, hogy a fertőzött számítógépről ellopott információkat a támadók szerverükre kódolatlanul töltötték fel, pedig a titkosítással akciójuk nyomait is elfedhették volna." – tette hozzá Béres Péter. 

A fenyegetés elnevezései

Alábbiakban találhatóak az ESET által megtalált többrészes, többirányú fenyegetések elnevezései.

Win32/Agent.NLD worm
Win32/Spy.Agent.NZD Trojan
Win32/Spy.Agent.OBF Trojan
Win32/Spy.Agent.OBV Trojan
Win32/Spy.KeyLogger.NZL Trojan
Win32/Spy.KeyLogger.NZN Trojan
Win32/Spy.VB.NOF Trojan
Win32/Spy.VB.NRP Trojan
Win32/TrojanDownloader.Agent.RNT Trojan
Win32/TrojanDownloader.Agent.RNV Trojan
Win32/TrojanDownloader.Agent.RNW Trojan
Win32/VB.NTC Trojan
Win32/VB.NVM Trojan
Win32/VB.NWB Trojan
Win32/VB.QPK Trojan
Win32/VB.QTV Trojan
Win32/VB.QTY Trojan
Win32/Spy.Agent.NVL Trojan
Win32/Spy.Agent.OAZ Trojan