Firma iSight  ogłosiła dziś informacje o luce zero-day w systemie Windows, która została wykorzystana do szpiegowania m.in. instytucji NATO. Firma sądzi, że działania szpiegów były prowadzone w Rosji i wszystko wskazuje na to, że szpiedzy prowadzili działania zgodne z interesami rosyjskiego rządu.

Polskie firmy na celowniku Sandworm

Grupa rosyjskich hakerów, która stała za tymi działaniami, została przez firmę iSight określona jako Sandworm. Ta grupa atakowała m.in. NATO, ukraińskie organizacje rządowe, organizacje rządowe w Europie Zachodniej, firmy z sektora energetycznego (zwłaszcza w Polsce), europejskie firmy telekomunikacyjne i amerykańską instytucję akademicką.

Mapka poniżej prezentuje te cele:

źródło: iSight

Firma iSight twierdzi, że monitorowała aktywność grupy Sandworm od końca 2013 roku, choć sama grupa może istnieć od roku 2009. Grupa preferuje ataki typu spear-phishing polegające na wysyłaniu do potencjalnych ofiar e-maili z zainfekowanymi plikami w załączniku. Grupa używała też złośliwego oprogramowania BlackEnergy, różnych znanych luk w aplikacjach oraz dopiero co poznanej luki w Windows. 

Szpiedzy i luki w Windows

Jeśli chodzi o polskie firmy energetyczne, to zostały one zaatakowane już w czerwcu 2014 roku z użyciem znanej wcześniej luki CVE-2013-3906.

Później odkryto nową lukę w systemie Windows (CVE-2014-4114), która we wrześniu została wykorzystana do ataku na instytucję amerykańską. Mniej więcej w tym samym czasie odbywały się ważne spotkania NATO w sprawie Ukrainy. 

Firma iSight w ciągu ostatnich 5 tygodni blisko współpracowała z Microsoftem, dzieląc się z nim wiedzą o nowej luce. Choć luka dotyczyła wszystkich wersji Windowsa, to najwyraźniej wiedza o niej ograniczała się do grupy Sandworm i możliwe, że tylko ta grupa ją wykorzystywała. Firma iSight nie chciała wcześniej ujawniać informacji o luce, aby nie zainteresowali się nią inni cyberprzestępcy. Lukę pokazano światu dopiero w dniu, w którym ma być udostępniona łatka (czyli dziś). 

Firma iSight ma głównie informacje o próbach szpiegowania. Wiadomo, że ataki na niektóre cele mogły być skuteczne (np. ataki na instytucje ukraińskie), ale ostatecznie nie wiadomo, jakie informacje mogły wpaść w ręce szpiegów. Nie należy się też spodziewać, że jakiś rząd przyzna się do wspierania tej akcji. Cyberataki z zasady mają to do siebie, że łatwo się ich wyprzeć. 

Czytaj także: Rosja gotowa, by odciąć się od internetu?