FireEye finder Gh0stRAT cyberespionage kampagner fortsæt

Et velkendt cyberspioneringsværktøj, der hedder Gh0st RAT, bliver stadig ansat i ondskabsfulde malwareangreb, ifølge en ny rapport fra sikkerhedsfirma FireEye.

FireEye, der specialiserer sig i malware-detektion, frigivet data indsamlet fra hundredvis af kunder i løbet af 2012. Det så på 12 millioner forskellige rapporter om mistænkelig aktivitet, hvoraf ca. 2.000 var klassificeret som "avancerede vedvarende trusler" (APTs), sikkerhedsindustriens betegnelse for sofistikeret, svær at detektere angreb rettet mod langsigtet infiltrering af organisationer.

De fleste af de 2.000 hændelser ansat Gh0st RAT, et fjernadgangsværktøj, som man troede at være blevet udviklet i Kina, som gør det muligt for angriberne at stjæle i nformation fra et offerets computere. I 2009 rapporterede forskere med Information Warfare Monitor, et computersikkerhedsforskningsprojekt og University of Toronto en omfattende cyberspionagekampagne ved hjælp af Gh0st RAT, der målrettede mod mere end 1.000 computere i 103 lande. [

[Yderligere læsning: Sådan fjerner du malware fra din Windows-pc]

Gh0st RAT er "en rigtig vigtig del af mange typer APT-kampagner, fordi det er et effektivt redskab", siger Rob Eycks seniorchef for markedsundersøgelser. hvordan angriberne udtrækker oplysninger fra ofre og styrer deres malware på inficerede computere eller "tilbagekald" -aktivitet. Deres data fra 2012 viser, at angriberne bruger kommando- og kontrol-servere til at levere instruktioner til malware i 184 lande nu, en stigning på 42 procent i løbet af 2010.

Sydkorea har en koncentration af tilbagekaldelsesaktivitet. Servere af teknologibedrifter har tendens til at blive målrettet mod hackere til at kommunikere med deres inficerede maskiner. "Jeg tror, ​​at det faktum, at de traditionelt er en af ​​de mest forbundne nationer i verden, nok er en anden driver til dette," sagde Rachwald. FireEye's rapport sagde "på en måde er Sydkorea plaget af RATs adgangsværktøjer]. Det fremgår klart af dataene fra 2012, at Sydkorea er et af de bedste tilbagekaldelsesdestinationer i verden, og at nogle af landets tilbagekaldelsesaktiviteter er forbundet med mere målrettede angreb. "

Hackere indsatte også stjålne oplysninger i JPEG-billedfiler i For at få dataene til at se mere ud som normal trafik. Malware brugte også sociale netværkssider som Twitter og Facebook til at placere instruktioner for inficerede maskiner, sagde FireEye.

Virksomheden bemærkede andre ændringer i hackers adfærd. Normalt var kommando- og kontrol-servere placeret i et andet land end offeret. Nu lokaliserer de kommandoinfrastrukturen i det samme land for at få trafikken til at se normal ud.

Men i nogle lande forstyrrede ikke hackere med kontrolservere i et lands mål. Canada og U.K. begge havde en høj procentdel af tilbagekaldstrafikken i udlandet. Attackere gjorde måske ikke det i disse lande, fordi "de vidste, at de ikke ville blive registreret", sagde Rachwald.