Si chiama Progetto Sauron ed è un Apt (Advanced persistent threat) attivo sin dal 2011 e fino al 2016. A scovarlo sono stati i ricercatori di Kaspersky e di Symanteclabs. Gli esperti l'hanno descritto come una piattaforma altamente ingegnerizzata, modulare, in grado di funzionare in diversi scenari, anche air-gapped, ossia sconnessi da internet.
Secondo quanto scoperto dai ricercatori - riporta Ofcs Report -, Sauron utilizza un linguaggio di programmazione conosciuto come "Lua", di origine brasiliana. Il ricorso a Lua e l'elevata modularizzazione sono sintomo di un'alta scalabilità del codice che gli permette di adattarsi a contesti differenti e di riscrivere rapidamente i moduli.
La finalità primaria di Sauron è quella di copiare e sottrarre dati in maniera nascosta. Preleva infatti in modo impercettibile informazioni e documenti degli utenti e li invia all'esterno tramite server di Comando e Controllo (C&C).
Sauron è stato individuato dopo aver osservato il traffico di Rete anomalo presente in un'importante istituzione governativa che, per motivi di privacy, non è stata resa nota. Era registrato come Windows LSA Password filter in un domain controller di Windows. Il password filter è utilizzato per intercettare le password in chiaro degli utenti e trasmetterle all'esterno.
Sauron è in grado di accedere ai computer della Rete attraverso la modifica degli script di aggiornamento dei software di sistema. Il downloader che viene installato nei computer si connette ad un IP interno o esterno al fine di scaricare ed eseguire un payload malevolo.
Inoltre Sauron è anche in grado di operare in modalità air-gapped, ovvero in reti disconnesse da Internet. L'attività di Sauron è stata rilevata sono in alcune regioni specifiche del mondo ed è quindi un'Apt altamente targeted. Le vittime degli attacchi sono state individuate in circa 30 regioni, specialmente in Paesi che hanno l'italiano come seconda lingua. Tra le istituzioni prese di mira vi sono agenzie nazionali, istituti di ricerca, organizzazioni militari, nonché società telco e finanziarie.
Al momento, i ricercatori non sono stati in grado di attribuire la paternità del progetto Sauron. Si pensa, tuttavia, che si tratti di un software sviluppato da un governo per svolgere attività di spionaggio o per scopi economici. Il ricorso poi al linguaggio Lua porta a ritenere che l'Apt sia stato disegnato in un Paese di origine latina e che poi sia stato ampliato fino a comprendere anche lingue diverse.
(fonte: Cyber Affairs)
Nessun commento:
Posta un commento