Eksperci z Kaspersky Lab opublikowali wyniki badania kampanii Regin – pierwszej znanej platformy cyberprzestępczej, która poza „standardowymi” zadaniami szpiegowskimi pozwala na monitorowanie sieci GSM. Osobom stojącym za atakami udało się przeniknąć do sieci komputerowych w przynajmniej 14 krajach.
Wiosną 2012 r. eksperci z Kaspersky Lab natknęli się na szkodliwy program Regin, który wydawał się być częścią zaawansowanej kampanii cyberszpiegowskiej. Przez niemal trzy kolejne lata specjaliści monitorowali to zagrożenie na całym świecie. Od czasu do czasu pojawiały się nowe próbki tego szkodnika, jednak analiza nie wykazywała żadnych powiązań między nimi. Mimo to ekspertom udało się wejść w posiadanie próbek wykorzystanych w kilku atakach, których celem były instytucje rządowe i operatorzy telekomunikacyjni. Informacje te okazały się wystarczające do przeprowadzenia szczegółowej analizy.
Badania wykazały, że Regin nie jest pojedynczą szkodliwą aplikacją, ale platformą – pakietem oprogramowania składającym się z wielu modułów pozwalających na infekowanie całych sieci atakowanych organizacji w celu przejęcia zdalnej kontroli na wszystkich możliwych poziomach. Głównym zadaniem cyberprzestępców jest gromadzenie poufnych informacji i przeprowadzanie kilku innych rodzajów ataków.
Osoby stojące za platformą Regin dopracowały mechanizmy pozwalające im kontrolować zainfekowane sieci. Na przykład, w jednym z krajów eksperci z Kaspersky Lab zaobserwowali kilka zainfekowanych organizacji, ale tylko sieć w jednej z nich komunikowała się z serwerem nadzorowanym przez atakujących zlokalizowanym w innym kraju. Mimo takiego wybiórczego podejścia, wszystkie ofiary kampanii w tym regionie były ze sobą połączone siecią P2P (na wzór połączenia VPN) i mogły się dowolnie komunikować między sobą. Atakujący wybrali zatem jedną sieć do wydawania poleceń, które następnie były przesyłane do wszystkich zainfekowanych maszyn. Zdaniem badaczy z Kaspersky Lab właśnie takie podejście pozwoliło cyberprzestępcom na tak długotrwałe działanie bez wzbudzania żadnych podejrzeń.
Najbardziej oryginalną funkcją platformy Regin jest możliwość atakowania sieci GSM. Podczas prowadzenia analizy eksperci z Kaspersky Lab mieli możliwość zbadania jednego z kontrolerów stacji bazowej GSM i z pozyskanych z niego raportów aktywności wynika, że atakujący mieli możliwość kontrolowania komórek GSM w sieci jednego z dużych operatorów. Oznacza to, że cyberprzestępcy mogli uzyskiwać dostęp do informacji o połączeniach przetwarzanych przez poszczególne komórki, przekierowywać te rozmowy do innych komórek i przeprowadzać inne ofensywne działania. Obecnie nie jest znana żadna inna operacja cyberszpiegowska, która dawałaby atakującym takie możliwości.
„Możliwość monitorowania i kontrolowania sieci GSM jest prawdopodobnie najbardziej nietypowym i interesującym aspektem platformy Regin. W dzisiejszych czasach jesteśmy zależni od telefonii komórkowej działającej w oparciu o przestarzałe protokoły komunikacyjne, które uwzględniają niewiele bezpieczeństwa lub wcale go nie uwzględniają. Poza tym wszystkie sieci GSM posiadają mechanizmy pozwalające organom ścigania śledzić podejrzanych. Uzyskanie dostępu do takich funkcji daje cyberprzestępcom zupełnie nowe możliwości atakowania użytkowników urządzeń mobilnych”, powiedział Costin Raiu, dyrektor Globalnego Zespołu ds. Badań i Analiz (GReAT), Kaspersky Lab.
Szczegółowy raport z badania platformy Regin jest dostępny w języku angielskim na stronie http://r.kaspersky.pl/regin.
/ Kaspersky Lab Polska
Wojciech Boczoń