La prima campagna di cyber spionaggio in lingua portoghese-brasiliana resa pubblica prende di mira le istituzioni finanziarie, oltre ad aziende di telecomunicazioni, manifatturiere, energetiche e i media.
Il Global Research and Analysis Team di Kaspersky Lab ha annunciato la scoperta di Poseidon, un gruppo APT attivo nello spionaggio informatico a livello mondiale almeno dal 2005. Il tratto distintivo di Poseidon è il fatto che si tratta di un’entità commerciale, i cui attacchi sfruttano malware personalizzati firmati digitalmente con certificati falsi usati per rubare informazioni sensibili dalle vittime allo scopo di obbligarle ad avviare una relazione d’affari. Inoltre, il malware è progettato per operare specificatamente su macchine Windows in lingua inglese o portoghese-brasiliana, per la prima volta coinvolte in un attacco mirato.
Sono state identificate almeno 35 aziende colpite, che costituiscono obiettivi primari come istituzioni finanziarie e governative, aziende di telecomunicazioni, manifatturiere, energetiche e altre società di servizi pubblici, oltre che media e aziende di relazioni pubbliche. Gli esperti di Kaspersky Lab hanno inoltre rilevato attacchi a società di servizi che curano il catering per i maggiori manager aziendali. Le vittime di questo gruppo sono state trovate nei seguenti Paesi:
•Stati Uniti
•Francia
•Kazakistan
•Emirati Arabi Uniti
•India
•Russia
Tuttavia, le vittime sono maggiormente concentrate in Brasile, dove molte di loro hanno joint venture o partner commerciali.
Una delle caratteristiche del gruppo Poseidon è l’esplorazione attiva delle reti aziendali basate su un dominio. Secondo il report di analisi di Kaspersky Lab, il gruppo Poseidon fa uso di email di spear-phishing con file RTF/DOC, solitamente con un’esca per le risorse umane, che, una volta cliccati, scaricano un codice binario nocivo nel sistema preso di mira. Un’altra scoperta essenziale è la presenza di stringhe in lingua portoghese-brasiliana. La preferenza espressa dal gruppo per i sistemi portoghesi, come svelato dai campioni, è una pratica che non è mai stata vista precedentemente.
Una volta infettato il computer, il malware fa rapporto ai server di comando e controllo prima di iniziare una fase complessa di movimenti laterali. Questa fase sfrutta spesso un tool specializzato che raccoglie automaticamente e in modo aggressivo una vasta gamma di informazioni tra cui credenziali, policy di gestione dei gruppi e persino i registri di sistema per perfezionare al meglio ulteriori attacchi e garantire l’esecuzione del malware. Così facendo, i criminali scoprono quali applicazioni e comandi possono usare senza allertare l’amministratore di rete durante i movimenti laterali e la fuoriuscita dei dati.
Le informazioni ottenute vengono quindi sfruttate da un’impresa di copertura per convincere le aziende prese di mira ad assumere il gruppo Poseidon in qualità di consulente di sicurezza, dietro la minaccia di sfruttamento delle informazioni rubate con una serie di loschi affari a vantaggio di Poseidon.
“Il gruppo Poseidon è un team di lunga data che opera in ogni luogo: terra, aria e mare. Alcuni dei suoi centri di comando e controllo sono infatti stati trovati all’interno di ISP che forniscono servizi internet a barche in mare, connessioni wireless e carrier tradizionali”, ha commentato Dmitry Bestuzhev, Direttore del Global Research and Analysis Team di Kaspersky Lab per l’America Latina. “Inoltre, si è scoperto che molti dei suoi impianti hanno un ciclo di vita molto breve, il che ha aiutato il gruppo a operare così a lungo senza essere rilevato”.
Dato che il gruppo Poseidon è stato attivo per almeno dieci anni, le tecniche usate per progettare i propri impianti si sono evolute, rendendo difficile per molti ricercatori correlare gli indicatori e mettere insieme i pezzi. Tuttavia, racogliendo con attenzione tutte le prove, lavorando sulla “calligrafia” del gruppo criminale e ricostruendo la cronologia degli eventi, gli esperti di Kaspersky Lab sono stati in grado di stabilire, a metà 2015, che le tracce precedentemente rilevate ma non identificate appartenevano in effetti allo stesso gruppo criminale: Poseidon.
I prodotti Kaspersky Lab rilevano e rimuovono ogni versione conosciuta dei componenti del gruppo Poseidon.
È possibile leggere il report completo sul gruppo Poseidon con una descrizione dettagliata dei tool dannosi e le statistiche, oltre agli indicatori di compromissione, su Securelist.com.
Per scoprire quanto sia sofisticata l’analisi degli attacchi mirati, visitare: http://www.youtube.com/watch?v=FzPYGRO9LsA
Altre informazioni sulle operazioni di cyber spionaggio sono disponibili al seguente link: https://apt.securelist.com/
Informazioni su Kaspersky Lab
Kaspersky Lab è un’azienda di sicurezza informatica a livello globale fondata nel 1997. La profonda intelligence sulle minacce e l’expertise di Kaspersky Lab si trasformano costantemente in soluzioni di sicurezza e servizi per la protezione di aziende, infrastrutture critiche, enti governativi e utenti privati di tutto il mondo. Il portfolio completo di sicurezza dell’azienda include la miglior protezione degli endpoint e numerosi servizi e soluzioni di sicurezza specializzati per combattere le sofisticate minacce digitali in continua evoluzione. Più di 400 milioni di utenti sono protetti dalle tecnologie di Kaspersky Lab e aiutiamo 270.000 clienti aziendali a proteggere ciò che è per loro più importante. Per ulteriori informazioni: www.kaspersky.com/it.
Sala Stampa di Kaspersky Lab: http://newsroom.kaspersky.eu/it/
Seguici su:
Twitter: https://twitter.com/KasperskyLabIT
Facebook: http://www.facebook.com/kasperskylabitalia
Google Plus: https://plus.google.com/+KasperskyItKL
LinkedIn: https://www.linkedin.com/kasperskylabitalia
