ESET odhalil prepojenia medzi závažnými kybernetickými útokmi

Výskumníci bezpečnostnej spoločnosti ESET identifikovali a analyzovali dôkazy spájajúce neslávne známu kybernetickú skupinu TeleBots s nebezpečným škodlivým kódom Industroyer. Jeho cieľom bolo narušiť chod kritickej infraštruktúry a v roku 2016 zapríčinil mohutný výpadok elektrickej energie v Kyjeve, hlavnom meste Ukrajiny.

Skupina TeleBots, ako vo štvrtok informovala TASR Zuzana Hošalová z ESET-u, demonštrovala svoje schopnosti s ransomwarom NotPetya a škodlivým kódom BlackEnergy. NotPetya v roku 2017 infikoval napríklad finančný a energetický sektor primárne na Ukrajine. Podarilo sa mu to cez škodlivú aktualizáciu účtovného softvéru M. E. Doc, ktorý je populárny vo viacerých segmentoch na Ukrajine.

BlackEnergy zase útočníci použili pri vôbec prvom výpadku elektrickej energie spôsobenom škodlivým kódom. Ten 23. decembra 2015 obral o elektrickú energiu asi 700.000 obyvateľov Ivanofrankivskej oblasti. Tento útok predchádzal výpadku, ktorý o rok neskôr spôsobil škodlivý kód Industroyer.

„Špekulácie o prepojení škodlivého kódu Industroyer a skupinou TeleBots sa objavili krátko po tom, čo Industroyer napadol elektrickú infraštruktúru Ukrajiny. Nikto však nebol schopný na verejnosti prezentovať usvedčujúci dôkaz. Až doteraz,“ povedal Anton Cherepanov, výskumník škodlivého kódu, ktorý viedol výskum oboch kybernetických útokov.

V apríli 2018 spoločnosť objavila novú aktivitu skupiny TeleBots, pokus o nasadenie nového typu backdoor trójskeho koňa, ktorý sa deteguje ako Exaramel. Podľa analýzy je tento backdoor vylepšenou verziou hlavného backdooru škodlivého kódu Industroyer, a teda prvým dôkazom o prepojení tohto škodlivého kódu s kybernetickou skupinou TeleBots.

Exaramel bol nájdený v organizácii, ktorá nie je priemyselným podnikom. ESET si svoje zistenia vymenil s ukrajinskými orgánmi činnými v trestnom konaní a vďaka tejto spolupráci bol útok úspešne identifikovaný a zastavený. Zaujímavosťou je, že riadiace a kontrolné servery škodlivého kódu napodobňovali domény spoločnosti ESET.

„Je potrebné podotknúť, že tieto útočníkmi ovládané servery v žiadnom prípade nemajú nič spoločné s legitímnou serverovou infraštruktúrou spoločnosti ESET,“ dopĺňa Róbert Lipovský, ďalší z výskumníkov škodlivého kódu spoločnosti, ktorý na analýze pracoval.

Podľa Cherepanova je odhalenie backdoor trójskeho koňa Exaramel dôkazom, že skupina TeleBots je aktívna aj v roku 2018 a útočníci neustále vylepšujú svoje nástroje aj taktiku.