FBI wydaje ostrzeżenie przed wirusem z Korei Północnej

FBI oraz DHS wspólnie opublikowali ostrzeżenie przeciw trojanowi "Volgmer", który zainfekował wiele organizacji na przestrzeni ostatnich lat. FBI jest wysoce przekonane, że adresy IP powiązane z wirusem należą do Korei Północnej.

Z raportu FBI wynika, że Volgmer pierwszy raz został zauważony w 2013 roku, a na jego celowniku znajdowały organizacje działające w sektorach rządowych, finansowych, samochodowych oraz medialnych. Podstawowy mechanizm rozprzestrzeniania się zagrożenia polegał na przeprowadzaniu spersonalizowanych ataków, polegających na namierzaniu i infekowaniu wybranego podmiotu lub organizacji. Pozwalało to na uzyskanie większych uprawnień wewnątrz sieci i dalsze infekowanie sieci za pomocą ich malware. Volgmer stanowi potężne narzędzie i jest zdolny do gromadzenia informacji, zmiany kluczy w rejestrze, pobierania i wysyłania plików, wykonywania komend, kończenia procesów i wiele więcej. Zespół analityków z US-CERT dodatkowo uważa, że z wykorzystaniem trojana Volgmer można stworzyć i kontrolować sieć botnet.

Czyżbyśmy byli od pewnego czasu świadkami cyfrowej wojny? Co chwila otrzymujemy nowe informacje o kolejnych wirusach, których celem są największe organizacje

Zgodnie z opinią rządowych agencji, które zajęły się analizą tego zagrożenia, Volgmer nie występuje w jednej postaci i był widziany w formie 32. bitowego pliku wykonywalnego, jak również w postaci bibliotek .dll. Malware wykorzystuje swój własny protokół oraz szyfrowanie RC4 by wysyłać dane na serwery kontrolne C2. Obecność Volgmera ciężko jest wychwycić, gdyż losowo wybiera on usługę systemu Windows, do której się kopiuje. FBI zaleca, żeby organizacje prześledziły, czy w ich logach nie występują adresy powiązane z trojanem. W przypadku wykrycia należy zablokować taką łączność i podjąć działania w celu usunięcia zagrożenia. Agencje przygotowały również gotową listę reguł i sygnatur, które mogą być wykorzystane by zablokować i wykryć wirusa. Agencje wyróżniły to zagrożenie, wydając oddzielny komunikat, gdyż wirus ten jest zdolny do wykradania wrażliwych danych oraz zakłócać normalną pracę i operacje finansowe, co może również doprowadzić do utraty reputacji.