Comunicat Kaspersky
Pe 13 decembrie 2020, FireEye, Microsoft și SolarWinds au anunțat descoperirea unui atac cibernetic sofisticat, asupra lanțului de aprovizionare, care a scos la iveală un nou malware, „Sunburst”, necunoscut anterior, folosit împotriva clienților IT ai SolarWinds care utilizau Orion IT. Experții Kaspersky au găsit diferite asemănări la nivel de cod între Sunburst și versiunile cunoscute ale backdoor-urilor Kazuar – tipul de malware care oferă acces de la distanță la dispozitivele victimelor. Noile descoperiri oferă informații care pot ajuta cercetătorii să avanseze în investigarea acestui atac.
În timp ce studiau backdoor-ul Sunburst, experții Kaspersky au descoperit o serie de caracteristici similare cu cele ale unui Kazuar identificat anterior, un backdoor scris folosind rețeaua .NET, raportat pentru prima dată de Palo Alto în 2017 și utilizat în atacurile cibernetice de spionaj din întreaga lume. Multiple similitudini la nivel de cod sugerează o legătură între Kazuar și Sunburst, deși natura acesteia este, încă, nedeterminată.
Similitudinile dintre Sunburst și Kazuar includ algoritmul de generare UID al victimei, algoritmul de inactivitate (sleeping algorithm) și utilizarea extinsă a hash-ului FNV-1a. Potrivit experților, aceste fragmente de cod nu sunt 100% identice, sugerând că între Kazuar și Sunburst poate exista o legătură, dar natura acestei relații nu este încă clară.
După ce malware-ul Sunburst a fost lansat pentru prima dată, în februarie 2020, Kazuar a continuat să evolueze, iar variantele din 2020 sunt și mai asemănătoare, în anumite privințe, cu Sunburst.
Per ansamblu, în cei câțiva ani de la identificarea Kazuar, experții au observat o evoluție continuă, și adăugarea de noi caracteristici semnificative, care seamănă cu Sunburst. Deși aceste asemănări între Kazuar și Sunburst sunt relevante, ar putea exista o mulțime de motive pentru existența lor, inclusiv faptul că Sunburst este dezvoltat de același grup care dezvoltă și Kazuar, atacatorii din spatele Sunburst folosind Kazuar ca punct de inspirație. Un alt motiv poate fi reprezentat de mutarea unuia dintre dezvoltatorii Kazuar în echipa Sunburst sau faptul că ambele grupuri din spatele Sunburst și Kazuar au obținut malware-ul din aceeași sursă.
„Legătura identificată nu scoate la iveală cine a fost în spatele atacului SolarWinds, însă oferă mai multe informații care pot ajuta cercetătorii să avanseze în această investigație. Considerăm că este important ca și alți cercetători din întreaga lume să investigheze aceste asemănări și să încerce să descopere mai multe informații despre Kazuar și originea Sunburst, malware-ul folosit în breșa SolarWinds. Din experiența trecută, de exemplu analizând atacul WannaCry, știm că în primele zile au existat foarte puține indicii care să îl lege de grupul Lazarus. În timp, însă, au apărut tot mai multe dovezi care ne-au permis să facem legătura între grup și atac cu mai mare încredere. Cercetările suplimentare pe această temă sunt cruciale pentru a pune cap la cap informațiile”, comentează Costin Raiu, directorul echipei globale de cercetare și analiză GREAT a Kaspersky.
Aflați mai multe detalii tehnice despre asemănările dintre Sunburst și Kazuar în raportul disponibil pe Securelist.
Pentru a evita riscurile de infectare cu programe malware, cum ar fi Sunburst backdoor, Kaspersky recomandă:
• Oferiți echipei dumneavoastră SOC acces la cele mai recente informații privind amenințările cibernetice (TI). Kaspersky Threat Intelligence Portal oferă acces la TI-ul companiei, oferind date despre atacuri cibernetice și informații colectate de Kaspersky de mai bine de 20 de ani. Accesul gratuit la funcțiile sale esențiale permite utilizatorilor să verifice fișiere, adrese URL și adrese IP și este disponibil aici.
• Organizațiile care își doresc să efectueze propriile investigații pot folosi Kaspersky Threat Attribution Engine. Acesta compară codurile de atac descoperite cu cele existente deja în bazele de date de malware și, pe baza asemănărilor la nivel de cod, le poate atribui campaniilor APT identificate anterior.
Kaspersky este o companie globală de securitate cibernetică fondată în 1997. Informațiile vaste despre amenințările cibernetice și experiența în securitate IT deținute de Kaspersky se materializează în mod constant în soluții de securitate și servicii inovatoare pentru a proteja companiile, infrastructura critică, autoritățile guvernamentale și utilizatorii individuali din toată lumea. Portofoliul vast al companiei include protecție endpoint de top și mai multe soluții specializate de securitate și servicii, pentru a combate amenințările digitale tot mai complexe. Peste 400 de milioane de utilizatori individuali sunt protejați de tehnologiile Kaspersky, precum și 250.000 de companii client, pe care le ajutăm să protejeze ce e mai important pentru ele. Pentru mai multe informații, vizitați www.kaspersky.com.
