WikiDer > Regin (вредоносное ПО)

Regin (malware)
Для скандинавского карлика см. Регин (скандинавская мифология).
Смотрите также: Воин Гордость

Регин (также известен как Пракс или же QWERTY) сложный вредоносное ПО и взлом инструментарий, используемый Соединенными Штатами ' Национальное Агенство Безопасности (АНБ) и его британский аналог, Штаб правительственной связи (GCHQ).[1][2]Впервые публично об этом сообщил Лаборатория Касперского, Symantec, и Перехват в ноябре 2014 г.[3][4] Вредоносная программа нацелена на конкретных пользователей Майкрософт Виндоусна базе компьютеров и был связан с агентством по сбору разведывательных данных США. АНБ и его британский аналог, GCHQ.[5][6][7] Перехват предоставил образцы Regin для загрузки, включая вредоносное ПО, обнаруженное у бельгийского оператора связи, Belgacom.[4] «Лаборатория Касперского» заявляет, что впервые узнала о Regin весной 2012 года, но некоторые из самых ранних образцов датируются 2003 годом.[8] (Имя Регин впервые встречается на VirusTotal сайт 9 марта 2011 г.[4]) Среди компьютеров, зараженных Regin во всем мире, 28 процентов находились в Россия, 24 процента в Саудовская Аравия, По 9 процентов в каждой Мексика и Ирландия, и по 5 процентов в каждом из Индия, Афганистан, Иран, Бельгия, Австрия и Пакистан.[9] «Лаборатория Касперского» недавно обнаружила несколько используемых векторов атак. Модификация USB и BIOS позволяет вредоносное ПО внедряться через порты 1,2,3 и 5. Жертве видны многие дополнительные службы и процессы. «Подсобка» создателей обнаруживает коллизии в дайджестах сообщений SHA2, предполагая, что используется много процессорного времени. Если вирусное программное обеспечение обновляет слегка измененные обновления (для каждого пользователя, например, 256 байт случайных данных), коллизии должны выполняться для каждого пользователя. Касперский заявил, что основными жертвами вредоносного ПО являются частные лица, малые предприятия и телекоммуникационные компании. Регина сравнивают с Stuxnet и считается, что он был разработан "хорошо обеспеченными ресурсами командами разработчиков", возможно, Западный правительство, как целевой многоцелевой инструмент сбора данных.[10][11][12]

В соответствии с Die Welt, специалисты по безопасности в Microsoft дал ему название «Регин» в 2011 году, в честь хитрого норвежского гнома Регин.[13]

Операция

Regin использует модульный подход, позволяющий загружать функции, которые точно соответствуют цели, что позволяет настраивать слежку. Конструкция делает его очень подходящим для постоянных, длительных операций массового наблюдения за целями.[14][15]

Regin скрытный и не хранит несколько файлов в зараженной системе; вместо этого он использует собственный зашифрованный виртуальная файловая система (EVFS) полностью содержится в том, что выглядит как один файл с безобидным именем для хоста, в котором файлы идентифицируются только числовым кодом, а не именем. EVFS использует вариант шифрования редко используемых Шифр RC5.[15] Регин общается через Интернет, используя ICMP/пинг, команды, встроенные в HTTP печенье и обычай TCP и UDP протоколы с командный и контрольный сервер который может контролировать операции, загружать дополнительные полезные нагрузки, так далее.[9][11]

Идентификация и наименование

Symantec заявляет, что и она, и Касперский определили вредоносное ПО как Backdoor.Regin.[9] Большинство антивирусных программ, включая Kaspersky (по состоянию на октябрь 2015 г.), НЕ идентифицируют образец Regin, выпущенный The Intercept, как вредоносное ПО.[16] 9 марта 2011 года Microsoft добавила соответствующие записи в свою энциклопедию вредоносных программ;[17][18] позже еще два варианта, Regin.B и Regin.C были добавлены. Microsoft, похоже, называет 64-битные варианты Regin Prax.A и Prax.B. Записи Microsoft не содержат никакой технической информации.[4] И Kaspersky, и Symantec опубликовали белые бумаги с информацией, которую они узнали о вредоносном ПО.[11][12]

Известные атаки и создатель вредоносного ПО

Немецкий новостной журнал Der Spiegel сообщили в июне 2013 г., что США интеллект Национальное Агенство Безопасности (АНБ) провело онлайн-наблюдение за обоими Евросоюз (ЕС) граждане и учреждения ЕС. Информация взята из секретные документы получены бывшим сотрудником АНБ Эдвард Сноуден. Обе Der Spiegel и Перехват процитируйте секретный документ АНБ 2010 года, в котором говорится, что кибератаки в том году, без указания используемого вредоносного ПО, против дипломатических представительств ЕС в Вашингтон, округ Колумбия. и его представления Объединенные Нации.[4][19] Признаки, идентифицирующие программное обеспечение, используемое как Regin, были обнаружены следователями на зараженных машинах.

Перехват сообщил, что в 2013 г. GCHQ атаковали Belgacom, Крупнейшая телекоммуникационная компания Бельгии.[4] Эти атаки могли привлечь внимание охранных компаний к Регину. На основе анализа, проведенного фирмой по ИТ-безопасности Fox IT, Der Spiegel В ноябре 2014 г. сообщалось, что Регин является орудием спецслужб Великобритании и США. ИТ-отдел Fox обнаружил Регина на компьютерах одного из своих клиентов, и, согласно их анализу, части Регина упоминаются в Каталог АНБ АНТ под названиями «Straitbizarre» и «Unitedrake». Fox IT не назвала заказчика, но Der Spiegel упомянул, что среди клиентов Fox IT есть Belgacom, и процитировал главу Fox IT Рональда Принса, который заявил, что им не разрешено говорить о том, что они нашли в сети Belgacom.[1]

В декабре 2014 г. немецкая газета Bild сообщил, что Регин был найден на флешка используется сотрудником канцлера Ангела Меркель. Проверки всех ноутбуков с высоким уровнем безопасности в Канцелярия Германии дополнительных инфекций не выявлено.[20]

Регин использовался в октябре и ноябре 2018 года для взлома отдела исследований и разработок Яндекс.[21]

Смотрите также

Рекомендации

  1. ^ а б Кристиан Штёкер, Марсель Розенбах "Spionage-Software: супер-троян, Regin ist eine NSA-Geheimwaffe" Der Spiegel, 25 ноября 2014 г.
  2. ^ http://www.spiegel.de/international/world/regin-malware-unmasked-as-nsa-tool-after-spiegel-publishes-source-code-a-1015255.html
  3. ^ "Реджин раскрыт". Лаборатория Касперского. Получено 24 ноября 2014.
  4. ^ а б c d е ж Маркиз-Буар, Морган; Гварньери, Клаудио; Галлахер, Райан (24 ноября 2014 г.). «Секретное вредоносное ПО в атаке Европейского Союза, связанное с американской и британской разведкой». Перехват.
  5. ^ [1]
  6. ^ Перлрот, Николь (24 ноября 2014 г.). «Symantec обнаруживает, что в компьютерных сетях скрывается шпионский код Regin». Нью-Йорк Таймс. Получено 25 ноября 2014.
  7. ^ Галлахер, Райан. "Внутренняя история о том, как британские шпионы взломали крупнейшую телекоммуникационную компанию Бельгии". Перехват.
  8. ^ Kaspersky: Regin: вредоносная платформа, способная шпионить за сетями GSM, 24 ноября 2014 г.
  9. ^ а б c "Регин: первоклассный инструмент шпионажа позволяет скрытное наблюдение". Symantec. 23 ноября 2014 г.. Получено 25 ноября 2014.
  10. ^ "BBC News - Regin, новая ошибка компьютерного шпионажа, обнаруженная Symantec". bbc.com. Получено 23 ноября 2014.
  11. ^ а б c "Белая книга Regin" (PDF). Symantec. Получено 23 ноября 2014.
  12. ^ а б "Белая книга Regin" (PDF). Лаборатория Касперского. Получено 24 ноября 2014.
  13. ^ Бенедикт Фуэст. "Ein Computervirus, so mächtig wie keines zuvor". Die Welt. Архивировано из оригинал 28 ноября 2014 г.
  14. ^ «Regin Malware -« спонсируемый государством »инструмент шпионажа, предназначенный для правительств». The Hacking Post - Последние новости о взломах и обновления безопасности.
  15. ^ а б «АНБ, GCHQ или оба они стоят за вредоносной программой Regin, подобной Stuxnet?». scmagazineuk.com. 24 ноября 2014 г.. Получено 25 ноября 2014.
  16. ^ Virustotal: Коэффициент обнаружения: 21/56
  17. ^ Центр защиты от вредоносных программ Microsoft, нажмите кнопку «Энциклопедия вредоносных программ».
  18. ^ Центр защиты Microsoft: троян: WinNT / Regin.A
  19. ^ Пойтрас, Лаура; Розенбах, Марсель; Шмид, Фиделиус; Старк, Хольгер (29 июня 2013 г.). «Атаки из Америки: АНБ шпионило за офисами Европейского Союза». Der Spiegel.
  20. ^ «Правительство Германии отрицает, что стало жертвой кибератаки». Deutsche Welle. 29 декабря 2014 г.
  21. ^ Рейтер (27 июня 2019 г.). "Западная разведка взломала Яндекс, чтобы шпионить за аккаунтами" российского Google ". Архивировано из оригинал 29 июня 2019 г.

внешняя ссылка