01.11.2019 | Хакеры: Firefox и Chrome

Открытие «Лаборатории Касперского»

Весной этого года «Лабораторией Касперского» был найден инструмент Reductor для подмены генератора псевдослучайных чисел в некоторых браузерах. Как известно, перед тем как данные поступят от браузеров Firefox и Chrome в HTTPS-сайтам – они обязательно проходят процедуру шифрования. Что даёт это злоумышленникам? Выяснилось, что они, не раскрывая контактов о себе, контролируют действия человека, который пользуется определённым браузером. А ещё те модули марвари, которые были обнаружены, позволяли осуществлять удалённое администрирование. И как следствие, получается, что данное программное обеспечение получает почти неограниченные возможности. Используя этот инструмент, злоумышленникам удавалось проводить операции по кибершпионажу. Это дипломатические представительства, которые находятся на территории стран СНГ. Так, как выяснилось, с основном их интересовал пользовательский трафик.

Как ставится малвари? По большей части за этот процесс отвечает вредоносная программа COMPfun, которая раньше считалась инструментом для кибергруппировки Turla. Во втором случае, когда пользователь на свой компьютер скачивал нормальное программное обеспечение с легитимного ресурса, то оно ПО просто подменялось. Можно предположить, что злоумышленники могли контролировать сетевой канал пострадавшей стороны. Но также как уверяют исследователи, у кода Reductor имеется много чего похожего на COMPfun. А это как раз то самое недавно появившееся заражённое программное обеспечение. Можно предположить, что это разработка авторов COMPfun.

Заражения

На самом деле, ранее такие вредоносные программы зафиксированы не были с помощью которых можно было не сталкиваться с браузерным шифрованием. При этом их достаточно долго не удавалось зафиксировать. Это очень сложная программа, поэтому предположительно, что её разработчики являются самыми настоящими профессионалами. Было много случаев, когда само государство как-то помогало создавать такие заражения. Но это всего лишь косвенные доказательства, свидетельствующие о том, что Reductor как-то связана с определённой кибергруппировкой. Такое мнение было сформировано ведущим антивирусным экспертом. Кстати, есть предположение о том, что подобного рода атаки происходят не из-за того, что хочется завладеть зашифрованным пользовательским трафиком.

Как известно, заражая оборудование Reductor, даст возможность хакерам полностью контролировать систему. В частности можно будет видеть, в каком состоянии в конкретное время находится сетевой трафик жертвы. Из этого становится понятно, что «TLS-отпечатки» нужны хакерам как вторичный механизм наблюдения. Если так случится и жертве всё-таки удастся удалить Reductor, но при этом браузеры так и не будет переустановлены. Вот так хакеры смогут получить доступ к трафику при подключении к разным сайтам.