Οι ερευνητές της εταιρείας κυβερνοασφάλειας ESET ανακάλυψαν επιθέσεις τύπου «watering hole», δηλαδή εκστρατείες στρατηγικών παραβιάσεων ιστότοπων. Η συγκεκριμένη επίθεση είχε στόχο κυβερνητικούς ιστότοπους, online σελίδες μέσων ενημέρωσης, καθώς και ιστότοπους παρόχων υπηρεσιών διαδικτύου και εταιρειών αεροδιαστημικής/ στρατιωτικής τεχνολογίας.
Watering-hole, δηλαδή «νερόλακκος», είναι η ορολογία που χρησιμοποιείται στην κυβερνοασφάλεια για να περιγράψει μια στοχευμένη στρατηγική επίθεση κατά την οποία οι κυβερνοεγκληματίες μολύνουν έναν ιστότοπο που πιστεύουν ότι αποτελεί ένα γόνιμο περιβάλλον με πιθανά θύματα. Στη συνέχεια περιμένουν να μπει το κακόβουλο λογισμικό στους υπολογιστές των θυμάτων που επισκέφτηκαν το συγκεκριμένο ιστότοπο. Ουσιαστικά η λέξη «νερόλακκος» παραπέμπει στο σημείο όπου πηγαίνουν τα ζώα να πιούν νερό, γεγονός που τα κάνει ευάλωτα στα αρπακτικά.
Τα website που έπεσαν θύματα της συγκεκριμένης εκστρατείας ανήκουν σε μέσα ενημέρωσης στο Ηνωμένο Βασίλειο, την Υεμένη και τη Σαουδική Αραβία, καθώς και στη Χεζμπολάχ, σε κυβερνητικούς φορείς στο Ιράν (Υπουργείο Εξωτερικών), τη Συρία (μεταξύ των οποίων και η ιστοσελίδα του Υπουργείου Ενέργειας) και την Υεμένη (συμπεριλαμβανομένων των Υπουργείων Εσωτερικών και Οικονομικών), σε παρόχους υπηρεσιών Internet στην Υεμένη και τη Συρία και σε εταιρείες αεροδιαστημικής/στρατιωτικής τεχνολογίας στην Ιταλία και τη Νότια Αφρική.
Παράλληλα, οι κυβερνοεγκληματίες κλωνοποίησαν έναν ιστότοπο ιατρικής εμπορικής έκθεσης στη Γερμανία. Το website ανήκε στην εμπορική έκθεση MEDICA του Παγκόσμιου Φόρουμ Ιατρικής που πραγματοποιήθηκε στο Ντίσελντορφ της Γερμανίας.
Η εκστρατεία φαίνεται να έχει ισχυρούς δεσμούς με την Candiru, μια ισραηλινή εταιρεία κατασκοπείας που συμπεριλήφθηκε πρόσφατα στη μαύρη λίστα του Υπουργείου Εμπορίου των ΗΠΑ, και η οποία πουλάει υπερσύγχρονα εργαλεία λογισμικού επιθετικού χαρακτήρα και σχετικές υπηρεσίες σε κυβερνητικούς φορείς.
Πώς εντοπίστηκαν οι επιθέσεις
«Το 2018, αναπτύξαμε στην ESET ένα προσαρμοσμένο σύστημα για να εντοπίζουμε watering holes σε ιστοσελίδες υψηλού προφίλ» λέει ο ερευνητής της ESET Matthieu Faou, ο οποίος αποκάλυψε τις καμπάνιες watering hole. «Στις 11 Ιουλίου 2020, το σύστημά μας μάς ειδοποίησε ότι η ιστοσελίδα της ιρανικής πρεσβείας στο Άμπου Ντάμπι είχε μολυνθεί με κακόβουλο κώδικα JavaScript. Ο υψηλού προφίλ χαρακτήρας του στόχου μας προκάλεσε εντύπωση και τις επόμενες εβδομάδες παρατηρήσαμε ότι και άλλες ιστοσελίδες με διασυνδέσεις στη Μέση Ανατολή ήταν επίσης στόχοι».
«Η ομάδα σίγησε μέχρι τον Ιανουάριο του 2021, όταν παρατηρήσαμε ένα νέο κύμα παραβιάσεων. Αυτό το δεύτερο κύμα διήρκεσε μέχρι τον Αύγουστο του 2021, όταν όλες οι ιστοσελίδες καθαρίστηκαν και πάλι όπως συνέβη το 2020 – πιθανότατα από τους ίδιους τους δράστες», προσθέτει.
Σε αυτή την εκστρατεία, κάποιοι επισκέπτες των συγκεκριμένων ιστοσελίδων πιθανότατα να δέχθηκαν επίθεση μέσω ενός browser exploit. Ωστόσο, οι ερευνητές της ESET δεν μπόρεσαν να εντοπίσουν ούτε κάποιο exploit ούτε κάποιο τμήμα του κακόβουλου λογισμικού. Αυτό δείχνει ότι οι κυβερνοεγκληματίες έχουν επιλέξει να περιορίσουν το επίκεντρο των επιχειρήσεών τους και δεν θέλουν να αποκαλύψουν τα zero-day exploits τους, γεγονός που καταδεικνύει πόσο στοχευμένη είναι αυτή η εκστρατεία. Οι παραβιασμένες ιστοσελίδες χρησιμοποιούνται μόνο ως σημείο εκκίνησης για την προσέγγιση των τελικών στόχων.
Ο ρόλος της Candiru
Πολύ πιθανόν οι υπεύθυνοι των εκστρατειών watering hole να είναι πελάτες της Candiru. Οι δημιουργοί των εγγράφων και οι χειριστές των watering holes είναι επίσης δυνητικά οι ίδιοι. Καθώς η ισραηλινή Candiru προστέθηκε πρόσφατα στον κατάλογο οικονομικών κυρώσεων του Υπουργείου Εμπορίου των ΗΠΑ, αυτό σημαίνει ότι ένας οργανισμός με έδρα τις ΗΠΑ δε θα μπορεί να συνεργαστεί με την Candiru χωρίς προηγουμένως να λάβει άδεια από το Υπουργείο Εμπορίου.
«Ενα blogpost του Citizen Lab του Πανεπιστημίου του Τορόντο που μιλούσε για την Candiru, στην ενότητα με τίτλο “A Saudi-Linked Cluster?” ανάφερε κάποιο έγγραφο spear-phishing που ανέβηκε στο VirusTotal και πολλά domain που διαχειρίζονται οι επιτιθέμενοι. Τα ονόματα των domain είναι παραλλαγές γνήσιων URL shorteners και ιστοσελίδων web analytics, η οποία είναι η ίδια τεχνική που χρησιμοποιείται για τα domains που παρατηρούνται στις επιθέσεις watering hole», εξηγεί ο Faou, συνδέοντας τις επιθέσεις με την εταιρεία Candiru.
Στα τέλη Ιουλίου του 2021, λίγο μετά τη δημοσίευση των blogposts από το Citizen Lab, τη Google και τη Microsoft που περιγράφουν λεπτομερώς τις δραστηριότητες της Candiru, η ESET έπαψε να βλέπει δραστηριότητα από αυτή την επιχείρηση. Οι χειριστές φαίνεται να κάνουν μια παύση, πιθανότατα για να αναδιοργανωθούν και να συγκαλύψουν την εκστρατεία τους.
Η ESET Research εκτιμά ότι θα επιστρέψουν τους επόμενους μήνες.
Latest News
Vodafone: Έργο για την ασφάλεια των ψηφιακών υποδομών του Δήμου Πειραιά
Με την υλοποίηση του έργου ο Δήμος Πειραιά θα αποκτήσει ένα προηγμένο σύστημα διαχείρισης σχεδίων πολιτικής προστασίας, καθώς και σύγχρονα συστήματα Κυβερνοασφάλειας με λειτουργίες AI
Εκστρατεία κυβερνοεπιθέσεων στο Telegram με στόχο χρήστες fintech
Το κακόβουλο αυτό λογισμικό έχει σχεδιαστεί για να κλέβει ευαίσθητα δεδομένα, όπως κωδικούς πρόσβασης, και να αποκτά τον έλεγχο των συσκευών των χρηστών για σκοπούς κατασκοπείας
Εκτόξευση δαπανών 21% σχετικά με την AI στην Ευρώπη το 2025 προβλέπει η Gartner
Η Gartner εκτιμά ότι οι δαπάνες για υπηρεσίες πληροφορικής που σχετίζονται με την τεχνητή νοημοσύνη στην Ευρώπη θα αυξηθούν από 78 δισ. δολάρια το 2024 σε 94 δισ. δολάρια το 2025
Εντός του 2025 η πλατφόρμα SmartThings της Samsung επεκτείνεται στις Β2Β λύσεις
Το ολοκληρωμένο χαρτοφυλάκιο των επιχειρησιακών της λύσεων παρουσίασε η Samsung Electronics Hellas
Η Apple θέλει να ακολουθήσει την Meta στην αγορά των έξυπνων γυαλιών
Μια εσωτερική μελέτη βρίσκεται σε εξέλιξη για τη συλλογή σχολίων από υπαλλήλους της Apple σχετικά με τα έξυπνα γυαλιά
Το νέο made-in-China λογισμικό που κοντράρει Apple και Google
Η Κίνα θέλει να γίνει τεχνολογικά αυτάρκης σε όλα και η Huawei φαίνεται να αναλαμβάνει το λογισμικό των smartphone
Η καλύτερη επίδοση γ' τριμήνου για την αγορά smartphone από το 2021 - Έρευνα της Canalys
Η Samsung πρωτοστατεί στην παγκόσμια αγορά smartphone το γ' τρίμηνο του 2024 με την Apple να καταλαμβάνει τη δεύτερη θέση σε μερίδια αγοράς
«Ράλι» 14% στις μετοχές της Tesla μετά τα αποτελέσματα των αμερικανικών εκλογών
Η άνοδος της Tesla οφείλεται στο ότι ο Ίλον Μασκ, ως υποστηρικτής του Ντόναλντ Τραμπ, θα επωφεληθεί από την διαφαινόμενη επανεκλογή του
«Φλερτάρει» με το Χρηματιστήριο η Cosmos Business Systems - Στοχεύει σε έργα 500 εκατ.
O κ. Δάφνης, πρόεδρος του ομίλου Cosmos Business Systems, τοποθέτησε την είσοδο στο ΧΑ χρονικά μετά το 2025 έχοντας στόχο την εξεύρεση κεφαλαίων που θα στηρίξουν την ανάπτυξη της εταιρείας
Με νέα καμπάνα απειλεί η Ευρώπη την Apple - Κλιμακώνεται η σύγκρουση
H Apple καλείται από την Κομισιόν να συμμορφωθεί με τους κανόνες που έχουν επιβληθεί, ειδάλλως θα μπει σε νέες περιπέτειες