Onderzoekers van het Russische anti-virusbedrijf Kaspersky Lab hebben een nieuwe cyberspionagecampagne ontdekt die meer dan 350 slachtoffers in 40 landen maakte. De campagne wordt 'NetTraveler' genoemd, vanwege een string in de code met de tekst 'nettraveler is running!'. De campagne zou mogelijk al sinds 2004 actief zijn.
De meeste malware-exemplaren dateren van tussen 2010 en 2013. Volgens de virusbestrijder bestaat de groep achter NetTraveler uit zo'n 50 personen, die Chinees als moedertaal hebben en het Engels machtig zijn. Doelwitten bestaan uit verschillende instellingen, zowel in de overheids- als in de privésector, overheidsinstellingen, ambassades, olie- en gassector, onderzoekscentra, militaire bedrijven en activisten.
De laatste tijd zijn de belangrijkste interessedomeinen van de NetTraveler-groep toegespitst op ruimteverkenning, nanotechnologie, energieproductie, kernenergie, lasers, geneeskunde en communicatie. De meeste slachtoffers bevinden zich in Mongolië, gevolgd door Rusland en India. De aanvallers waren niet in Nederland actief, maar een ambassade in België zou wel besmet zijn geraakt.
Aanval
Ondanks dat het om 'high profile' doelwitten gaat, wisten de aanvallers op zeer eenvoudige wijze binnen te komen. Slachtoffers kregen Word-bestanden toegestuurd die misbruik van twee beveiligingslekken in Microsoft Office maakten. Het gaat om CVE-2012-0158 en CVE-2010-3333, waar respectievelijk in 2012 en 2010 updates voor verschenen.
Volgens Kaspersky maakten de aanvallers geen gebruik van zogeheten zero-day-exploits. De slachtoffers hadden zich dan ook eenvoudig kunnen beschermen door het installeren van de twee beveiligingsupdates, die gewoon beschikbaar waren. De aanval had in dat geval niet gewerkt, ook al was het Word-bestand wel geopend.
"Het is dan ook verrassend om te zien dat zulke ongeraffineerde aanvallen tegen dit soort belangrijke doelwitten succesvol kunnen zijn", zo laat de virusbestrijder in dit rapport weten.
Datadiefstal
Eenmaal actief maakten de aanvallers allerlei vertrouwelijke bestanden buit, eindigend op doc, docx, xls, xlsx, txt, rtf en pdf. Ook werden toetsaanslagen opgeslagen. Tijdens het onderzoek ontdekte Kaspersky Lab op verschillende command & control-severs logbestanden die tot 2009 teruggingen.
Aan de hand van aangetroffen systeembestanden wordt gesteld dat de aanvallers zeker 22 gigabyte aan bestanden wisten buit te maken, maar de werkelijke omvang van de datadiefstal is waarschijnlijk veel groter.
Deze posting is gelocked. Reageren is niet meer mogelijk.