Het Russische anti-virusbedrijf Kaspersky Lab is eerder dit jaar het slachtoffer van cyberspionage geworden waarbij verschillende interne systemen met geavanceerde malware besmet raakten. Voor het verspreiden van de malware, die tijdens een interne beveiligingscontrole met een nieuw product werd ontdekt, gebruikten de aanvallers een onbekende kwetsbaarheid in de Windows-kernel, dat Microsoft gisteren patchte. Daarnaast sluit de virusbestrijder niet uit dat er ook twee andere zero day-kwetsbaarheden zijn gebruikt die op dit moment al gepatcht zijn.

De originele aanvalsvector is op dit moment nog onbekend, hoewel de aanvallers waarschijnlijk een spear phishingmail gebruikten. Bij één van de eerste slachtoffers bleek namelijk dat zijn mailbox en surfgeschiedenis was gewist om sporen van de aanval te verbergen. Aangezien de besmette machines volledig waren gepatcht denkt Kaspersky dat er een onbekende kwetsbaarheid is aangevallen. De aanval op het bedrijfsnetwerk zou geen impact op de anti-virussoftware of de klanten van het bedrijf hebben.

Volgens Kaspersky waren de aanvallers geïnteresseerd in het intellectueel eigendom van de virusbestrijder, alsmede de technologie van het bedrijf waarmee het spionageaanvallen detecteert en analyseert. Kaspersky stelt in een verklaring dat de beslissing van de aanvallers om de aanval uit te voeren waarschijnlijk zeer lastig was, aangezien die zeker ontdekt zou worden. "Het aanvallen van beveiligingsbedrijven geeft aan dat ze zeer veel vertrouwen hebben dat ze niet worden gepakt, of het ze misschien niets kan schelen als ze worden ontdekt."

Om niet te worden ontdekt verborg de malware zich voornamelijk in het geheugen van besmette computers. Het herstarten van de computer zou in dit geval betekenen dat de infectie verdween. Om computers toch permanent te besmetten infecteerden de aanvallers servers in het netwerk met een hoge up-time, die vervolgens de computers in het domein weer infecteerden. Deze aanpak heeft als nadeel dat bij een stroomstoring alle computers en servers ontsmet zouden zijn. Daarom werden op een klein aantal computers drivers geinstalleerd. Deze drivers kunnen verkeer van buiten het netwerk naar de binnenkant tunnelen. De aanvallers konden zo verbinding via remote desktopsessies maken of via eerder gestolen inloggegevens op servers inloggen.

Verenigde Staten

De aanval is volgens Kaspersky Lab uitgevoerd door de groep die eerder het zeer geavanceerde Duqu-virus maakte. Het Duqu-virus werd gekoppeld aan de organisatie die Stuxnet ontwikkelde. Volgens verschillende experts is Stuxnet door de Amerikaanse overheid gemaakt om het Iraanse atoomprogramma te verstoren. Verschillende geavanceerde spionageoperaties die aan de Amerikaanse overheid zijn toegeschreven werden de afgelopen jaren door Kaspersky Lab openbaar gemaakt.

Ook in het geval van Duqu 2.0, zoals de gebruikte malware wordt genoemd, is er volgens het Russische anti-virusbedrijf sprake van een door een staat uitgevoerde aanval. Dit soort campagnes zouden namelijk zeer kostbaar zijn en veel middelen vereisen. Het framework waarop Duqu 2.0 is gebouwd zou naar schatting 50 miljoen dollar kosten. Daarnaast is ook de afhankelijkheid van het platform van zero day-lekken opmerkelijk. Duqu 2.0 is daarnaast niet voor financiële motieven ontwikkeld, zoals met veel malware van cybercriminelen wel het geval is.

Naast Kaspersky Lab werd de malware ook tegen andere doelen ingezet. Wereldwijd zouden minder dan honderd infecties zijn waargenomen. Bij de eerste Duqu-versie ging het om minder dan vijftig doelen. Slachtoffers van versie 2.0 bevinden zich in westerse landen, het Midden-Oosten en Azië. Net als in 2011 zou ook Duqu 2.0 als doel hebben om het Iraanse atoomprogramma te bespioneren. Symantec meldt dat onder andere een Europese en Noord-Afrikaanse telecomaanbieder via de malware zijn aangevallen, alsmede een fabrikant van elektronische apparatuur in Zuid-Oost Azië.