FireEye vindt Gh0stRAT cyberespionagecampagnes vervolg

Een bekende cyberspionagetool genaamd Gh0st RAT wordt nog steeds gebruikt bij heimelijke malware-aanvallen, volgens een nieuw rapport van beveiligingsbedrijf FireEye.

FireEye, specialist in malwaredetectie, vrijgegeven gegevens die het in 2012 verzamelde bij honderden van zijn klanten. Het keek naar 12 miljoen verschillende meldingen van verdachte activiteiten, waarvan er ongeveer 2.000 werden geclassificeerd als "advanced persistent threats" (APT's), de term voor geavanceerde, moeilijk te detecteren veiligheidsindustrie. aanvallen gericht op de infiltratie van organisaties op de lange termijn. > > > > > nformatie van de computers van een slachtoffer. In 2009 rapporteerden onderzoekers met de Information Warfare Monitor, een computerbeveiligingsonderzoeksproject, en de Universiteit van Toronto een uitgebreide cyberspionagecampagne met Gh0st RAT die gericht was op meer dan 1.000 computers in 103 landen.

[Lees meer: ​​Hoe te verwijderen malware van uw Windows-pc]

Gh0st RAT is "een heel belangrijk onderdeel van veel soorten APT-campagnes omdat het een effectief hulpmiddel is", zegt Rob Rachwald, senior-directeur marktonderzoek van FireEye.

Het rapport van FireEye kijkt in grote lijnen naar hoe aanvallers informatie van slachtoffers extraheren en hun malware beheren op geïnfecteerde computers of 'callback'-activiteiten. Hun gegevens uit 2012 laten zien dat aanvallers command-and-control-servers gebruiken om instructies te geven aan malware in 184 landen nu, een toename van 42 procent ten opzichte van 2010.

Zuid-Korea heeft een concentratie van callback-activiteiten. De servers van technologiebedrijven hebben de neiging om door hackers het doelwit te worden om met hun geïnfecteerde machines te communiceren. "Ik denk dat het feit dat ze van oudsher een van de meest verbonden naties ter wereld zijn, waarschijnlijk een andere driver hiervoor is", zei Rachwald.

FireEye's rapport zei: "In zekere zin wordt Zuid-Korea geplaagd door RAT's [remote toegangstools]. Uit de gegevens van 2012 blijkt dat Zuid-Korea een van de beste callback-bestemmingen ter wereld is en dat sommige callback-activiteiten van het land worden geassocieerd met meer gerichte aanvallen. "

Hackers voegden gestolen informatie ook in JPEG-afbeeldingsbestanden in om ervoor te zorgen dat de gegevens meer op normaal verkeer lijken. De malware gebruikte ook sociale netwerksites zoals Twitter en Facebook om instructies te geven voor geïnfecteerde machines, aldus FireEye.

Het bedrijf merkte andere veranderingen in het gedrag van hackers op. Meestal bevonden command-and-control-servers zich in een ander land dan het slachtoffer. Nu zoeken ze naar de opdrachtinfrastructuur in hetzelfde land om het verkeer er normaal uit te laten zien.

Maar voor sommige landen deden hackers geen moeite om controleservers in het land van een doelwit te gebruiken. Canada en het Verenigd Koninkrijk hadden allebei een hoog percentage callback-verkeer dat overzee ging. Aanvallers deden dat misschien niet in die landen omdat "ze wisten dat ze niet zouden worden ontdekt", zei Rachwald.