Html-liitetiedosto voi olla vaarallinen
Kohdistetuissa yritysvakoilutapauksissa on käytetty myös html-koodia sisältäviä liitteitä, jotka virustorjunta tunnistaa erittäin huonosti. Havainnosta raportoi tänään SANS-instituutin alainen Internet Storm Center.
Teknisesti liitteessä oleva koodi lataa ja suorittaa erillisen haittaohjelman tarkoitukseen valjastetulta palvelimelta. Myös javascriptiä runsaasti sisältävä koodi on koodattu monimutkaisesti tunnistamisen vaikeuttamiseksi.
Keskuksen testien mukaan virustorjuntaohjelmistoista ainoastaan Antivir ja Webwasher-Gateway tunnistivat vihamielisen koodin. Sekä saksalaisen Aviran että yhdysvaltalaisen Secure Computingin antama nimi tunnistukselle on Heuristic.Exploit.HTML. Nimi viittaa heuristisesti tunnistettuun vihamieliseen html-koodiin.
Kohdistettu eli täsmähyökkäys on menetelmä, jossa pienelle vastaanottajajoukolle lähetetyllä sähköpostilla levitetään vakoilijahaittaohjelmia kohdeorganisaatioon. Haittaohjelmat hyödyntävät yleensä ennalta tuntemattomia haavoittuvuuksia, joten myös päivitetyn järjestelmän käyttäjät ovat vaarassa. Kyseisessä tapauksessa haavoittuvuus liittyi Microsoft Excel -taulukkolaskentaan.
Salasanat hankittiin lukemalla näppäimiä
Varsinaisen ajettavan haittaohjeman tunnisti yli 30 virustorjujasta ainoastaan yhdeksän.
Haittaohjelma loi keskuksen mukaan takaporttiyhteyden kahteen pekingiläiseen palvelimeen. Haittaohjelma sisälsi näppäilytallentimen eli keyloggerin, jolla hyökkääjä kerää muun muassa yritysjärjestelmien käyttäjätunnuksia ja salasanoja kohteestaan.
Hyökkäyksen uudessa versiossa ohjauspalvelinta muutettiin useita kertoja muun muassa Etelä-Koreaan, kertoo Internet Storm Center.
Raportti kertoo poikkeuksellisesti myös hyökkäyksen vastaanottajista sekä lähettäjäosoitteista. Aikaisemmin tietoja on saatu vain liitetiedostojen nimistä. Kaikki parisenkymmentä vastaanottajaa olivat Falun Gong -liikkeen jäseniä. Liike on kiinalainen mielen ja kehon harjoitusmenetelmän harjoittajien yhteisö, joka on ollut kielletty maassa vuodesta 1999 lukien.
Viestit oli lähetetty fastmail-ilmaissähköpostista. Liitetiedoston väitettiin olevan kansainväliselle olympiakomitealle osoitettu kansalaisadressi maan ihmisoikeuksien parantamisesta. Kiina on seuraavien kesäolympialaisten isäntämaa. Myös suomalainen F-Secure on tutkinut järjestöihin kohdistuneita täsmähyökkäystapauksia.
Hyökkääjä pyrkii pitämään vastaanottajien määrän kohdehyökkäyksissä mahdollisimman pienenä, jotta virustorjuntayhtiöiden mahdollisuudet saada näyte suojan kehittämiseksi heikentyisivät.
