Kaspersky Lab: Atacurile de tip “watering hole” StrongPity au făcut 1.000 de victime care căutau programe de criptare

O grupare de atacatori, cunoscută sub denumirea de StrongPity, și-a petrecut vara ademenind utilizatorii de programe de criptare prin tehnica “watering hole”, potrivit unei lucrări prezentate în Virus Bulletin de cercetătorul Kaspersky Lab, Kurt Baumgartner. Utilizatorii din Italia și Belgia au fost cel mai grav afectați, dar printre victime se numără și persoane din Turcia, Africa de Nord și Orientul Mijlociu. StrongPity este o grupare de tip APT (Advanced Persistent Threat), care dispune de tehnici avansate și este interesată de informațiile și mesajele criptate. În ultimele câteva luni, Kaspersky Lab a observat o creștere semnificativă a atacurilor împotriva utilizatorilor care caută două programe cunoscute de criptare: WinRAR și sistemul TrueCrypt. Programul malware StrongPity include componente care le dau atacatorilor control deplin asupra sistemului victimei, permițându-le să fure conținut de pe hard disk și să descarce module suplimentare pentru a strânge mesaje și contacte. Kaspersky Lab a detectat, până în acest moment, vizite către site-uri StrongPity și prezența unor componente StrongPity în peste 1.000 de sisteme vizate.

Datele Kaspersky Lab arată că, pe parcursul unei singure săptămâni, programele malware “livrate” de site-ul din Italia au apărut pe sute de sisteme din Europa și Africa de Nord sau Orientul Mijlociu, existând posibilitatea unui număr mult mai mare de infectări. Pe parcursul verii, Italia (87%), Belgia (5%) și Algeria (4%) au fost țările cele mai afectate. În mod similar, în cazul site-ului infectat din Belgia, utilizatorii de aici au reprezentat jumătate (54%) din peste 60 de atacuri de succes.

Pentru a prinde victimele în capcană, atacatorii au creat site-uri false. Într-un caz, au inversat două litere în numele unui domeniu, pentru a-i păcăli pe clienți să creadă că este un site legitim, de unde pot instala programul WinRAR. Apoi au plasat un link foarte vizibil către un domeniu malware, aflat pe un site din Belgia, aparent, înlocuind link-ul recomandat de site, cu link-ul malware. Atunci când vizitatorii intrau pe acel site, îi conducea la sursa compromisă StrongPity. Prima detecție făcută de Kaspersky Lab a unei redirecționări reușite a fost pe 28 mai 2016. Aproape în același timp, pe 24 mai, Kaspersky Lab a început să detecteze activitate malware pe un site din Italia, de unde se putea descărca WinRAR. În acest caz, însă, utilizatorii nu erau redirecționați către un alt site compromis, ci erau infectați cu StrongPity direct de pe primul site.