Роутеры MikroTik фаршируются трояном Slingshot

[ded]

Российская компания «Лаборатория Касперского» обнаружила скрытую шпионскую программу Slingshot. Как пишет газета The Times, программа была создана в США для борьбы с террористическими группировками.

«Лаборатория Касперского» предупредила пользователей об этом вредоносном коде, который позволяет получать доступ к роутерам, чтобы следить за активностью пользователей в интернете.

Сообщается, что данная программа была обнаружена на устройствах в Афганистане, Ираке, Кении, Судане, Сомали, Турции и Йемене. По данным издания, атаки ПО были нацелены на интернет-кафе, которыми пользовались радикальные исламисты. Как сообщает CyberScoop со ссылкой на сотрудников американских разведслужб, Slingshot на самом деле представляет собой военную программу США, курируемую американским Совместным командованием специальных операций (JSOC), которое является частью Главного управления войск специального назначения Министерства обороны США.

Операция, по данным издания, была направлена, в частности, против «Исламского государства», «Аль-Каиды» и других террористических организаций.

Источники CyberScoop опасаются, что раскрытие Slingshot проведёт к тому, что Соединённые Штаты «потеряют доступ к ценной долгосрочной программе слежения», а также поставит под угрозу жизни военнослужащих.

Slingshot используется уже шесть лет — с 2012 года. От её активности пострадали около 100 частных лиц, атакам вредоносной программы подвергались также правительственные учреждения и организации в странах Ближнего Востока и Африки.

«Лаборатория Касперского» о Slingshot

В самом отчёте «Лаборатории Касперского» о Slingshot ничего не сказано о стране, которая является создателем шпионской программы.

Исследователи отмечают, что злоумышленники действуют посредством компрометации роутеров фирмы MikroTik. В роутеры внедряется DLL-файл, который, в свою очередь, подгружает целый набор вредоносных компонентов.

Как только с инфицированным устройством пытается связаться пользователь, загружается и выполняется вредоносный модуль. Эксперты полагают, что создатели программы Slingshot могли пользоваться и другими скомпрометированными устройствами.

В «Лаборатории Касперского» отметили, что шпионская программа «может собирать скриншоты, данные о нажатиях клавиш и любых действиях на рабочем столе, сетевой трафик, пароли, содержимое буфера обмена и многое другое».

«Авторы говорят на хорошем английском»

Антивирусный эксперт «Лаборатории Касперского» Алексей Шульмин рассказал RT, как удалось обнаружить шпионскую программу.

«Это сложное вредоносное компьютерное обеспечение, обнаружили мы его в прошлом году, долго исследовали. Состоит оно из нескольких модулей, плюс один из модулей работает в режиме ядра. Предположительно, оно предназначено для целей кибершпионажа, потому что всё, что оно делает — собирает информацию, которая есть на компьютере пользователя. Оно может собрать любые данные, которые используются на компьютере», — сообщил он.

Специалист подтвердил, что было обнаружено порядка 100 заражений, по большей части в Африке.
Основная опасность данной программы, как полагают в компании, в её неуловимости.

«Опасность Slingshot в том, что он технически сложный и, предположительно, долгое время летал под радаром, то есть не был замечен. По нашим оценкам, в течение шести лет существовала данная вредоносная программа и оставалась незамеченной», — отметил Шульмин.
По его словам, определить страну-разработчика вредоносной программы не удалось.

«Мы не знаем, мы не делаем атрибуцию (установление авторства. — RT). Атрибуция сама по себе задача сложная. Единственное, что мы знаем — то, что авторы данного вредоноса, очевидно, говорят на хорошем английском языке. Есть текстовые строчки, небольшие описания модулей, которые написаны на хорошем английском», — пояснил эксперт «Лаборатории Касперского».

Точно так же не получилось отследить, кем использовался Slingshot.

https://securelist.com/apt-slingshot/84312/