Zostaw komentarz
Badacze z firmy Kaspersky opublikowali wyniki szczegółowego badania dotyczącego wszystkich nowości, o jakie wzbogacone zostało niedawno oprogramowanie spyware FinSpy dla systemu Windows, macOS oraz Linux. Prowadzona przez osiem miesięcy analiza ujawniła stosowane przez twórców tego szkodnika zaawansowane metody zaciemniania kodu oraz inne mechanizmy przeciwdziałania analizie, jak również użycie modułu infekującego UEFI w maszynach ofiar. Wyniki badania sugerują duży nacisk na obchodzenie mechanizmów ochrony przez szkodnika, które sprawia, że FinFisher to jak dotąd jedno z najtrudniejszych do wykrycia narzędzi spyware.
FinFisher, znany również jako FinSpy lub Wingbird, to narzędzie do monitoringu, które firma Kaspersky obserwuje od 2011 r. Potrafi gromadzić różne dane uwierzytelniające, wykazy plików oraz różne dokumenty, a ponadto przesyłać strumieniowo lub rejestrować dane oraz uzyskiwać dostęp do kamery internetowej i mikrofonu. Jego implanty dla systemu Windows były wielokrotnie badane do 2018 r., gdy wydawało się, że FinFisher zniknął ze sceny.
Później jednak rozwiązania firmy Kaspersky wykryły podejrzane instalatory legalnych aplikacji, takich jak TeamViewer, VLC Media Player oraz WinRAR, zawierające niebezpieczny kod, którego nie dało się powiązać z żadnym znanym szkodliwym oprogramowaniem. Tak było do czasu wykrycia strony internetowej w języku birmańskim zawierającej zainfekowane instalatory oraz próbki FinFishera dla systemu Android. Odkrycie to skłoniło badaczy z firmy Kaspersky do kontynuowania badań.
W przeciwieństwie do wcześniejszych wersji szkodnika, które od razu zawierały trojana w zainfekowanej aplikacji, nowe próbki są chronione przez dwa komponenty. Pierwszy przeprowadza kilka testów bezpieczeństwa, aby sprawdzić, czy infekowane urządzenie nie należy do badacza bezpieczeństwa. Jeśli tak nie jest, serwer dostarcza drugi komponent, który ma potwierdzić, że infekowana ofiara jest zamierzonym celem. Dopiero wtedy serwer wydaje polecenie zainstalowania pełnoprawnego trojana.
FinFisher został poddany zaciemnianiu przy pomocy czterech złożonych, niestandardowych narzędzi. Głównym celem tego procesu jest spowolnienie analizy. Ponadto trojan stosuje nietypowe sposoby gromadzenia informacji. Na przykład wykorzystuje tryb programisty w przeglądarkach w celu przechwytywania ruchu chronionego przy użyciu protokołu HTTPS.
Badacze wykryli również próbkę szkodnika FinFisher, która zastępowała menedżera rozruchu Windows UEFI – komponent, który uruchamia system operacyjny po starcie oprogramowania układowego wraz ze szkodnikiem. W ten sposób atakujący mogą zainstalować szkodliwy kod bez konieczności obchodzenia zabezpieczeń oprogramowania układowego. Infekcje UEFI są niezwykle rzadkie i ogólnie trudne do przeprowadzenia. Wyróżniają się tym, że umożliwiają długotrwałe utrzymywanie się szkodnika w systemie. Chociaż w omawianym przypadku cyberprzestępcy nie infekują samego oprogramowania układowego UEFI, a jedynie etap rozruchu, atak ten cechował się wyjątkową ukradkowością, ponieważ szkodliwy moduł został zainstalowany na oddzielnej partycji i mógł kontrolować proces uruchamiania zainfekowanego urządzenia.