Лаборатория Касперского обнаружила банковский троян государственного масштаба

Лабораторией Касперского была обнаружена опасная вредоносная программа на Ближнем Востоке, которую эксперты классифицировали как кибероружие. Эта новая угроза была выявлена в июне 2012 года.

О том, кто является создателями данной вредоносной программы, ничего не известно. Вредоносную программу окрестили именем математика Иоганна Гаусса. Особенность новой программы заключается не только в шпионской деятельности. Она, также, направлена на похищение пользовательской информации с атакованных компьютеров. Gauss незаметно отправляет на сервера управления коды, которые были введены или сохранены в браузере, файлы cookie и детали расположения инициированной системы. Как было сообщено аналитиками Лаборатории Касперского, вредоносная программа Gauss уникальна, естественно, программ, аналогичных этой, никогда несуществовало . Этот банковский троян обладает функциональностью, что позволяет отнести его к классу кибероружия. Троян Gauss обнаружили в рамках глобальной кампании, которую проводил Международный союз электросвязи (International Telecommunication Union, ITU), после того как им был обнаружен Flame. Целью такой кампании стало уменьшение рисков, которые связаны с использованием кибероружия, а также сохранение равновесия в киберпространстве. Специалисты Лаборатории Касперского оказывают экспертную поддержку, с которой ITU планирует предпринять важные действия по направлению укрепления мировой кибербезопасности. К тому же, в этой масштабной программе принимают активное участие ключевые партнеры по инициативе ITU-IMPACT, правительство, множество частных организаций и, конечно, гражданское общество.

Обнаружить Gauss экспертам Лаборатории Касперского удалось благодаря имеющимся во вредоносной программе схожих с Flame черт, которая также является не менее опасной программой. Общие черты заключаются в модульной структуре, общей архитектуре программ, и способах контактирования с управленческими серверами.

Предполагается, что создатели, назвавшие шпионский модуль программы в честь знаменитого математика Иоганна Гаусса, также окрестили прочие файлы троянца в честь математиков Курта Гёделя и Жозефа Луи Лагранжа. Как оказалось, по результатам исследования, первый случай атаки Gauss произошел еще в сентябре 2011 года. Но сервера управления трояна остановили свою деятельность лишь в июле 2012 года.

Многочисленные модули вредоносной программы были разработаны с целью получения и хранения информации, которая содержится в браузерах, в том числе и история посещения сайтов и все пароли, используемые в онлайн-серверах. К тому же, становилась известна вся информация о зараженном компьютере, даже данные о деталях сетевого интерфейса, дискового накопителя и даже данные BIOS. Этот троян Gauss способен получать информацию о клиентах нескольких ливанский банков. Жертвами программы стали банки BlomBank, Credit Libanais, Bank of Beirut и многие другие. Также, целью разработчиков вредоносной программы стали пользователи системы Citibank и клиенты электронной платежной системы PayPal.

Gauss способен заражать USB-накопитель, пользуясь при этом теми же способами, что использовали и вредоносные программы Stuxnet и Flamе. Но здесь уже есть значительное различие в некоторой интеллектуальной составляющей при процессе инициирования флеш карты. Например, при использовании съемного накопителя для хранения украденной информации в каком-то скрытом файле, при некоторых условиях Gauss способен удалять как себя, так и все полученные сведения. Также был обнаружен особый шрифт Palida Narrow, установленный в шпионской программе. Это также отличает ее из ряда аналогичных программ, хотя назначение этого шрифта еще не ясно.

Несмотря на такое большое количество схожих черт в структуре, география поражения Gauss и Flame значительно отличается друг от друга. Большинство компьютеров, подвергшихся атаке Flame, расположены в Иране, тогда как преобладающее количество пострадавших от Gauss проживает в Ливане. Также не одинаково и количеств пострадавших от действия этих программ.

Как сообщила система мониторинга Kaspersky Security Network, шпионской программой Gauss было заражено около 2,5 тысяч компьютеров. Атаке Flame было подвержено всего порядка 700 компьютеров.

Несмотря на то, что точный путь заражения еще не выявлен, специалисты уверены в том, что атака Gauss протекает по отличному от Flame или Duqu снецарию. Но в тоже время, у более ранних шпионских программ система распространения полностью контролируема, в связи с чем можно понять желание разработчиков как можно дольше оставаться необнаруженными.