Usb-malware gebruikt voor aanval op air-gapped systemen industriële organisaties

[Captain Kirk]

Bij aanvallen op verschillende industriële organisaties in Oost-Europa die vorig jaar plaatsvonden is gebruikgemaakt van usb-malware om data van air-gapped systemen te stelen, zo stelt antivirusbedrijf Kaspersky. De aanvallers weten eerst systemen te infecteren die wel met internet zijn verbonden. De initiële malware geeft de aanvallers toegang tot de besmette systemen en verzamelt allerlei informatie.

Het is een bekende beveiligingsmaatregel om systemen met vertrouwelijke data niet op internet aan te sluiten. Dit wordt ook wel een air-gap genoemd. Een offline computer kan echter nog steeds worden geïnfecteerd, bijvoorbeeld via usb-sticks of een kwaadwillende werknemer. Bij de aanvallen waarover Kaspersky schrijft worden op de besmette computer aangesloten usb-sticks ook geïnfecteerd. Wanneer deze usb-sticks op niet-besmette machines worden aangesloten kunnen ook die geïnfecteerd worden.

Om ervoor te zorgen dat de malware de niet-besmette computer besmet worden bestanden of mappen in de root directory van de usb-stick vervangen door een gelijknamig lnk-bestand, terwijl het originele bestand onzichtbaar wordt gemaakt of in de recycle bin geplaatst. Wanneer de besmette usb-stick op een niet-besmette computer wordt aangesloten en de gebruiker het lnk-bestand opent raaktook die machine besmet.

Vervolgens wordt er allerlei data van de net besmette computer verzameld en naar de usb-stick gekopieerd. Wanneer de besmette usb-stick op de eerste besmette computer wordt aangesloten, die wel met internet verbonden is, wordt alle gestolen data naar de aanvallers gestuurd.

"Het stelen van data van air-gapped netwerken is een veelgebruikte routine voor veel advanced persistent threats en cyberspionagecampagnes. Ondanks de grote verscheidenheid aan exfiltratiemethodes kiezen aanvallers voor technieken, tactieken en procedures gebaseerd op het besmetten van usb-sticks", stelt onderzoeker Kirill Kruglov. Volgens Kaspersky zijn de aanvallen het werk van een groep genaamd APT31, die ook bekendstaat als Judgment Panda en Zirconium, en vanuit China zou opereren.

 

bron: https://www.security.nl