Špehovať sa dá aj napriek odstrihnutiu sa od internetu!

Výskumníkom spoločnosti ESET sa znova darilo, pretože odhalili sériu útokov, ktoré sa odohrali v Európe od mája 2022 do marca 2024. Hekerská skupina GoldenJackal sa zacielila na systémy izolované od internetu.

Kampaň s názvom APT sa zameriavala na vládne a diplomatické subjekty. Analýzou súborou ESET odhalil skoršie útoky z rokov 2019 a 2021 na veľvyslanectvo juhoázijskej krajiny v Bielorusku.

Cieľom skupiny GoldenJackal je krádež dôverných a vysoko citlivých informácií, najmä z kritických zariadení, ktoré nemusia byť pripojené na internet. Taktiež sa zamerali aj na špionáž.

„V máji 2022 sme objavili súbor nástrojov, ktorý sme nevedeli priradiť k žiadnej APT skupine. Keď však útočníci použili nástroj podobný jednému z tých, ktoré už boli verejne zdokumentované, dokázali sme pátrať hlbšie a nájsť spojenie medzi verejne zdokumentovanou sadou nástrojov GoldenJackal a touto novou sadou. Vychádzajúc z toho sa nám podarilo identifikovať skorší útok, pri ktorom bola nasadená verejne zdokumentovaná sada nástrojov, ako aj staršiu sadu nástrojov, ktorá má tiež schopnosti cieliť na izolované systémy.“ výskumník spoločnosti ESET Matías Porolli

Škodlivá kampaň hekerov zahŕňala tri hlavné komponenty, a to GoldenDealer na doručovanie spustiteľných súborov do izolovaného systému prostredníctvom monitorovania USB, GoldenHowl, modulárny backdoor s rôznymi funkciami a GoldenRobo, zberač súborov a exfiltrátor.

Skupina GoldenJackal sa zameriava na vládne subjekty v Európe, na Blízkom východe a v južnej Ázii. Za 5 rokov sa jej dokonca podarilo nasadiť až dva samostatné sady nástrojov určených na kompromitáciu izolovaných systémov.

V praxi to funguje veľmi jednoducho. Obeť vloží kompromitovaný USB disk do izolovaného systému a keď klikne na súbor nachádzajúci sa na USB disku, tak sa nainštaluje GoldenDealer, ktorý začne zhromažďovať informácie o izolovanom systéme a ukladať ich na USB disk. Keď sa USB disk vloží do počítača s prístupom na internet, GoldenDealer odošle informácie na riadiaci C&C server.