Epic

Turla APT黑客小组（又称”Snake”和”Uroboros”）被誉为全球最高级的网络威胁者。在8年多的时间里，这一网络间谍小组在互联网上兴风作浪、为所欲为，但直到我们去年出版《Epic Turla research》之后，其黑客活动才为普通大众所知晓。 我们在研究中尤其发现了一些语言痕迹的案例，表明Turla小组的一部分成员来自俄罗斯。这些人采用常用于补充斯拉夫字符的1251代码页，里面像’Zagruzchik’这个词在俄语中表示”引导装在程序”的意思。 Turla黑客小组之所以特别危险且难以抓到的原因不仅仅是因为使用了复杂的黑客工具，而是在最后攻击阶段实施了精密的基于卫星的命令与控制（C&C）机制。 命令与控制服务器是高级网络攻击的基础。同时，这也是恶意基础设施中最薄弱的一环，因此往往会成为数字调查者和执法机构的首要打击目标。 主要有两个原因。首先，这些服务器被用来控制所有的操作。一旦成功将其关闭，就能扰乱甚至完全破坏网络间谍活动。其次，C&C服务器可以用来追踪网络攻击者的实际所在位置。 这也是为什么这些网络威胁者总是不遗余力将自己C&C服务器隐藏得尽可能深。Turla黑客小组也找到了颇为有效的隐藏方法：在空中取消服务器IP。 使用最广泛且最廉价的基于卫星的网络连接类型之一就是只使用下行连接。在这里，来自用户电脑的数据通过常规线路—宽带线或蜂窝网络传送—而所有输入流量则来自卫星。 然而，这一技术也有缺陷性：所有从卫星发送到电脑的下行流量均未加密。简而言之，任何人都可以拦截这些流量。Turla小组利用这一漏洞想出了一个有趣方法：隐藏他们自己的C&C流量。 具体操作步骤如下： 他们监听来自卫星的下行流量以发现活跃的IP地址，而这些地址必须属于此刻在线的基于卫星的网络用户。 随后他们选择一定数量当前活跃的IP地址，在合法用户不知道的情况下隐藏C&C服务器。 被Turla用病毒感染的机器将会按照指令向被挑选的IP地址发送所有数据。数据通过常规线路发送至卫星，并最终从卫星传送到IP被挑选到的用户。 这些数据会被合法用户的电脑当做垃圾清除，而这些网络威胁者则从下行卫星连接获取这些数据。 由于卫星下行覆盖区域极大，因此根本无法准确追踪到这些网络威胁者接收器的实际位置。此外，Turla黑客小组还倾向于对位于中东和非洲国家（例如：刚果、黎巴嫩、利比亚、尼日尔、尼日利亚、索马里或阿联酋）的卫星网络提供商实施漏洞利用，因此要想抓到他们更是难上加难。 由于这些国家运营商所用的卫星通讯信号束无法覆盖欧洲和北美地区，这对大多数安全研究专家研究此类攻击造成极大的困难。 Turla黑客小组实施的一系列网络攻击至今已感染了超过45个国家（包括：哈萨克斯坦、俄罗斯、中国、越南和美国）的数百台计算机。Turla黑客小组无论是对政府机构和大使馆还是军事、教育和研究机构以及制药公司均十分感兴趣。 坏消息就说到这里。对我们用户而言，好消息是卡巴斯基实验室产品成功检测并阻止了Turla网络威胁者所使用的恶意软件。