Georgia out hacker con sede in Russia - con foto

In una mossa senza precedenti, il paese della Georgia - irritato dai persistenti attacchi di spionaggio informatico - ha pubblicato due foto di un presunto hacker russo che, il I georgiani dichiarano di intraprendere una persistente campagna durata un mese che ha rubato informazioni riservate ai ministeri, al parlamento, alle banche e alle organizzazioni non governative del governo georgiano.

Cert.gov.geOne di due immagini di un presunto hacker russo. La foto è stata pubblicata dal governo della Georgia.

In una delle foto, un utente barbuto con i capelli scuri scruta sullo schermo del suo computer, forse perplesso di ciò che sta accadendo. Pochi minuti dopo, interrompe la connessione del suo computer, rendendosi conto di essere stato scoperto.

Le foto sono contenute in un rapporto che sostiene le intrusioni originate dalla Russia, che lanciò una campagna militare di cinque giorni nell'agosto del 2008 contro la Georgia preceduta da un'ondata di attacchi informatici.

[Ulteriori informazioni: Come rimuovere malware dal PC Windows]

Le foto in questione sono state scattate dopo che gli investigatori con il Computer Emergency Response Team del governo georgiano (Cert.gov.ge) sono riusciti ad esca l'utente del computer nel scaricare ciò che pensava fosse un file contenente informazioni sensibili. Infatti, conteneva il suo programma di spionaggio segreto. La foto segnaletica è stata presa dalla sua webcam.

Sfondo

Georgia ha iniziato a indagare sul cyber spionaggio collegato a questo uomo nel marzo 2011 dopo che un file su un computer appartenente a un funzionario governativo veniva contrassegnato come "sospetto" da un antivirus russo programma chiamato Dr. Web.

L'indagine ha scoperto un'operazione sofisticata che ha piantato software malevolo su numerosi siti Web di notizie georgiani, ma solo su pagine con articoli specifici che potrebbero interessare il tipo di persone che un hacker vorrebbe colpire, ha detto Giorgi Gurgenidze, uno specialista della sicurezza informatica con Cert.gov.ge, che gestisce gli incidenti di sicurezza informatica.

Le notizie selezionate per attirare le vittime avevano titoli come "visita della delegazione della NATO in Georgia" e "Accordi e riunioni USA-Georgia", secondo al rapporto, pubblicato congiuntamente con il Ministero della Giustizia della Georgia e l'Agenzia di Scambio Dati della LEPL, che fa parte del ministero.

Dettagli della battaglia

CERT-Georgia non dirà esattamente chi quell'abete Il computer infetto è appartenuto a. Ma ciò che seguì è meglio descritto come un'epica battaglia elettronica tra i bravi ragazzi della Georgia e un hacker altamente qualificato - o probabile gruppo di hacker - basato in Russia.

L'agenzia scoprì rapidamente che 300 a 400 computer situati in importanti agenzie governative erano infetti e la trasmissione di documenti sensibili a drop server controllati dalla persona in questione. I computer compromessi formavano una botnet soprannominata "Georbot".

Il software dannoso era programmato per cercare parole chiave specifiche - come USA, Russia, NATO e CIA - nei documenti Microsoft Word e PDF, ed è stato infine modificato per registrare audio e prendere screenshot. I documenti sono stati eliminati in pochi minuti dai drop server, dopo che l'utente ha copiato i file sul proprio PC.

Georgia ha bloccato le connessioni ai drop server che ricevono i documenti. I computer infetti sono stati quindi eliminati dal malware. Ma nonostante fosse stata scoperta la sua operazione, l'utente non si fermò. Infatti, ha intensificato il suo gioco.

Nel round successivo, ha inviato una serie di e-mail ai funzionari del governo che sembravano venire dal presidente della Georgia, con l'indirizzo "[email protected]". Queste e-mail contenevano un allegato PDF dannoso, che presumibilmente conteneva informazioni legali, con un exploit che forniva malware.

Né l'exploit né il malware sono stati rilevati dal software di sicurezza.

Funzionamento degli attacchi PDF

Gli attacchi PDF hanno utilizzato il formato file XDP, che è un file di dati XML che contiene una copia codificata Base64 di un file PDF standard. Il metodo in una sola volta eludeva tutti i software antivirus e i sistemi di rilevamento delle intrusioni. Fu solo nel giugno di quest'anno che il Computer Emergency Response Team del Regno Unito lo avvertì dopo che le sue agenzie governative furono prese di mira. La Georgia ha visto simili attacchi più di un anno prima dell'avvertimento.

Quello era uno dei principali indizi che la Georgia non aveva a che fare con un hacker medio, ma uno che potrebbe aver fatto parte di una squadra con una solida conoscenza di attacchi complessi, crittografia e intelligenza.

"Questo ragazzo aveva abilità di alta classe", ha detto Gurgenidze.

Nel corso del 2011, gli attacchi sono continuati e sono diventati più sofisticati. Gli investigatori hanno scoperto che la persona in questione era connessa con almeno altri due hacker russi e una tedesca. Era anche attivo su alcuni forum di crittografia. Quegli indizi, insieme ad alcune deboli pratiche di sicurezza, permisero agli investigatori di avvicinarsi a lui.

Poi fu posta una trappola.

I funzionari della Georgia permisero all'utente di infettare apposta uno dei loro computer. Su quel computer, hanno inserito un archivio ZIP dal titolo "Accordo Georgiano-Nato". Ha preso l'esca, cosa che ha causato l'installazione del programma di spionaggio degli investigatori.

Da lì, la sua webcam è stata accesa, il che ha prodotto foto del suo viso abbastanza chiare. Ma dopo cinque o dieci minuti, la connessione è stata interrotta, presumibilmente perché l'utente sapeva che era stato violato. Ma in quei pochi minuti, il suo computer - come quelli che aveva preso di mira nel governo georgiano - era minato di documenti.

Un documento di Microsoft Word, scritto in russo, conteneva istruzioni del gestore dell'uomo su quali obiettivi infettare e come. Altre prove circostanziali che indicano il coinvolgimento russo includono la registrazione di un sito Web che è stato utilizzato per inviare e-mail dannose. È stato registrato a un indirizzo vicino al servizio di sicurezza federale del paese, precedentemente noto come KGB, secondo il rapporto.

"Abbiamo identificato le agenzie di sicurezza russe, ancora una volta", conclude.

A causa delle relazioni tese tra Russia e Georgia, è improbabile che l'uomo nella foto - il cui nome non è stato rivelato - sarebbe mai stato processato se vivesse in Russia.