Kaspersky Lab identifica infraestrutura de Crouching Yeti

O Crouching Yeti é um grupo de APT russo que a Kaspersky Lab tem acompanhado desde 2010, conhecido pelos ataques a setores industriais em todo o mundo, principalmente instalações energéticas, com o objetivo de roubar informações valiosas dos sistemas das vítimas. Uma das técnicas mais utilizadas pelo grupo consiste na utilização de watering holes: os hackers inserem links nos websites que redirecionam os visitantes para servidores maliciosos.

Recentemente, a Kaspersky Lab descobriu vários servidores, comprometidos pelo grupo, pertencentes a diferentes organizações sediadas na Rússia, Turquia, Estados Unidos e vários países europeus, não limitados a empresas industriais. De acordo com os investigadores, estas foram atacadas em 2016 e 2017 com diferentes objetivos – além de watering holes, também foram utilizadas como intermediárias na realização de ataques a outros recursos.

Durante o processo de análise das infraestruturas infetadas, os investigadores identificaram múltiplos sites e servidores, utilizados por empresas russas, norte-americanas, europeias, asiáticas e latino-americanas, que os hackers tinham analisado, possivelmente para encontrar um servidor que alojasse as suas ferramentas e através do qual conseguissem desenvolver um ataque. Alguns dos sites e servidores analisados podem fazer parte de um conjunto de locais que poderão ter despertado o interesse dos hackers enquanto candidatos a watering holes. Os investigadores da Kaspersky Lab descobriram também que os hackers analisaram inúmeros sites de diferentes tipos, incluindo lojas e serviços online, organizações públicas, ONG, empresas de produção, etc.

Além disso, os investigadores chegaram à conclusão que o grupo utilizou ferramentas disponíveis gratuitamente, desenvolvidas para analisar servidores e recolher informações. Foi também detetado um ficheiro modificado SSHD com uma backdoor pré-instalada. Este foi utilizado para substituir o ficheiro original e poderia obter autorizações através de uma “palavra-passe mestre”.

“O Crouching Yeti é um grupo russo bastante conhecido que tem estado ativo há vários anos e cujos ataques a organizações industriais continuam a ser bem-sucedidos graças a técnicas como os watering holes, entre outras. As nossas descobertas revelam que o grupo comprometeu servidores não só para estabelecer estes pontos mas também para levar a cabo mais análises, e que os hackers utilizam ferramentas open-source que tornam muito mais difícil a sua identificação,” afirma Vladimir Dashchenko, Diretor do Grupo de Investigação de Vulnerabilidades na Kaspersky Lab ICS CERT.