Az ESET kutatói új kémplatformot fedeztek fel, amely komplex architektúrával, valamint számos észlelést és elemzést megnehezítő funkcióval rendelkezik. Az „Attor”-nak elnevezett platform két fontos tulajdonsággal bír: az egyik modulja AT protokollt használ a csatlakoztatott GSM eszközök feltérképezéséhez (fingerprinting), illetve a Tort használja a hálózati kommunikációhoz.
„Az Attort használó támadók leginkább diplomáciai képviseletekre és kormányzati intézményekre összpontosítanak. Ezek a célzott támadások, amelyek feltételezhetően 2013. óta zajlanak, jobbára orosz szolgáltatások felhasználóit célozzák meg, különösen azokat, akik magánéletük miatt kiemelten aggódnak” – mondta Zuzana Hromcová, az ESET kártevőelemzője.
Az Attor moduláris felépítésű: egy központi vezérlő egységből (dispatcher) és betölthető modulokból (pluginok) áll, amelyek a felügyeleti egységet használják az alapvető funkciók megvalósításához. Ezek a pluginek titkosított DLL-ekként érkeznek a feltört számítógépre, és csak a memóriában állnak össze később teljesen. „Ennek eredményeként a felügyeleti egységhez való hozzáférés nélkül nehéz megszerezni és visszafejteni az Attort” – tette hozzá Hromcová.
Az Attor előre meghatározott folyamatokat céloz, például az olyan orosz közösségi hálózatokkal (Webmoney, Agentkontakte, Multifon, Rambler, Qui, Infium és egyéb orosz közösségi média és üzenetküldő oldalak) és néhány titkosítási/digitális aláírási segédprogrammal kapcsolatos folyamatokat, mint a HMA VPN szolgáltatás, a végpontok közötti titkosítási e-mailszolgáltatások (Hushmail és The Bat!), valamint a TrueCrypt lemeztitkosító segédprogram.
Az Attor moduljai által telepített képességek közül kettő igazán egyedi a ritka jellemzőik miatt: ez pedig a hálózati kommunikáció és a GSM-eszközök feltérképezése.
Az anonimitás megőrzése és lenyomozhatóság megelőzése érdekében a platform a Tor (TOR, The Onion Router) protokollt használja a távoli vezérlő szerver (C&C, command-and-control) eléréséhez.
Az Attor arzenáljának legkülönlegesebb modulja információkat gyűjt mind a csatlakoztatott modem- és telefoneszközökről, mind pedig a csatlakoztatott meghajtókról és az ezeken található fájlokról. Az ESET kutatói szerint ennek elsődleges célja a soros porton keresztül a számítógéphez csatlakoztatott GSM eszközök feltérképezése. Az Attor úgynevezett „AT parancsokat” használ az eszközzel való kommunikációhoz és az azonosító kódok lekérésére (IMSI, IMEI, MSISDN és az eszközön futó szoftver verziója).
„Sokan nem tudják manapság, de az AT parancsokat, amelyeket eredetileg az 1980-as években fejlesztettek ki a modemek irányítására, továbbra is használják a legtöbb modern okostelefonban. Az eszközök ilyesfajta feltérképezése pedig további adatlopások előtt nyithatja meg az utat. Ha a támadók kiismerik a csatlakoztatott eszközt, akkor már olyan testreszabott bővítményt fejleszthetnek és telepíthetnek majd rá, amely képes lehet – az AT parancsok révén – adatokat lopni a készülékről, és távolról különféle beavatkozásokat is elvégezni, például megváltoztatni az eszköz gyári firmware-ét” – mondta Hromcová.
Az ESET a fenyegetést Win32/Attor és Win64/Attor néven azonosítja, és aki a legfrissebb ESET védelmet használja, biztonságban tudhatja eszközét.
