Atac cibernetic ce viza instituţii şi ambasade străine din Bucureşti. SRI: Atacul "Octombrie Roşu" nu viza culegerea de informaţii clasificate din România, ci confidenţiale

"Recentul atac cibernetic «Octombrie Roşu» mediatizat de către firma Kaspersky a făcut obiectul investigaţiilor SRI începând cu anul 2011. SRI a identificat activităţile acestor entităţi cibernetice ostile ce urmăreau obţinerea accesului la reţele informatice de interes naţional şi culegerea de informaţii confidenţiale. Atenţie, nu este vorba de informaţii clasificate, ci de informaţii confidenţiale", a declarat purtătorul de cuvânt al SRI, Sorin Sava.

El a adăugat că atacul cibernetic "a determinat reacţia Serviciului de informare a autorităţilor vizate şi întreprinderea măsurilor de contracarare a atacului, precum şi restabilirea funcţionării normale a acestora".

Potrivit purtătorului de cuvânt al SRI, reţelele vizate de atacurile "Octombrie Roşu" aparţin "unor instituţii guvernamentale, dar şi din domeniul privat".

"SRI întreprinde măsuri pentru stabilirea identităţii agresorului cibernetic întrucât activităţile acestuia aduc atingere securităţii naţionale", a menţionat oficialul SRI.

Potrivit lui Sava, atacurile investigate în ultimii ani de SRI permit estimarea că ameninţarea cibernetică este una dintre cele mai mari şi dinamice la adresa securităţii naţionale şi partenerilor externi, iar aceasta trebuie tratată ca o "prioritate a statului român".

"Securitatea cibernetică reprezintă o dimensiune a securităţii naţionale, iar această zonă revine SRI şi noi avem o colaborare în acest sens cu celelalte instituţii ale statului, dar şi cu mediul privat, fiind vorba de firme, universităţi", a mai spus Sava.

Compania Kaspersky Lab, specializată în produse pentru securitatea informatică, a detectat o campanie de spionaj cibernetic care vizează de cinci ani ţări din Europa de Est şi foste state sovietice, printr-un program creat de experţi rusofoni.

Citeşte şi: Compania Kaspersky Lab a depistat o campanie de spionaj cibernetic ce vizează state est-europene

Campania, care are numele de cod "Octombrie ruşu", vizează "reprezentanţe diplomatice, administraţii şi institute de cercetare ştiinţifică", explică grupul Kaspersky Lab.

Patru IP-uri ale unor instituţii şi ambasade străine din Bucureşti au fost vizate, potrivit Televiziunii Române.

"Sunt patru IP-uri în România. Investigaţia este încă în desfăşurare. În momentul în care am identificat aceste patru victime, am luat toate măsurile necesare pentru reducerea efectelor atacurilor", a declarat, pentru TVR, Dan Tofan, director tehnic la Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică.

Este vorba despre agenţii guvernamenatle şi ambasade acreditate din Bucuresţi. În afara anchetei Centrului Naţional de Răspuns la Incidente de Securitate Cibernetică, instituţiile vizate derulează propriile investigaţii.

"Aceste atacuri devin din ce în ce mai ascunse şi trec ani până când victimele află că informaţiile lor au fost furate", a explicat, pentru TVR, expertul Costin Raiu, de la Kaspersky Lab.

Cele mai multe atacuri au fost depistate în Rusia, Kazahstan, Azerbaidjan, Belgia, India şi Afganistan.

Kaspersky Lab a anunţat pe site, că a identificat operaţiunea "Octombrie Roşu", o campanie avansată de spionaj cibernetic care ţinteşte instituţii guvernamentale şi diplomatice din întreaga lume

Raportul de cercetare care identifică "o foarte discretă campanie de spionaj vizând ţinte din domeniile diplomatic, guvernamental şi ştiinţific din mai multe ţări", a fost dat publicităţii luni de către Kaspersky Lab.

"Activă de aproximativ 5 ani, campania pare să se fi derulat cu precădere în ţări din Europa de Est, statele din zona fostei URSS, precum şi state din Asia Centrală. Cu toate acestea, victime ale campaniei au fost identificate şi în alte zone, precum Europa de Vest şi America de Nord. Principalul obiectiv al atacatorilor a fost acela de a colecta date şi documente secrete de la organizaţiile afectate, inclusiv informaţii de importanţă geopolitică, date de acces în reţelele securizate sau clasificate şi date din dispozitive mobile şi echipamente de reţea", a precizat sursa citată.

O echipă de experţi a Kaspersky Lab a lansat o investigaţie în octombrie 2012, ca urmare a unei serii de atacuri împotriva unor servicii diplomatice la nivel internaţional. Pe parcursul investigaţei a fost descoperită şi analizată o amplă reţea de spionaj cibernetic.

Conform raportului de analiză al Kaspersky Lab, "Operaţiunea Octombrie Roşu, pe scurt «Rocra», a avut o activitate susţinută încă din anul 2007 şi este în continuare activă în ianuarie 2013".

Din investigaţiile privind reţeaua avansată de spionaj cibernetic "Octombrie Roşu" a rezultat că atacatorii au fost activi cel puţin din 2007 până în prezent şi s-au concentrat pe agenţii diplomatice şi guvernamentale din diferite ţări, precum şi pe institute de cercetare, companii energetice, inclusiv din domeniul energiei nucleare ţi companii comerciale şi din domeniul aerospaţial.

"Atacatorii din reţeaua Octombrie Roşu şi-au dezvoltat propria platformă de malware, identificată sub numele de «Rocra», cu o arhitectură modulară proprie, constând în special în extensii maliţioase, module de furt de informaţii şi troieni", a precizat Kaspersky Lab.

Potrivit sursei citate, informaţia furată din reţelele infectate a fost deseori folosită pentru a obţine acces la sisteme adiţionale. De exemplu, parolele de acces şi numele de utilizatori furate au fost compilate într-o listă specială şi utilizate de câte ori atacatorii aveau nevoie să ghicească parole de acces în alte locaţii.

Pentru a controla reţeaua de calculatoare infectate, atacatorii au creat peste 60 de domenii în diferite ţări, în principal în Germania şi Rusia. Analiza Kaspersky Lab asupra infrastructurii de comandă şi control (C2) a Rocra a arătat că diversele servere erau utilizate ca proxy-uri pentru a ascunde localizarea serverului de control principal.

"Informaţia furată din sistemele infectate include documente cu extensiile txt, csv, eml, doc, vsd, sxw, odt, docx, rtf, pdf, mdb, xls, wab, rst, xps, iau, cif, key, crt, cer, hse, pgp, gpg, xia, xiu, xis, xio, xig, acidcsa, acidsca, aciddsk, acidpvr, acidppr, acidssa. Extensiile «acid*», în particular, par a se referi la software-ul clasificat «Acid Cryptofiler», folosit de mai multe entităţi din Uniunea Europeană şi NATO", a adăugat Kaspersky Lab.

Potrivit statisticilor KSN, câteva sute de sisteme infectate unice au fost detectate din datele primite de KSN, cu precădere din ambasade, organizaţii şi reţele guvernamentale, consulate şi institute de cercetare. Conform datelor KSN, majoritatea infecţiilor au fost identificate în primul rând în Europa de Est, dar au fost identificate şi în America de Nord şi în ţări din Europa de Vest, cum sunt Elveţia şi Luxemburg.

Analiza sinkhole realizată de Kaspersky Lab a avut loc între 2 noiembrie 2012 şi 10 ianuarie 2013. În această perioadă s-au înregistrat peste 55.000 de conexiuni de la 250 de adrese IP infectate din 39 de ţări. Majoritatea adreselor IP infectate au fost identificate în Elveţia, urmată de Kazahstan şi Grecia, a mai precizat sursa citată.

Kaspersky Lab a mai arătat că atacatorii au creat o platformă de atac multifuncţională, care include mai multe extensii şi fişiere maliţioase dezvoltate pentru a se adapta rapid la configuraţii diferite şi pentru a colecta informaţii din echipamentele infectate.

"Platforma Rocra este unică şi nu a fost identificată de către Kaspersky Lab în niciuna dintre campaniile de spionaj cibernetic precedente", a precizat sursa citată.

Principalul scop al acestor module este furtul de informaţie criptată. Fişierele furate sunt cele care provin de la diverse sisteme de criptare, cum ar fi Acid Cryptofiler, cunoscut ca fiind utilizat de organizaţii din NATO, Uniunea Europeană, Parlamentul European şi Comisia Europeană cu începere din vara lui 2011, pentru protecţia informaţiilor secrete.

Pe lângă atacarea computerelor tradiţionale, malware-ul este capabil să fure informaţii din dispozitive mobile, cum ar fi smartphone-urile (iPhone, Nokia şi Windows Mobile). Malware-ul este, de asemenea, capabil să fure informaţii de configurare de la echipamentele din reţea, cum ar fi routere şi switch-uri şi poate recupera fişiere şterse de pe dispozitivele USB.

US-CERT, CERT România şi CERT Belarus au ajutat Kaspersky Lab în investigaţie.

Fondat în 1997, Kaspersky Lab este un grup internaţional care are activităţi în peste 100 de ţări şi 2.300 de angajaţi.