Atidžiau pažvelkite į Turla Advanced Persistent Threat Actor

Kibernetinio saugumo srityje nuolatinis ir besikeičiantis grėsmės kraštovaizdis nuolat meta iššūkius gynėjams visame pasaulyje. Tarp daugybės priešų viena grupė susilaukė didelio dėmesio dėl savo rafinuotumo, atkaklumo ir nepagaunamo pobūdžio: Turla, dar žinoma kaip Waterbug, Venomous Bear arba Uroboros.

Ištakos ir evoliucija

Turla šaknys siekia 2000-ųjų pradžią, kur ji atsirado kaip kibernetinio šnipinėjimo grupuotė, pirmiausia nukreipta į vyriausybes, karines institucijas, ambasadas ir mokslinių tyrimų organizacijas. Iš pradžių Turla daugiausia dėmesio skyrė slaptos informacijos išfiltravimui siekdama strateginio pranašumo. Tačiau laikui bėgant jos taktika, metodai ir procedūros (TTP) išsivystė, parodydamos puikų prisitaikymą ir atsparumą gynybinėms priemonėms.

Ankstyvosios operacijos ir taktika

Besigimstančioje stadijoje „Turla“ rėmėsi pagrindiniais kenkėjiškų programų įrankiais ir socialinės inžinerijos taktika, kad įsiskverbtų į tikslinius tinklus. Įprasti vektoriai buvo sukčiavimo el. laiškai su kenkėjiškais priedais ar nuorodomis, programinės įrangos pažeidžiamumų išnaudojimas ir atakų panaudojimas siekiant pakenkti teisėtoms svetainėms, kurias lanko tikslinė demografinė grupė.

Ankstyvąjį grupės kenkėjiškų programų arsenalą sudarė nuotolinės prieigos Trojos arklys (RAT), pvz., „Agent.BTZ“ ir „Turla“, leidžiantis nuotoliniu būdu valdyti pažeistas sistemas. Šie įrankiai palengvino duomenų išfiltravimą, klavišų paspaudimų registravimą ir stebėjimo veiklą, padėdami pagrindus sudėtingesnėms operacijoms ateinančiais metais.

Brendimas ir pažangios galimybės

Tobulėjant kibernetinio saugumo apsaugai, Turla prisitaikė, įtraukdama pažangias vengimo technologijas ir naudodama nulinės dienos išnaudojimus, kad išlaikytų prieigą prie tikslinių tinklų. Pažymėtina, kad grupė sukūrė pasirinktinius įrankius, pritaikytus konkretiems tikslams, demonstruojančius aukštą operatyvinio sudėtingumo lygį ir patirtį kuriant kenkėjiškas programas.

Vienas iš „Turla“ būdingų metodų yra piktnaudžiavimas teisėta valdymo ir valdymo (C2) komunikacijos infrastruktūra. Užgrobdama patikimus domenus, naudodama pažeistus serverius arba išnaudodama debesies paslaugas, grupė užmaskuoja savo kenkėjišką veiklą, todėl priskyrimas ir aptikimas tampa iššūkiu gynėjams.

Kenkėjiškų programų arsenalas: žvilgsnis iš arčiau

Pagrindinis „Turla“ veiklos bruožas yra įvairus ir nuolat tobulinamas kenkėjiškų programų rinkinys. Bėgant metams grupė įdiegė daugybę sudėtingos kenkėjiškos programinės įrangos, kurių kiekviena sukurta siekiant konkrečių tikslų, išvengiant antivirusinių sprendimų ir tinklo apsaugos priemonių aptikimo.

Turla Advanced Persistent Threat (APT) grupės įdiegtame platiame kenkėjiškų programų repertuare keli žymūs variantai paliko reikšmingą pėdsaką kibernetinio saugumo srityje. Tarp jų „Kazuar“, „ComRAT“ ir „TinyTurla“ išsiskiria kaip didžiuliai įrankiai, kuriuos „Turla“ naudojo savo šnipinėjimo kampanijose.

Kazuar: Šnipinėjimo chameleonas

Kazuaras, taikliai pavadintas Kaspijos jūros eršketo vardu, įkūnija Turlos prisitaikymą ir slaptumą. Šis modulinis nuotolinės prieigos įrankis (RAT), pirmą kartą nustatytas 2017 m., yra universalus įrankis, leidžiantis įsiskverbti į tikslinius tinklus ir juos stebėti. „Kazuar“ stiprybė slypi jo moduliniame konstrukcijoje, leidžiančioje „Turla“ operatoriams pritaikyti jo funkcijas, kad jos atitiktų konkrečius misijos tikslus.

Pagrindinės Kazuar savybės:

Slaptas veikimas: „Kazuar“ naudoja pažangias vengimo technologijas, kad išvengtų aptikimo naudojant saugos sprendimus, leidžiančius paslėpti diegimą tikslinėse aplinkose.
Tvirtas ryšys: palengvindamas sklandžią sąveiką tarp pažeistų galinių taškų ir nuotolinių operatorių, „Kazuar“ naudoja saugius ryšio kanalus, tokius kaip HTTP ir HTTPS.
Lanksčios galimybės: nuo klavišų paspaudimų rinkimo ir ekrano kopijų fiksavimo iki sistemos metaduomenų rinkimo, „Kazuar“ siūlo daugybę šnipinėjimo funkcijų, pritaikytų „Turla“ veiklos poreikiams.
Dėl savo gebėjimo prisitaikyti prie besivystančių gynybinių priemonių ir plataus funkcijų rinkinio Kazuar išlieka galingu Turlos arsenalo įrankiu, keliančiu didžiulį iššūkį gynėjams, siekiantiems aptikti ir sušvelninti jo poveikį.

ComRAT: nuolatinė šnipinėjimo platforma

ComRAT, taip pat žinomas kaip Agent.BTZ ir Turla „antros pakopos“ kenkėjiška programa, yra „Turla“ kibernetinio šnipinėjimo operacijų kertinis akmuo. 2007 m. atsiradusi ComRAT buvo kelis kartus kartojama ir tapo sudėtinga šnipinėjimo platforma, galinčia vykdyti nuodugnią priežiūrą ir išlaikyti nuolatinę prieigą prie pažeistų tinklų.

Pagrindiniai ComRAT atributai yra šie:

Išplėstinis duomenų rinkimas: ComRAT puikiai išrenka daugybę slaptos informacijos iš pažeistų sistemų, įskaitant dokumentus, el. laiškus ir kredencialus.
Slaptas ryšys: naudojant tokius metodus kaip DNS tuneliavimas ir steganografija, ComRAT palengvina diskretišką duomenų išfiltravimą ir išvengia aptikimo tinklo stebėjimo mechanizmais.
Modulinė architektūra: Panašiai kaip „Kazuar“, „ComRAT“ pasižymi moduliniu dizainu, leidžiančiu „Turla“ operatoriams pritaikyti jo funkcionalumą pagal konkrečius veiklos reikalavimus.
„ComRAT“, kaip visavertė šnipinėjimo platforma, pabrėžia „Turla“ įsipareigojimą technologinėms naujovėms ir veiklos meistriškumui siekiant savo tikslų.

TinyTurla: lengvas šnipinėjimo agentas

„TinyTurla“, lengvas šnipinėjimo agentas, pirmą kartą pastebėtas 2019 m., reiškia nukrypimą nuo tradicinės „Turla“ kenkėjiškų programų taktikos. Skirtingai nuo savo pirmtakų, kurie dažnai rėmėsi sudėtingomis ir sudėtingomis galimybėmis, TinyTurla taiko minimalistinį požiūrį, daugiausia dėmesio skiriant slaptumui ir judrumui.

Pagrindinės TinyTurla savybės:

Kompaktiškas dizainas: „TinyTurla“ nedidelis plotas ir minimalistinis kodas apsunkina aptikimą ir analizę, todėl jį galima slaptai naudoti tikslinėse aplinkose.
Tikslinė priežiūra: Nepaisant savo paprastumo, „TinyTurla“ puikiai atlieka tikslinę priežiūrą, renka neskelbtiną informaciją ir palengvina nuotolinę prieigą prie pažeistų sistemų.
Mažas išteklių suvartojimas: Sukurta efektyviai veikti ribotų išteklių sistemose, „TinyTurla“ sumažina savo poveikį pažeistiems galutiniams taškams ir sumažina aptikimo tikimybę.
Nors ir mažiau funkcijų, palyginti su Kazuar ir ComRAT, dėl lengvo „TinyTurla“ dizaino ir judrumo jis yra vertingas „Turla“ šnipinėjimo kampanijų turtas, dar labiau pabrėžiantis grupės prisitaikymą ir naujoves besikeičiančios kibernetinio saugumo gynybos akivaizdoje.

„TinyTurla-NG“ arba „Next Generation“ buvo naudojama atakų kampanijoje, nukreiptoje į Lenkijos nevyriausybines organizacijas 2023 m. pabaigoje. Remiantis „Cisco Talos“ ataskaita, „TinyTurla-NG“ veikia kaip „paskutinės galimybės“ užpakalinės durys, skirtos naudoti, kai sugenda kiti neteisėtos prieigos įrankiai. arba buvo aptiktos pažeistose sistemose.

Pelmeni Wrapper yra dar vienas Turla kenkėjiškų priemonių arsenalo įrankis, demonstruojantis šias galimybes:

• Operatyvinis registravimas: sukuria paslėptą žurnalo failą su atsitiktiniais pavadinimais ir plėtiniais, kad būtų galima diskretiškai stebėti kampanijos veiklą.
• Naudingojo krovinio pristatymas: Naudojamas pagal užsakymą sukurtas iššifravimo metodas, naudojant pseudoatsitiktinių skaičių generatorių, kad būtų galima įkelti ir vykdyti funkcijas.
• Vykdymo srauto peradresavimas: manipuliuoja proceso gijomis ir įveda kodo įterpimą, kad nukreiptų vykdymą į iššifruotą .NET rinkinį, kuriame yra pagrindiniai kenkėjiškų programų komponentai.

Žvelgiant į ateitį, norint kovoti su Turla grėsme, reikalingas daugialypis požiūris, apimantis dalijimąsi informacija apie grėsmes, aktyvias tinklo gynybos strategijas ir viešojo bei privataus sektoriaus subjektų bendradarbiavimą. Suprasdamos grupės taktiką, panaudodamos pažangiausias saugumo technologijas ir puoselėdamos kibernetinio saugumo supratimo kultūrą, organizacijos gali geriau apsiginti nuo nuolat besikeičiančios grėsmės, kurią kelia Turla ir panašūs pažangūs nuolatinių grėsmių veikėjai.