Російські хакери з угруповання Turla взламали поштові сервери державних установ Казахстану та Румунії, щоб стежити за ними. Їх особливо цікавили листи, пов’язані з представниками НАТО та ЄС. Для шпигунства вони використовували нову програму Cereal, яка могла непомітно перехоплювати листи з документами Word і PDF.
Російські хакери з угруповання Turla взламали поштові сервери державних установ Казахстану та Румунії, щоб стежити за ними. Їх особливо цікавили листи, пов’язані з представниками НАТО та ЄС. Для шпигунства вони використовували нову програму Cereal, яка могла непомітно перехоплювати листи з документами Word і PDF.
Про це повідомляє Bleeping Computer.
Cereal працювала всередині Microsoft Exchange — системи, яку компанії та державні установи використовують для робочої пошти. Один із компонентів програми, CerealBox, перевіряв листи ще до того, як вони потрапляли до адресатів. Тож хакери могли вказати, які саме повідомлення їх цікавлять. Наприклад, від конкретних відправників, на певні адреси, із потрібними словами в темі чи назвами вкладених файлів.
Якщо повідомлення відповідало заданим умовам, CerealBox створювала його копію, шифрувала та зберігала на сервері, звідки хакери могли її забрати. Cereal також дозволяла хакерам шукати інформацію про працівників і комп’ютери установи, зберігати паролі, а також переглядати та видаляти файли.
Дослідники вважають, що програму створили для тривалого й прихованого шпигунства. Програма виконувала більшість команд в оперативній пам’яті, залишаючи відносно небагато слідів на комп’ютері.
За атаками стоїть Turla, також відома як Snake, — російська хакерська група, яку пов’язують із ФСБ. Вона діє щонайменше з 2004-го року та переважно атакує державні установи, дипломатичні представництва й оборонні організації.
Дослідники ESET опублікували перелік ознак зараження, за якими фахівці з кібербезпеки можуть перевірити сервери на наявність Cereal. Щоб зменшити ризик подібних атак, Microsoft радить своєчасно оновлювати Exchange, обмежувати доступ до серверів і використовувати засоби виявлення підозрілої активності
Раніше dev.ua писав, що російські хакери використовували тисячі сайтів, переважно українських, для атак на смартфони. Через зламаний сервіс вебаналітики Plerdy вони поширювали шкідливий код, який міг викрадати паролі, листування та інші дані
