Jean-Ian Boutin

Vedoucí výzkumného týmu společnosti ESET

V situaci, kdy jsou zdrojové kódy nástrojů použitých během této kampaně volně dostupné na webu, je těžké ji přisoudit někomu konkrétnímu. Nicméně v tomto případě jsme na základě našich poznatků usoudili, že za útoky na vládní instituce stojí s největší pravděpodobností stejní lidé, kteří stáli i za prvními útoky skupiny Buhtap na firmy a banky.

Zatím není zřejmé, zda se své zaměření rozhodl změnit jeden či vícero členů skupiny, stejně jako není znám důvod této změny. Jde ale o věc, kterou se budeme nadále zabývat.

Miroslav Dvořák

Technický ředitel společnosti ESET

Podstatou tohoto incidentu je skutečnost, že spuštěním běžné aplikace na starším systému Windows bez patřičné záplaty win32k.sys je útočník schopen získat nejvyšší systémová oprávnění a ovládnout tak kompletně napadené zařízení.

Miroslav Dvořák

Technický ředitel společnosti ESET

Výzkumný tým ESETu odhalil a analyzoval tzv. zero day exploit zneužívaný pro vysoce cílené útoky, které byly zaměřené především na země východní Evropy, přičemž Česká republika podle dostupných informací cílem nebyla.

Podstatou incidentu je skutečnost, že spuštěním běžné aplikace na starším systému Windows bez patřičné záplaty win32k.sys je útočník schopen získat nejvyšší systémová oprávnění a ovládnout tak kompletně napadené zařízení.

Anton Cherepanov

Senior Malware Researcher společnosti ESET

V roce 2017 jsme analyzovali útok skupiny Sednit, který také využíval položky v menu a exploitační techniky, které jsou velmi podobné tomuto útoku.

Uživatelé, kteří stále využívají Windows 7 Service Pack 1 by měli svůj systém aktualizovat na novější verzi, mimo jiné i proto, že podpora ze strany Microsoft skončí 14. ledna 2020. To znamená, že Microsoft nebude pro systém Windows 7 vydávat zásadní bezpečnostní opravy.

Miroslav Dvořák

Technický ředitel společnosti ESET

Tato zranitelnost využívá slabinu jednoho z programů v balíku Mirosoft Office, jmenovitě Microsoft Equation Editor. Jde o nástroj pro práci s matematickými rovnicemi. Zmíněný exploit umožní spuštění libovolného programového kódu, poté co uživatel otevře škodlivý dokument.

Podle očekávání posilují také detekce podvodných javascriptových reklamních kampaní. Tyto detekce v květnu poklesly prakticky na polovinu a nyní se opět vracejí. Tento malware je nepříjemný, protože krom přesměrování na reklamní weby maže seznam navštívených stránek. To znemožňuje uživateli návrat zpět na legitimní webovou stránku.