O grupo Turla APT, também conhecido como Snake e Uroboros, é um dos mais avançados agentes de ameaças do mundo. Este grupo de espionagem cibernética está ativo há mais de 8 anos, mas pouco se sabia sobre suas operações até o ano passado, quando publicamos nossa pesquisa Epic Turla.

Especificamente, esta pesquisa incluiu exemplos de artefatos de linguagem, mostrando que parte dos Turla são falantes de russo. Essas pessoas empregam a página de código 1251, que é comumente usada para renderizar caracteres cirílicos, e palavras como 'Zagruzchik', que significa “carregador de boot” em russo.

O que torna o grupo Turla especialmente perigoso e difícil de capturar não é apenas a complexidade de suas ferramentas, mas o requintado mecanismo de comando e controle (CC) baseado em satélite implementado nos estágios finais do ataque.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

Os servidores de comando e controle são a base dos ataques cibernéticos avançados. Ao mesmo tempo, é o elo mais fraco na infraestrutura maliciosa e sempre é o alvo de investigadores digitais e agências de aplicação da lei.

Existem duas boas razões para isso. Em primeiro lugar, esses servidores são usados ​​para controlar todas as operações. Se você pudesse desligá-los, poderia perturbar ou até interromper a campanha cibernética. Em segundo lugar, os servidores CC podem ser usados ​​para rastrear os invasores até seus locais físicos.

É por isso que os agentes de ameaças estão sempre tentando esconder CC o mais profundamente possível. O grupo Turla encontrou uma maneira bastante eficaz de fazer isso: eles ocultam IPs de servidores no céu.

Um dos tipos mais difundidos e baratos de conexão de Internet via satélite é a conexão somente downstream. Nesse caso, os dados de saída do PC de um usuário são transportados por linhas convencionais - com fio ou celular - enquanto todo o tráfego de entrada vem do satélite.

No entanto, essa tecnologia tem uma peculiaridade: todo o tráfego downstream vem do satélite para o PC sem criptografia. Simplificando, qualquer pessoa pode interceptar o tráfego. O grupo Turla usa essa falha de uma maneira nova e bastante interessante: para ocultar seu próprio tráfego CC.

O que exatamente eles fazem é o seguinte:

Eles ouvem o downstream do satélite para identificar endereços IP ativos de usuários de Internet baseados em satélite que estão online naquele momento.

Em seguida, eles escolhem um número de endereços IP atualmente ativos para serem usados ​​para mascarar um servidor CC sem o conhecimento do usuário legítimo.

As máquinas infectadas pelo Turla recebem instruções para enviar todos os dados para os IPs escolhidos. Os dados trafegam por linhas convencionais até o satélite e finalmente descem do satélite até os usuários com os IPs escolhidos.

Esses dados são descartados pelos PCs dos usuários legítimos como lixo, enquanto os atores da ameaça os escolhem da conexão de satélite downstream.

Como o satélite a jusante cobre uma ampla área, é impossível rastrear exatamente onde os receptores dos atores da ameaça estão localizados fisicamente. Para tornar esse jogo de gato e rato ainda mais difícil, o grupo Turla tende a explorar provedores de Internet via satélite localizados no Oriente Médio e em países africanos como Congo, Líbano, Líbia, Níger, Nigéria, Somália ou Emirados Árabes Unidos.

Os feixes de satélite usados ​​por operadoras nesses países geralmente não cobrem os territórios europeus e norte-americanos, tornando muito difícil para a maioria dos pesquisadores de segurança investigar esses ataques.

Os atacantes por trás do Turla infectaram centenas de computadores em mais de 45 países, incluindo Cazaquistão, Rússia, China, Vietnã e Estados Unidos. As organizações de interesse para o grupo Turla incluem instituições governamentais e embaixadas, bem como empresas militares, educacionais, de pesquisa e farmacêuticas.

Essa foi a má notícia. A boa notícia para os nossos usuários é que a comunidade Avance Network detectam e bloqueiam com sucesso o malware usado pelo agente da ameaça Turla.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.