За Snake пришёл «Персей»

Минюст США, CISA и спецслужбы стран-участниц разведывательного альянса Five Eyes, в который входят Австралия, Канада, Новая Зеландия, Великобритания и США, сообщили, что уничтожили инфраструктуру, используемую вредоносным ПО Snake для кибершпионажа.

Разработка Snake под названием «Uroburos» началась в конце 2003 года, а к началу 2004-го первые версии вредоноса были использованы в кибератаках. Имплантат Snake считается самым сложным инструментом кибершпионажа, разработанным и используемым для долгосрочного сбора разведывательных данных. Среди компьютеров, захваченных одноранговым ботнетом Snake, ФБР обнаружило в том числе устройства, принадлежащие ООН и правительствам стран-членов НАТО.

Вредоносное ПО, которое связывают с российскими хакерами, базирующимися в Москве и Рязани, было уничтожено в результате скоординированных усилий, получивших название «Операция Medusa».

Согласно обнародованным судебным документам, в течение почти 20 лет правительство США пристально следило за Snake и связанными с ним вредоносными инструментами, а также отслеживало применяющую ПО хакерскую группировку Turla. Snake позволял операторам удалённо устанавливать вредоносное программное обеспечение на скомпрометированные устройства, красть конфиденциальные документы и информацию, оставаясь при этом незамеченным.

Используя информацию, полученную в результате наблюдений и анализа вредоносного ПО Snake, ФБР разработало инструмент Perseus, который устанавливает сеансы связи с имплантатом Snake на конкретном компьютере и выдаёт команды, которые заставляют малварь отключаться, не затрагивая хост-компьютер или иные приложения.

Ордер на обыск, полученный ФБР, позволил агентству получить доступ к заражённым устройствам, перезаписать вредоносное ПО, не затрагивая законные приложения и файлы, и прекратить работу вредоноса на этих компьютерах. «Благодаря анализу вредоносного ПО и сети Snake ФБР разработало возможность дешифровать и декодировать сообщения Snake», заявили в Минюсте США.

Turla (известная также как Waterbug и Venomous Bear) организует кампании кибершпионажа, нацеленные на правительства, посольства и исследовательские центры по всему миру по крайней мере с 1996 года. Группировка подозреваются в атаках на Центральное командование США, Пентагон, НАСА, министерства иностранных дел нескольких европейских стран.

CISA и Альянс Five Eyes также выпустили совместный бюллетень с подробными сведениями, которые помогут специалистам обнаруживать и удалять Snake в своих сетях.

ФБР заявляет, что удалило все заражённые Snake устройства в США. За пределами страны такая работа ведётся местными спецслужбами и властями. По заявлениям представителей США, инфраструктура Snake была обнаружена в 50 странах Северной и Южной Америки, Европы, Африки, Азии и Австралии, включая США и Россию.

ФБР уведомляет всех владельцев и операторов компьютеров, к которым осуществляется удалённый доступ, об удалении ПО Snake и информирует их о том, что им, возможно, придётся удалять вредоносные инструменты или программы, установленные злоумышленниками, включая кейлоггеры, которые Turla часто развёртывала на заражённых системах.