Virusul informatic Olympic Destroyer, care a acţionat în deschiderea Jocurilor Olimpice de Iarnă de la Pyeongchang, revine în actualitate, după ce specialiştii Kaspersky Lab au descoperit noi activităţi în Germania, Franţa, Elveţia, Olanda, Ucraina şi Rusia ce vizează organizaţiile care acţionează pentru protecţia împotriva ameninţărilor chimice şi biologice, atenţionează specialiştii în securitate cibernetică.

Potrivit experţilor Kaspersky Lab, Olympic Destroyer reprezintă o ameninţare avansată care a afectat organizatorii, furnizorii şi partenerii Jocurilor Olimpice de Iarnă 2018 de la Pyeongchang (Coreea de Sud) cu o operaţiune de spionaj cibernetic bazată pe un malware de tip "vierme', care acţionează în reţea.

"Mai multe indicii au arătat în direcţii diferite în ceea ce priveşte originea atacului, creând confuzie în rândul comunităţii de securitate cibernetică, în luna februarie 2018. Câteva indicii rare şi complexe descoperite de Kaspersky Lab sugerează că grupul Lazarus, un atacator care are legătură cu Coreea de Nord, a fost în spatele acestei operaţiuni. Cu toate acestea, în luna martie, compania a confirmat că era vorba de un indiciu fals foarte elaborat şi convingător, prin urmare, puţin probabil ca Lazarus să fie sursa. Cercetătorii au descoperit acum că operaţiunea Olympic Destroyer a revenit, folosind unele dintre instrumentele sale iniţiale de infiltrare şi recunoaştere şi concentrându-se pe ţinte din Europa", menţionează compania.

În prezent, atacatorul îşi răspândeşte malware-ul prin intermediul unor documente de spear-phishing, care seamănă foarte mult cu documentele folosite în pregătirea operaţiunii Olympic Destroyer. Un astfel de document-momeală făcea referire la Convergenţa Spiez, o conferinţă despre ameninţările bio-chimice care a avut loc în Elveţia, organizată de Laboratorul Spiez, ce a jucat un rol-cheie în investigarea atacului Salisbury. De asemenea, un alt document viza o entitate din domeniul controlului sanitar-veterinar din Ucraina. Unele dintre documentele de spear-phishing descoperite de cercetători includ cuvinte în rusă şi germană.

"Toate elementele periculoase extrase din documentele infectate erau create pentru a oferi acces la computerele compromise. O structură open-source şi gratuită, cunoscută ca Powershell Empire, era folosită pentru a doua fază a atacului. Se pare că atacatorii folosesc servere web legitime, dar compromise, pentru a găzdui şi controla malware-ul. Aceste servere folosesc un cunoscut sistem open-source de management de conţinut (CMS), denumit Joomla. Cercetătorii au descoperit că unul dintre serverele care găzduiau malware-ul folosea o versiune de Joomla ((v1.7.3), publicată în noiembrie 2011, ceea ce sugerează că o variantă foarte veche de CMS ar fi putut fi folosită de atacatori pentru a sparge serverele", notează sursa citată.

Conform analizei Kaspersky Lab şi din fişierele încărcate pe servicii multi-scanner, interesele campaniei Olympic Destroyer par să fi fost entităţi din Germania, Franţa, Elveţia, Olanda, Ucraina şi Rusia. AGERPRES/(AS - autor: Daniel Badea, editor: Oana Tilică, editor online: Anda Badea)