Az ASUS háza táján nagy felfordulást okozott a ShadowHammer „hadművelet”, amelynek keretén belül támadás érte a vállalat szervereit, majd a hackerek az ASUS Live Update alkalmazást is megfertőzték, amelyhez hitelesnek tűnő tanúsítványt csatoltak, így a kártékony kóddal ellátott állomány rengeteg felhasználóhoz juthatott el. Az első beszámolók egymilliónál is több érintettről tettek említést, de később az ASUS hivatalosan cáfolta a számot, ugyanis szerintük csak a notebook felhasználók egy szűk körét érintette az incidens. Akkoriban már lehetett sejteni, hogy a precízen megtervezett és mesterien kivitelezett támadás más vállalatokat is kellemetlen helyzetbe hozhatott, ám eddig nem lehetett tudni, pontosan mely cégekről van szó. A Kaspersky szakemberei most elárulták, ki szerepelt még a támadók listáján, így most már biztos, hogy igen széleskörű támadásról lehet beszélni.
Újabb érintettek
A SecureList blogon megjelent bejegyzés alapján biztosan megtámadták az Electronics Extreme nevű vállalatot, amely az Infestation: Survivor Stories című túlélőjátékot fejleszti, de ezzel együtt az Innovative Extremist is elszenvedte a támadást – utóbbi egy szolgáltató, amely webes szolgáltatásokkal és IT infrastruktúrát biztosító szolgáltatásokkal foglalkozik, valamint szintén részt vett a játék fejlesztésében. Velük együtt egy dél-koreai játékfejlesztő, a Point Blank nevű játék mögött álló Zepetto is szerepelt a célkeresztben.
A Kaspersky szakemberei szerint a támadók kétféle módon járhattak sikerrel: vagy hozzáférhettek a három vállalat szoftvereinek forráskódjaihoz, vagy pedig a szoftver fordításakor ágyazhattak kártékony kódokat a kész alkalmazásokba. A hackerek az említett cégek hálózataiba is beférkőzhettek. Utóbbi módszert már az Avast tulajdonában lévé CCLeaner ellen is alkalmazták, ott ugyanis szintén a céges hálózaton keresztül fértek hozzá a különböző fájlokhoz, így a CCleaner telepítőihez is.
A fenti három cég mellett további három dél-koreai vállalatot is sikeresen megtámadtak. Az egyik egy játékfejlesztő, a másik egy gazdasági társaság, a harmadik pedig egy gyógyszeripari vállalkozás. A neveiket egyelőre nem árulták el a kutatók.
Hogyan működött a támadás?
A kártékony kód képes volt frissítéseket letölteni a támadók szerveréről, amivel alighanem a funkcionalitását lehetett bővíteni. A célpontok között pedig nem csak bizonyos MAC címek szerepeltek, mint az ASUS Live Update esetében, azaz a támadás hatókörét nem limitálták.
A támadók hiteles digitális tanúsítványokat használtak a vállalatok fejlesztőkörnyezetének megfertőzéséhez, így a Kaspersky szerint nem érdemes csak és kizárólag digitális tanúsítványokra alapozni egy-egy szoftver megbízhatóságát – érdemes a kódot folyamatosan ellenőrizni még a digitális aláírást követően is.
A Kaspersky szakemberei szerint számos egyéb célpontja is lehetett a támadások mögött álló csoportnak, ám az egyelőre nem világos, hogy a támadás pontosan hány vállalatot érintett. Az viszont biztos, hogy ha az Operation ShadowHammer keretén belül sikerült megfertőzni a népszerű fejlesztőeszközöket, akkor bármelyik cég is használja ezeket a fertőzött szoftvereket, szintén a támadók áldozatává válik. Reméljük, rövidesen kiderül, pontosan mi a helyzet az ügyben.
