«Лаборатория Касперского» объявила о раскрытии новой кампании кибершпионажа Darkhotel. Целью злоумышленников в первую очередь стали остановившиеся в отелях премиум-класса бизнесмены и высокопоставленные лица. Кроме целевых атак применялись также методы массового заражения пользователей файлообменных сетей, из-за чего на данный момент по всему миру скомпрометированы тысячи компьютеров. Среди жертв кампании – генеральные директора, вице-президенты, а также топ-менеджеры по продажам и маркетингу предприятий различных сфер деятельности. Киберпреступники действовали незаметно в течение как минимум 7 лет.

Владеющие корейским языком злоумышленники распространяли вредоносное ПО для слежки тремя способами: через файлообменные и P2P-сети, целевые атаки по электронной почте, а также с помощью общественных Wi-Fi-сетей в некоторых отелях Азии. Последний из перечисленных способов нацелен на высокопоставленных лиц, которые ведут бизнес и привлекают инвестиции в странах Азии, поэтому заслуживает особого внимания.

Механика такого рода атаки была тщательно продумана: после того, как жертва заселялась в отель и подключалась ко взломанной Wi-Fi сети, указывая свою фамилию с номером комнаты, ей автоматически предлагалось скачать обновление для популярного ПО – GoogleToolbar, Adobe Flash или Windows Messenger. В действительности запуск инсталлятора приводил к установке бэкдора, который помогал киберпреступникам оценить степень своего интереса к жертве и необходимость доставки более сложных инструментов. Среди них – кейлоггер, троянец Karba, собирающий информацию о системе и установленных защитных продуктах, а также модуль, ворующий сохраненные пароли в Firefox, Chrome и Internet Explorer вкупе с данными доступа к ряду сервисов включая Twitter, Facebook и Google.

Другой вектор атаки этой же группировки предполагает рассылку целевых писем по электронной почте с вредоносными модулями. Рассылки нацелены на предприятия оборонной промышленности, а также государственный сектор и общественные организации. Последние несколько лет вложением к этим письмам служил эксплойт для уязвимостей в ПО Adobe, либо же они содержали ссылки на веб-ресурсы, эксплуатирующие неизвестные ранее уязвимости браузера Internet Explorer.

Другие способы заражения менее изощрены и таргетированы: к примеру, злоумышленники распространяют троянца через японские файлообменные ресурсы в составе архивов под видом дешифровщиков для видео-файлов, которые набирают десятки тысяч скачиваний.

На файлообменных серверах содержатся самые разные файлы. Это могут быть документы, программы, картинки, музыка, фильмы. Все эти файлы на серверах размещают обычные пользователи. Следовательно, эти файлы являются данными, полученными из непроверенных источников. На файлообменных серверах, как правило, никто не проверяет файлы на вирусы или шпионские модули. Поэтому при скачивании файлов с файлообменных серверов высока вероятность заразить компьютер вирусом или внедрить в него шпионскую программу.

Даже если вы обошли ограничение на лимит скачивания, загрузка большого количества файлов с файлообменных сайтов представляет собой несколько утомительное занятие. Допустим, вы нашли ссылки на фильм, закачанный на один из файлообменников. Так как на файлообменных серверах есть ограничения на размер файла. Фильм может быть разрезан на «кусочки» объемом 200-300 Мбайт. В результате вам предлагается скачать фильм, используя 5-10 ссылок (каждая ссылка ведет к скачиванию одной части фильма).

Используя обычный механизм скачивания, вам придется:
• Запустить скачивание файла по первой ссылке. Одновременно несколько файлов с одного и того же файлообменника скачивать нельзя (как правило).
• Дождаться окончания скачивания и запустить скачивание файла по второй ссылке.
• Выполнять вышеописанные действия, пока все файлы не будут скачаны.

Вышеописанный механизм скачивания подразумевает, что вам придется в течение длительного времени сидеть за компьютером (или, по крайней мере, периодически подходить к компьютеру, чтобы «зарядить» на скачивание следующую ссылку). Этого можно избежать, используя программы, специально разработанные для скачивания файлов с файлообменных сайтов.

Мы уже говорили, что некоторые файлообменные серверы накладывают некоторые ограничения на бесплатное скачивание файлов. Чаще всего ограничение накладывается на скорость скачивания и на количество загрузок за определенный промежуток времени.

Смена IP-адреса компьютера

Каждый компьютер, подключенный к сети или к Интернету, имеет IP-адрес для идентификации в сети. При скачивании с файлообменного сервера последний запоминает IP-адрес вашего компьютера и использует эту информацию при дальнейших загрузках. Допустим, политика файлообменного сервера позволяет бесплатно скачать не более трех файлов за один час. Если вы скачали три файла в течение получаса, то при попытке скачивания еще одного файла в окне браузера появится сообщение о том, что лимит скачивания исчерпан. Вам будет предложено повторить попытку скачивания через полчаса. Конечно, в ряде случаев можно и подождать, но бывают ситуации, когда необходимо срочно получить файл, а лимит загрузок исчерпан. Что делать?

Данный вид ограничения можно легко обойти, сменив внешний IP-адрес компьютера. Сменив IP-адрес, вы снова можете зайти на страницу скачивания файла, при этом файлообменник будет считать, что за файлом обратился другой компьютер, у которого лимит скачивания еще не исчерпан. Существует несколько способов замены IP-адреса.