Skydda mot hackare som använder pc-mikrofoner för att stjäla data

Storskalig hacking med sofistikerad taktik, tekniker och förfaranden är dagens ordning - vilket också kunde ses i rapporter om det påstådda ryska hacket under USA: s val - och nu använder hackare inbyggda PC-mikrofoner för att hacka sig in i företag och persondatafiler.

Döpt som "Operation BugDrop" har hackarna bakom attacken säkrat massor av gigabyte känslig information från cirka 70 organisationer och individer i Ukraina.

Dessa inkluderar redaktörer av flera ukrainska tidningar, ett vetenskapligt forskningsinstitut, organisationer som är förknippade med övervakning av de mänskliga rättigheterna, terrorism, cyberattacker, olja, gas och vattenförsörjning - i Ryssland, Saudiarabien, Ukraina och Österrike.

Enligt en rapport från cybersäkerhetsföretaget CyberX, "syftar operationen till att fånga en rad känslig information från dess mål inklusive ljudinspelningar av konversationer, skärmdumpar, dokument och lösenord."

Hackare har börjat använda mikrofoner som ett sätt att få åtkomst till måldata eftersom det är lätt att blockera videoinspelningar genom att helt enkelt placera ett band över webbkameran, men om du stänger av systemets mikrofon krävs att du kopplar ur hårdvaran fysiskt.

Många av dessa hacks utfördes i självdeklarerade separatiststater Donetsk och Luhansk - vilket indikerar ett regeringsinflytande i dessa attacker, särskilt eftersom dessa två stater har klassificerats som terroristkläder av den ukrainska regeringen.

Hackarna använder Dropbox för datastöld eftersom molntjänstens trafik vanligtvis förblir blockerad av företagets brandväggar och trafiken som flödar genom den inte övervakas också.

”Operation BugDrop infekterar sina offer med riktade e-postfiskattacker och skadliga makron inbäddade i Microsoft Office-bilagor. Den använder också smart social engineering för att lura användare att aktivera makron om de inte redan är aktiverade, ”säger CyberX.

Ett exempel på hur makrovirusattack fungerar

Med beaktande av fallet fann CyberX detta skadliga Word-dokument som laddades med makrovirus, vilket vanligtvis inte upptäcks av mer än 90 procent av antivirusprogramvaran på marknaden.

Tills makroer - kort: bitar av datorkoder - är aktiverade på din dator, kör programmet automatiskt och ersätter koder på din PC med skadliga koder.

I fallet är makron inaktiverade på måldatorn, - en Microsofts säkerhetsfunktion som som standard inaktiverar alla makrokoder på ett Word-dokument - det skadliga Word-dokumentet öppnar en dialogruta som visas i bilden ovan.

Texten på bilden ovan lyder: ”Uppmärksamhet! Filen skapades i en nyare version av Microsoft Office-program. Du måste aktivera makron för att korrekt visa innehållet i ett dokument."

Så fort en användare aktiverar kommandot ersätter skadliga makrokoder koder på din dator, infekterar andra filer på systemet och ger fjärråtkomst till angriparen - vilket kan ses i det aktuella fallet.

Hur och vilken information samlades in av hackare

Hackare, i detta fall, använde en mängd plugins för att stjäla data efter att ha fått fjärråtkomst till målenheterna.

Plugins inkluderade filsamlare, som letar efter många filändelser och laddar upp dem till Dropbox; USB-filsamlare, som lokaliserar och lagrar filer från en ansluten USB-enhet på den infekterade enheten.

Andra än dessa filsamlare, webbläsardata som samlar in plugin som stjäl inloggningsuppgifter och annan känslig information lagrad i webbläsaren, ett plugin för att samla in datordata inklusive IP-adress, ägarens namn och adress med mera användes i attacken.

Utöver allt detta gav skadlig programvara också hackare tillgång till målenhetens mikrofon, vilket möjliggör ljudinspelningar - sparat för att läsa i attackboxens Dropbox-lagring.

Även om det inte har gjorts några skador på målen i Operation BugDrop påpekar CyberX att "identifiering, lokalisering och utförande av rekognosering på mål är vanligtvis den första fasen av operationer med bredare mål."

När dessa uppgifter har samlats och laddats upp till angriparens Dropbox-konto, laddas de ner i andra änden och raderas från molnet - vilket inte lämnar några spår av transaktionsinformationen.

Få fördjupad insikt om hacket i CyberXs rapport här.

Hur kan man skydda mot sådana attacker?

Det mest enkla sättet att skydda dig från makrovirusattacker är inte att stänga av Microsoft Office: s standardinställning för makrokommandon och inte ge upp förfrågningar från instruktioner (som diskuterats ovan).

Om det finns ett stort behov av att aktivera makroinställningar, se till att Word-dokumentet kommer från en betrodd källa - en person eller en organisation.

För att försvara sig mot sådana attacker på organisatorisk nivå bör system tas i bruk som kan upptäcka avvikelser i deras IT- och OT-nätverk i ett tidigt skede. Företag kan också innebära algoritmer för beteendeanalys som hjälper till att upptäcka obehöriga aktiviteter i nätverket.

En handlingsplan för att försvara mot ett sådant virus bör också finnas på plats - för att avvärja faran och undvika att förlora känslig information om en attack utförs.

Rapporten drog slutsatsen att det inte finns några hårda bevis på att hackarna anställdes av en myndighet.

Men med tanke på attackens sofistikerade är det ingen tvekan om att hackarna behövde en betydande personal för att gå igenom den stulna informationen samt lagringsutrymme för all information som samlats in - vilket indikerar att de antingen var väldigt rika eller fick ekonomisk stöd från en regering eller icke-statlig institution.

Medan en majoritet av dessa attacker genomfördes i Ukraina, är det säkert att säga att dessa attacker kan genomföras i alla länder beroende på hackares intressen eller de personer som anställer dem för att få tillgång till känslig information.