Irańscy hakerzy atakują przemysł zbrojeniowy USA?

Claudio Guarinieri i Collin Anderson, którzy badali działanie MacDownloadera, mają dowody wiążące tego wirusa z hakerami działającymi na polecenie irańskiego rządu. Obaj eksperci śledzą poczynania grup przestępczych wspieranych przez administrację w Teheranie. Udało im się nie tylko zbadać elementy nowej edycji złośliwego oprogramowania, ale także porównać go z narzędziem wykorzystywanym do zbierania informacji od osób walczących o ochronę praw człowieka. 

Do tej pory eksperci zauważyli dwie odmiany ww. wirusa. W pierwszej wersji udaje on program do instalacji Adobe Flash Player, zaś w drugiej wersji udaje program do usuwania złośliwego oprogramowania Bitdefender Adaware Removal Tool. Po zainfekowaniu systemu, MacDownloader zbiera informacje o urządzeniu i duplikuje bazę danych kluczy obecną w OS X.

Ograniczone działanie wirusa, który zbiera informacje na temat urządzeń, może być wstępną fazą kampanii, jaką właśnie rozpoczęli hakerzy irańscy. Złośliwe oprogramowanie nie zostało wysłane na komputery za pomocą klasycznej metody phishingu. Przestępcy zdecydowali się skopiować stronę firmy amerykańskiej United Technologies Corporation, na której umieścili trojana. Po odwiedzeniu, witryna za pomocą pop-upa, oferuje specjalne kursy i szkolenia skierowane do pracowników i stażystów firm wojskowych. Chodzi dokładnie o osoby zatrudnione w Lockheed Martin, Sierra Nevada Corporation, Raytheon czy w Boeingu.

Czytaj też: USA: Wzrasta ochrona korespondencji mailowej obywateli

Po pobraniu odpowiednio sfabrykowanego, złośliwego oprogramowania, które wykrywa z jakiego urządzenia korzysta odwiedzający, w przypadku platformy Windows za instalacje wtyczki szpiegującej odpowiada dropper napisany w języku Go stworzonym przez Google. Dowodem na zaangażowanie irańskich hakerów ma być według badaczy język perski, odnaleziony w kodzie złośliwego oprogramowania. 

Sam trojan ma być wprawdzie tworem napisanym przez niedoświadczonych hakerów. Jednak jego użyteczność przy zbieraniu podstawowych informacji, może zostać wykorzystana do kolejnych kampanii, co podkreślają badacze prowadzący blog Iran Threats na platformie Github.