«Лаборатория Касперского» обнаружила связь между атаками на Sony Pictures Entertainment, Южную Корею и Saudi Aramco

Исследователь из «Лаборатории Касперского» Курт Баумгартнер (Kurt Baumgartner)  представил  подробности о недавней атаке на Sony Pictures Entertainment, которые демонстрируют связь между этим инцидентом и масштабными атаками на Южную Корею и нефтяную компанию Saudi Aramco.

В ходе кампании для нападений на Saudi Aramco в 2012 году группировка WhoIs Team использовала вредоносное ПО Shamoon, инфицировавшее порядка 300 тыс. компьютеров. Эксперты ЛК назвали вредонос, применявшийся для атак на Sony Pictures Entertainment, Destover, а исследователи из Trend Micro - BKDR_WIPALL. Он деактивировал и выводил из строя корпоративные системы, заставляя компанию блокировать их. Кроме того, Баумгартнер обнаружил сходство данного инцидента с атаками на Южную Корею, имевшими место в 2013 году и получившими название Dark Seoul.

По словам эксперта, во всех трех случаях, Shamoon, Dark Seoul и Destover, группа злоумышленников никак не идентифицировала себя, а определить, какие инциденты числились за ней ранее, было невозможно. Баумгартнер отметил, что каждый раз эти атаки осуществлялись на фоне политических событий (инцидент с Saudi Aramco произошел во время обострения напряжения между ОАЭ и Ираном), при этом нападающие не делали никаких четких заявлений, а только публиковали живописные обвинения в политических преступлениях.

Эксперт заявил, что изображение, опубликованное на скомпрометированных системах Sony Pictures Entertainment ранее неизвестной группировкой Guardians of Peace (GOP), имеет ряд схожих черт с изображением, оставленным хакерами из WhoIs Team после атак на Saudi Aramco. К примеру, обе картинки озаглавлены «Hacked by» (далее идет название группировки), после чего следуют слово «Warning» и угрозы по поводу похищенных данных. Примечательно, что в обоих случаях хакеры предупреждают, что это только начало, и атаки будут продолжаться.

Стоит также отметить, что атаки на Sony Pictures Entertainment и Saudi Aramco сопровождались дефейсом, при этом опубликованные хакерами изображения выполнены в одном стиле и цветовой гамме.