Роутеры под угрозой
Эксперты «Лаборатории Касперского» выяснили, что многие жертвы Slingshot были заражены через роутер. В ходе атак группировка, стоящая за зловредом, взламывает устройство и помещает в него компоненты вредоносного ПО, в том числе динамически загружаемую библиотеку ipv4.dll. Когда администратор подключается к роутеру для его настройки или диагностики, прошивка устройства загружает и запускает на компьютере администратора этот модуль, который, в свою очередь, скачивает остальные модули этой вредоносной программы с роутера. Один из этих компонентов может работать в режиме ядра (kernel mode), что дает ему полный контроль над компьютером жертвы.
Метод взлома самого роутера пока остается неясным, возможно, злоумышленники использовали для этого один из известных эксплойтов. После заражения Slingshot загружает несколько дополнительных модулей, включая два больших и мощных: Cahnadr и GollumApp. Они работают в связке и «помогают» друг другу в сборе информации, защите от обнаружения и фильтрации данных.
Судя по всему, главное предназначение Slingshot — кибершпионаж. Программа собирает и передает злоумышленникам скриншоты, вводимые с клавиатуры символы, сетевую информацию, пароли, подключения к USB, данные из буфера обмена и многое другое. Доступ зловреда к ядру означает, что в теории Slingshot может украсть все что угодно.
Slingshot включает и ряд техник, помогающих ему оставаться незамеченным. Среди них шифрование всех модулей, вызов системных служб напрямую, минуя защитные решения, ряд антиотладочных приемов, а также гибкие сценарии поведения в зависимости от того, какое защитное решение используется в устройстве.