Careto aka The Mask - pod maskou 7 let

Careto dokáže zachytit síťový provoz, konverzace na Skypu, analyzovat provoz Wi-Fi, zachytávat PGP klíče, stisky kláves, snímky obrazovky a monitorovat veškeré operace se soubory. Shromažďuje velké objemy dat včetně šifrovacích klíčů, konfigurací VPN, SSH klíčů a RDP souborů. Využívá k tomu komplexní sadu nástrojů zahrnující vysoce pokročilý malware, rootkit, bootkit, aj. Napadá nejen Windows (32-bit i 64-bit), ale také Android, iPhone, OS X a Linux.

Hlavními cíli Careta dle Kaspersky Labs jsou vládní instituce, ambasády, energetické, ropné a plynové společnosti, soukromé podniky, výzkumné instituce, investiční fondy (konkrétně fondy private equity) a političtí aktivisté. Výzkumníci potvrdili na 380 infikovaných cílů ze zmíněných oblastí v cca 31 zemích.

Nejstarší odhalené verze Careta pocházejí z roku 2007. Je schopné schovat se hluboko v systému tak, že ho antiviry neodhalí. Kaspersky Labs ho identifikovaly právě při zkoumání zneužití zranitelnosti svého antiviru, která umožňovala zneviditelnění v systému. Některé jeho nadstavby však výzkumníci nebyli schopni identifikovat, což je patrně spojeno se šifrováním na vojenské úrovni. Vůbec kvůli úrovni komplexity a sofistikovanosti celého malware (vyšší než u DUQU), Kaspersky Labs usuzuje na vládní zázemí tvůrců.

Careto bylo hostováno na doménách linkconf.net, redirserver.net a swupdt.com. Ovšem k infikaci nedocházelo přímo, nýbrž na speciálních subdoménách, které nebyly odkázány nikde jinde než ve škodlivých mailech. V momentě, kdy byl malware objeven, byly C&C servery vypnuty, což poukazuje na komplexní sledování aktivit malwaru. Veškeré podrobnosti naleznete ve zprávě Kaspersky Labs.

Zdroje: TheHackerNews, Unveiling “Careto” - The Masked APT (Kaspersky Labs), Help Net Security, Threatpost, Security Affairs