Két éve a “Wild Neutron” elnevezésű hackercsoport (Iripbot és Morpho néven is emlegetik őket) több ismert nagyvállalatot támadott meg, köztük az Apple-t, a Facebookot, a Twittert és a Microsoftot. Az eset nagy port kavart, aztán egy évig nem lehetett hallani róluk. 2013 végén és 2014 elején, majd 2015-ben a támadások folytatódtak. A csoport egy lopott, érvényes kódú hitelesítési tanúsítványt használt, és egy ismeretlen Flash Player kihasználó kód segítségével fertőzi meg a vállalatokat és a magánfelhasználókat, s bizalmas üzleti adatokat lop el tőlük.
A Kaspersky Lab kutatói be tudták azonosítani a Wild Neutron célpontjait 11 országban, többek között Franciaországban, Oroszországban, Svájcban, Németországban, Ausztriában, Palesztinában, Szlovéniában, Kazahsztánban, az Egyesült Arab Emírségekben, Algériában és az Egyesült Államokban. Ügyvédi irodák, Bitcoin-nal kapcsolatos vállalatok, beruházásokkal kapcsolatos szervezetek, IT cégek, egészségügyi intézmények, ingatlanforgalmazással foglalkozó vállalatok, fúziókkal és felvásárlásokkal foglalkozó nagyvállalatok csoportjai, továbbá egyéni felhasználók tartoznak közéjük. A támadások célpontjai azt sugallják, hogy nem egy állam által szponzorált szereplőről van szó. Azonban a nulladik napi sérülékenységek kihasználása, a többplatformos malware-ek alkalmazása, valamint más technikai megoldások miatt a szakértők úgy vélik, hogy ez egy igen erős, gazdasági előnyök megszerzése érdekében tevékenykedő kémszervezet.
A közelmúltbeli támadások kezdeti fertőzési módszere egyelőre nem ismert, bár egyértelműnek tűnik, hogy egy ismeretlen Flash Player exploit csomagot használtak feltört weboldalakon keresztül. A kihasználó csomag egy malware telepítőt (droppert) helyez el az áldozatok számítógépén. A kutatók által megfigyelt támadásoknál a dropper legális hitelesítési tanúsítvánnyal volt aláírva. A tanúsítványok használata lehetővé teszi a rosszindulatú programok számára, hogy elkerüljék a védelmi megoldások általi felfedezést. Úgy tűnik, hogy a Wild Neutron által használt tanúsítványt – amelyet természetesen azóta visszavontak – egy népszerű szórakoztató elektronikai cégtől lopták. Miután bejutott a rendszerbe, a dropper telepíti a fő backdoor programot.
Funkcionális szempontból a fő backdoor nem sokban különbözik más, távoli elérést lehetővé tévő (RAT) programtól. Ami lényeges eltérés, az a támadók törekvése, hogy elrejtsék a parancs és vezérlő (C&C) szerverük címét, valamint a backdoor azon képessége, hogy képes helyreállítani magát egy C&C szerver lekapcsolása után. A parancs és vezérlő szerver fontos része a rosszindulatú infrastruktúrának, központi bázisául szolgál a fertőzött gépeken található malware-nek. A malware-be épített speciális funkciók révén a támadók képesek megvédeni az infrastruktúrát a C&C szerverek leállítása esetén.
A támadók eredete továbbra is rejtély. Egyes kódmintáknál a titkosított konfiguráció tartalmazza a “La revedere” (viszlát románul) kifejezést. A kutatók ezenkívül még egy másik nem angol szóra is bukkantak, ami oroszul annyit jelent, hogy “sikeresen”. A Kaspersky Lab termékei Trojan.Win32.WildNeutron.gen, Trojan.Win32.WildNeutron. *, Trojan.Win32.JripBot. * és Trojan.Win32.Generic néven azonosítják, és blokkolják a Wild Neutron által használt kártékony programokat.
