Turla，又被稱為Snake或Uroburos，是目前發(fā)現(xiàn)的最為復(fù)雜的網(wǎng)絡(luò)間諜攻擊行動之一。近日，隨著卡巴斯基實驗室檢測到Epic對其用戶的攻擊企圖，Turla的神秘面紗終于被掀開。卡巴斯基實驗室針對這一攻擊行動的最新研究表明，Turla是一個多階段的攻擊行動，而Epic就是該行動中的第一個階段。
據(jù)悉，Epic的攻擊目標主要為政府機構(gòu)(內(nèi)務(wù)部、貿(mào)易和商務(wù)部、外交部/對外事務(wù)部和情報部門)、大使館、軍事組織、研究和教育組織以及制藥企業(yè)?？ò退够鶎嶒炇业陌踩珜＜铱傆嫲l(fā)現(xiàn)數(shù)百個受害者IP地址，分布于超過45個國家。
此外，卡巴斯基實驗室的研究人員還發(fā)現(xiàn)，Epic Turla攻擊者使用了零日漏洞利用程序、社交工程技巧以及水坑式攻擊感染受害者。其中，“水坑”指的是潛在受害者經(jīng)常訪問的網(wǎng)站。水坑式攻擊需要利用社交工程技巧，欺騙用戶運行假冒的“Flash Player”安裝程序。攻擊者會事先攻陷這些網(wǎng)站，在其中注入惡意代碼;然后根據(jù)訪問者的IP地址(例如政府機構(gòu)的IP地址)，在網(wǎng)站上植入Java或瀏覽器漏洞利用程序、簽名的假冒Adobe Flash Player軟件或假冒的Microsoft Security Essentials。
一旦用戶的計算機被感染，Epic后門程序會立即連接命令和控制(C&C)服務(wù)器，將受害者系統(tǒng)信息打包發(fā)送到服務(wù)器?；谶@些信息，攻擊者上傳預(yù)先配置好的批處理文件和定制的橫向移動工具。
卡巴斯基實驗室在分析過程中發(fā)現(xiàn)，攻擊者接下來會使用Epic惡意軟件部署一種更為復(fù)雜的后門程序——“Cobra/Carbon系統(tǒng)”，讓它使用不同的命令和控制服務(wù)器。而這正是Turla網(wǎng)絡(luò)間諜攻擊行動的第二個階段。
針對Turla的這一重大發(fā)現(xiàn)，卡巴斯基實驗室全球研究和分析團隊總監(jiān)Costin Raiu解釋說：“針對‘Carbon系統(tǒng)’配置文件的更新很有趣，因為它是Turla幕后攻擊者的另一個階段。這表明，我們遭遇了一種多階段的感染行為。其中，Epic Turla首先在系統(tǒng)中站住腳，驗證被攻擊的受害者。如果攻擊者對受害者感興趣，就會在受感染系統(tǒng)中升級完整版的Turla Carbon系統(tǒng)?！?/P>