Kromě škodlivého kódu si oběť na svoje zařízení nainstaluje také funkční Flash Player. ESET zároveň vylučuje, že by Turla útočila přímo na Adobe. Soustředí se výhradně na zařízení s operačními systémy Windows a MacOS. Členové skupiny Turla používají řadu sofistikovaných postupů k tomu, aby navedli své oběti ke stáhnutí zdánlivě pravého softwaru. Zároveň jsou úspěšní v tom, jak dokáží skrýt škodlivý přenos dat. České republice se zatím tato kampaň vyhýbá, ale nelze vyloučit, že zasáhne i tuzemské ambasády.

ESET doporučuje organizacím, aby ve své síti zakázaly stahování spustitelných souborů přes nešifrované připojení

Přesný způsob, jak Turla v tomto případě infikovala své oběti, nezná ani ESET

V úvahu připadá více možností, včetně Man-in-the-Middle útoku se zneužitím již infikovaného zařízení v síti dotčené organizace, zneužití internetového providera nebo odchytávání internetového toku dat přes infikovanou síťovou gateway. I ti nejzkušenější uživatelé ale mohou být přesvědčeni k tomu, aby si stáhli škodlivý kód. Ten totiž vypadá, jako by pocházel ze stránky Adobe.com, protože URL a IP adresy napodobují legitimní infrastrukturu společnosti Adobe.

Jelikož se všechna zachycená stáhnutí tohoto malwaru uskutečnila přes HTTP, ESET doporučuje organizacím, aby ve své síti zcela zakázaly stahování spustitelných souborů přes nešifrované připojení. To by výrazně snížilo efektivitu útoků skupiny Turla, protože je mnohem těžší odchytit a pozměnit zašifrovaný přenos dat na cestě mezi zařízením a vzdáleným serverem. Zkontrolování podpisu souboru by zároveň mělo potvrdit, zda se děje něco podezřelého. Tyto škodlivé soubory totiž nejsou podepsané, na rozdíl od legitimních instalací od Adobe.

ESET přisuzuje tuto škodlivou kampaň skupině Turla hned ze dvou důvodů. Za prvé falešná instalace Adobe Flash Player oběti nainstaluje na počítač i backdoor Mosquito, který už byl v minulosti odchycen jako škodlivý kód skupiny Turla. Za druhé některé z řídících serverů napojených na backdoory používají SATCOM IP adresy, které byly v minulosti spojované s Turlou. Navíc tento škodlivý kód je podobný jiným vzorkům škodlivých kódů, které tato skupina používala.

„Jedná se o podvod,“ vysvětluje Lukáš Štefanko, malware výzkumník ve společnosti ESET, který vedl vyšetřování. „Ve skutečnosti se podvodníci touto operací chtěli vyhnout tomuto označení. Nicméně tím, jak tento trik realizovali, je v pořádku jej jako podvod označit.“

Jak tento podvod funguje?

Jakmile je aplikace stažena do zařízení, zobrazí návod s detailními instrukcemi, jak stáhnout Flash Player. Z této stránky je uživatel přesměrován na PayPal a následně je vyzván k zakoupení Flash Playeru za 18 EUR.

„Autoři tohoto podvodu se snažili, aby to celé vypadalo jako legitimní byznys,“ zdůrazňuje Štefanko. „Tato aplikace byla umístěna v edukativní sekci na Google Play. Nicméně nákupní košík na službě PayPal odhalil celou operaci: položka v košíku byla nazvaná Flash Player 11.“

To je přesně ta situace, kdy se z agresivní praktiky (z předražené a nepotřebné rady pro uživatele) stává podvod. Podvodníci prodávali položku bez potřebných práv. Všechna potřebná práva vlastní společnost Adobe, která Flash Player vyvinula.

Po provedení platby se celá podvodná operace snaží uživatelům výměnou za peníze opět něco poskytnout. Kromě odkazu na návod, jak Flash Player nainstalovat (jedná se o pár zřejmých tipů), je oběť vyzvána k instalaci prohlížeče Firefox nebo Dolphin. Tyto prohlížeče defaultně podporují Flash Player, obsahují totiž plugin k přehrávání Flash obsahu.

Jak zůstat v bezpečí?

ESET Mobile Security tuto aplikaci detekuje jako Android/FakeFlash.F a brání jejímu nainstalovaní do zařízení.

Kromě rady se vyhnout škodlivým aplikacím je v tomto případě nutné podotknout, že opravdu není dobrý nápad mít na zařízení s operačním systémem Android nainstalovaný Flash Player. Obsahuje mnoho zranitelností a snadno může zařízení kompromitovat.

Jestliže byste přesto chtěli mít Flash Player na svém zařízení, společnost Adobe doporučuje dodržovat následující zásady:

• Flash Player stahujte z oficiálního Adobe centra pro stahování na adrese https://get.adobe.com/flashplayer/
• Flash Player aktualizujte pomocí aktualizačního mechanizmu v rámci originální instalace Adobe Flash Playeru pomocí Adobe centra pro stahování

Jak získat odeslané peníze zpět?

Ti, kteří se stali obětí tohoto podvodu a zaplatili přes PayPal, mají celých 180 dní na otevření sporu se společností PayPal, a mohou tak požadovat své peníze zpět.

Místo Adobe Flash Playeru se do PC instaluje malware, který je zaměřen na bitcoiny. Stejně jako psal kolega v jednom z minulých blogů, je to vzhledem k aktuálně výhodnému kurzu bitcoinů zcela pochopitelné.

Je velice pravděpodobné, že se budou množit videa s motivem Vánoc. Protože jak jsme již několikrát viděli, i malware je dost “trendy” záležitost.

Plynou z toho opět známá poučení:

• Veškeré doplňky instalujte pouze ze stránek výrobců. Ostatní zdroje s sebou nesou riziko, že nenainstalujete to (nebo jen to), co jste chtěli.
• V tomto případě nestahujte a neotevírejte soubory ze stránek facebook.com.accounts.login.userid.(string).ismos.pw