Kromě škodlivého kódu si oběť na svoje zařízení nainstaluje také funkční Flash Player. ESET zároveň vylučuje, že by Turla útočila přímo na Adobe. Soustředí se výhradně na zařízení s operačními systémy Windows a MacOS. Členové skupiny Turla používají řadu sofistikovaných postupů k tomu, aby navedli své oběti ke stáhnutí zdánlivě pravého softwaru. Zároveň jsou úspěšní v tom, jak dokáží skrýt škodlivý přenos dat. České republice se zatím tato kampaň vyhýbá, ale nelze vyloučit, že zasáhne i tuzemské ambasády.

ESET doporučuje organizacím, aby ve své síti zakázaly stahování spustitelných souborů přes nešifrované připojení

Přesný způsob, jak Turla v tomto případě infikovala své oběti, nezná ani ESET

V úvahu připadá více možností, včetně Man-in-the-Middle útoku se zneužitím již infikovaného zařízení v síti dotčené organizace, zneužití internetového providera nebo odchytávání internetového toku dat přes infikovanou síťovou gateway. I ti nejzkušenější uživatelé ale mohou být přesvědčeni k tomu, aby si stáhli škodlivý kód. Ten totiž vypadá, jako by pocházel ze stránky Adobe.com, protože URL a IP adresy napodobují legitimní infrastrukturu společnosti Adobe.

Jelikož se všechna zachycená stáhnutí tohoto malwaru uskutečnila přes HTTP, ESET doporučuje organizacím, aby ve své síti zcela zakázaly stahování spustitelných souborů přes nešifrované připojení. To by výrazně snížilo efektivitu útoků skupiny Turla, protože je mnohem těžší odchytit a pozměnit zašifrovaný přenos dat na cestě mezi zařízením a vzdáleným serverem. Zkontrolování podpisu souboru by zároveň mělo potvrdit, zda se děje něco podezřelého. Tyto škodlivé soubory totiž nejsou podepsané, na rozdíl od legitimních instalací od Adobe.

ESET přisuzuje tuto škodlivou kampaň skupině Turla hned ze dvou důvodů. Za prvé falešná instalace Adobe Flash Player oběti nainstaluje na počítač i backdoor Mosquito, který už byl v minulosti odchycen jako škodlivý kód skupiny Turla. Za druhé některé z řídících serverů napojených na backdoory používají SATCOM IP adresy, které byly v minulosti spojované s Turlou. Navíc tento škodlivý kód je podobný jiným vzorkům škodlivých kódů, které tato skupina používala.

Torres byl zatčen poté, co se FBI podařilo odhalit servery, na kterých hostovaly internetové stránky s dětskou pornografií Playpen. Vyšetřovatelé použili speciální malware, který infikoval zařízení návštěvníků těchto stránek. Tato takzvaná Síť vyšetřovací techniky (NIT) byla schopna odhalit IP adresu a totožnost uživatelů stránek. Torres však v rámci své obhajoby požadoval, aby soud takto získané důkazy neuznal, protože si je vyšetřovatelé opatřili protizákonně.

Soudce David Ezra dal podle webu Infosecurity-magazine.com obviněnému za pravdu, že postup FBI nebyl zcela v pořádku, ale odmítl jej označit za protiprávní. „Neexistuje žádný důkaz o tom, že by FBI nebo příslušný soudce jednali se zlým úmyslem,“ vysvětlil. „Kód NIT byl umístěn do počítače pana Torrese bez jeho svolení a předal jeho IP adresu a další identifikační údaje federálním úřadům. Pan Torres ale měl mylnou představu o soukromí své IP adresy. Nepochybně poté hledal důvody ve čtvrtém dodatku ústavy,“ uvedl soudce Ezra. Čtvrtý dodatek americké ústavy řeší právo na ochranu osobní a domovní svobody.

Soudce Ezra proto vyzval Kongres, aby k případu zaujal stanovisko a objasnil situaci. Ve svém rozhodnutí napsal, že používání NIT si vyžádalo přímý zásah Kongresu, který má jasně říci, zda soudci musí vydávat povolení k použití sledovacího software v případech, kdy je trestná činnost na internetu maskovaná pomocí sofistikovaných serverů určených k zakrytí pravé identity uživatele.