Jak Hacking Team bezczelnie oszukiwał klientów i które antywirusy go nie wykrywały

Hacking Team twierdził, że produkowane przez niego konie trojańskie są niewykrywalne dla większości antywirusów. W rzeczywistości wcale tak nie było, lecz klienci byli oszukiwani w trakcie prezentacji produktów na żywo.

Kolejne ciekawe materiały znalezione w archiwum wykradzionej poczty z serwerów Firmy Hacking Team pokazują, jak jej przedstawiciele by ukryć problemy techniczne oszukiwali swoich klientów w trakcie demonstracji produktów od których zależała akceptacja dostawy.

Koń trojański nie działa? Uruchomimy jeszcze raz

W przepastnym archiwum wiadomości znaleziono między innymi raport z prezentacji produktu dla klienta opisanego jako VIKIS, pochodzącego z Wietnamu. Raport ten jest o tyle ciekawy, że opisuje problemy techniczne, na jakie natrafiono w trakcie prezentacji, lecz które udało się ukryć przed klientem. Prezentacja była elementem akceptacji dostarczonego towaru – w przypadku jej niepowodzenia klient mógłby odmówić przyjęcia i zapłaty.

Zaczęło się od infekcji UEFI. Koń trojański Hacking Team potrafi zainfekować UEFI, by przetrwać formatowanie dysku twardego. W trakcie prezentacji prawdopodobnie udało się z sukcesem przeprowadzić infekcję, jednak komputer nie uruchomił się po restarcie. Po drugim restarcie zadziałał, jednak nie widać było, by proces konia trojańskiego wystartował. Jeden ze sprzedawców odwrócił zatem uwagę klienta, a drugi niepostrzeżenie uruchomił konia trojańskiego ręcznie. Brzydka sztuczka, a to dopiero początek.

Całkowicie niewidzialny dla antywirusów. No prawie całkowicie

W archiwum Hacking Team znaleźć można aktualny raport niewidzialności. Jest to dokument opisujący, dla jakich antywirusów Hacking Team gwarantuje niewykrywalność swoich produktów.

Raport niewidzialności

Aktualny raport z maja tego roku pokazuje, że na platformie Windows 7 w wersji 64-bitowej antywirusy takie jak AVG, Avira, Dr. Web, F-Secure, G Data, Kaspersky, McAfee czy Panda w ogóle nie powinny zauważyć obecności i działalności konia trojańskiego RCS. Z kolei Avast, ESET i Norton w pełnej wersji mogą, według raportu, albo wykrywać elementy wirusa (lecz nie zakłócając jego funkcjonowania) lub wykrywać jego ruch sieciowy. Jak to wygląda w praktyce?

Najlepiej sytuacje opisuje raport z demonstracji u klienta. Okazuje się, że w przypadku złośliwego dokumentu Worda, testowanego z Nortonem, sam eksploit wykonał się prawidłowo, jednak pierwszy element infekcji, tzw. scout, został wykryty przez antywirusa. Jeden ze sprzedawców odwrócił uwagę klienta, podczas kiedy drugi… dodał złośliwy program do listy wyjątków antywirusa, dzięki czemu dalsza infekcja przebiegała prawidłowo. Z produktami takimi jak NOD32, Kaspersky i BitDefender takich problemów nie było. Z kolei na platformie OS X Yosemite z antywirusem AVG w trakcie instalacji konia trojańskiego pojawiło się ostrzeżenie, szybko zamknięte przez sprzedawcę zanim zauważył je klient.

We wszystkich przypadkach prawidłowo zadziałał tzw. moduł kryzysowy konia trojańskiego, blokujący wszelką komunikację w przypadku wykrycia uruchomienia Wiresharka, TCP Viewera czy Process Explorera.

W podsumowaniu raportu sprzedawca pisze, że gdyby nie to, że pojechał na prezentację z kolegą, który odwracał uwagę klienta, prawdopodobnie nie doszłoby do podpisania protokołu odbioru. Pamiętajcie zatem, kupując produkty IT sadzajcie jednego kolegę przed ekranem na którym odbywa się prezentacja z zakazem spuszczania z niego wzroku.