Джейми Бласко, специалист по ИТ-безопасности AlienVault, говорит, что ими был обнаружен тот же код Sykipot, но снабженный специализированными функциями, позволяющими этому троянцу похищать данные о смарт-картах работников Минобороны США.
Судя по данным технического анализа, новый вариант кода был скомпилирован еще в марте 2011 года, но до сих пор в широком хождении он не был замечен, что означает лишь одно: либо он был оружием в высоко таргетированных атаках, либо он пока не использовался.
В Минобороны США смарт-карты используются для хранения цифровых сертификатов работников и их PIN-кодов, применяемых для аутентификации.
Оригинальный код Sykipot был использован в ряде APT-атак (advanced persistent threat), однако вариант, обнаруженный AlienVailt, имеет функционал для обслуживания новых команд, связанных с захватом данных о смарт-картах и деталях получения доступа к защищенным ресурсам. Одна из новых функциональностей троянца связана с возможностью взаимодействия с программным обеспечением ActivIdentity ActivClient, работающим со смарт-картами, соответствующими стандартам безопасности Минобороны США. Согласно имеющимся данным, Пентагон использует спецификации Common Access Card (CAC), при помощи которых осуществляется проверка данных для работы с сетями, определенными ресурсами, электронной почтой и т д.
Новый вариант троянца способен перехватывать данные о сертификатах, а при помощи встроенного кейлоггера снимать данные о вводимых PIN-кодах. После перехвата указанных данных Sylipot переправляет краденную информацию на специальные защищенные ресурсы.
Бласко говорит, что хотя троянцы, похищающие данные о смарт-картах, не являются чем-то новым, в данном случае нужно говорить о целевой атаке американского оборонного ведомства. Также эксперт отмечает, что обнаруженные ими серверы, отвечающие за прием информации, расположены в Китае, однако данный момент еще не говорит о том, что получатели информации находятся в КНР, CyberSecurity.ru.
