Equation: La Estrella de la muerte de la galaxia Malware

Descargar el PDF “Equation group: questions and answers” (eng)

“Houston, tenemos un problema”

En un día soleado del año 2009, Grzegorz Brzęczyszczykiewicz¹ tomó un vuelo a la pujante ciudad de Houston para asistir a una prestigiosa conferencia científica. Como uno de los principales científicos en su campo, Grzegorz estaba acostumbrado a estos viajes. En los siguientes días, Brzęczyszczykiewicz intercambió tarjetas personales con otros científicos y habló sobre los temas importantes que los científicos de alto nivel suelen tratar (un eufemismo equivalente a “¿quién sabe?”).  Pero, todo lo bueno termina, y al concluir la conferencia, Grzegorz Brzęczyszczykiewicz tomó el vuelo que lo llevaría de regreso a casa, llevando consigo muchas impresiones de un memorable evento. Un tiempo después, como suele suceder en este tipo de acontecimientos, los organizadores enviaron a todos los participantes un CDROM con muchas fotos de la conferencia. Cuando Grzegorz insertó el CDROM en su ordenador y se abrió la presentación de dispositivas, ni sospechó que se estaba convirtiendo en la víctima de una organización de ciberespionaje casi omnipotente que acababa de infectar su ordenador utilizando tres exploits, dos de ellos del tipo día-cero.

Una cita con el “dios” del ciberespionaje

No se sabe cuándo el grupo Equation² comenzó su ascenso. Algunas de las primeras muestras de este programa malicioso se compilaron en el 2002. Sin embargo, su servidor de comando y control (C&C) se registró en agosto de 2011. Otros C&Cs que utilizó el grupo Equation parecen haberse registrado incluso en 1996, lo que indicaría que este grupo ha estado activo por al menos dos décadas. Por muchos años han interactuado con otros grupos poderosos, como Stuxnet y Flame, siempre desde una posición de superioridad, ya que tenían acceso a exploits antes que los demás.

Desde el 2001, el grupo Equation se ha dedicado a infectar miles o quizás hasta decenas de miles de víctimas en todo el mundo, en los siguientes sectores:

• Instituciones gubernamentales y diplomáticas
• Telecomunicaciones
• Aeroespacial
• Energía
• Investigación nuclear
• Petróleo y gas
• Fuerzas armadas
• Nanotecnología
• Activistas y académicos musulmanes
• Medios de comunicación
• Transporte
• Instituciones financieras
• Compañías de desarrollo de tecnologías de cifrado

Para infectar a sus víctimas, el grupo Equation cuenta con un arsenal poderoso de “implantes” (así llaman a sus troyanos), incluyendo los siguientes a los que hemos bautizado: EQUATIONLASER, EQUATIONDRUG, DOUBLEFANTASY, TRIPLEFANTASY, FANNY y GRAYFISH. Sin duda existen otros “implantes” aún por ser identificados.

El grupo tiene muchos nombres clave para sus herramientas e implantes, incluyendo SKYHOOKCHOW, UR, KS, SF, STEALTHFIGHTER, DRINKPARSLEY, STRAITACID, LUTEUSOBSTOS, STRAITSHOOTER, DESERTWINTER y GROK. Por más increíble que parezca para un grupo élite como este, uno de sus desarrolladores cometió el error imperdonable de dejarnos su nombre de usuario: "RMGREE5", en una de las muestras del programa malicioso, como parte de su carpeta de trabajo: "c:usersrmgree5".

Quizás la herramienta más poderosa en el arsenal del grupo Equation sea un misterioso módulo conocido sólo por su nombre críptico: "nls_933w.dll". Este módulo les permite reprogramar el firmware del disco duro para una docena de marcas de discos duros, incluyendo Seagate, Western Digital, Toshiba, Maxtor e IBM. Este es un asombroso logro técnico y es una muestra de las habilidades del grupo.

En los últimos años, el grupo Equation ha lanzado varios ataques.  Uno de ellos sobresale: el gusano Fanny. Presuntamente compilado en julio de 2008, fue el primero que nuestros sistemas detectaron y bloquearon en diciembre de 2008. Fanny usaba dos exploits tipo día-cero, que posteriormente se revelaron durante el descubrimiento de Stuxnet. Para propagarse utilizaba el exploit LNK de Stuxnet y unidades USB. Para elevar sus privilegios, Fanny usaba una vulnerabilidad reparada con el boletín MS09-025 de Microsoft, que también se usó en una de las primeras versiones de Stuxnet de 2009.

Exploit LNK utilizado por Fanny

Es importante señalar que estos dos exploits se usaron en Fanny antes de que se integraran a Stuxnet, lo que indica que el grupo Equation tuvo acceso a estos día-cero antes que el grupo Stuxnet. El propósito principal de Fanny era el mapeo de redes físicamente segmentadas (o air-gapped). Para ello, utilizaba un mecanismo de comando y control único, basado en USB, que les permitía a los atacantes enviar y recibir datos desde las redes físicamente separadas por los air-gaps.

En los próximos días publicaremos más detalles sobre el grupo Equation y sus ciberataques. El primer documento que publicaremos serán las preguntas frecuentes sobre el grupo con los indicadores de infección.

Nuestra intención al publicar esta información es llamar la atención de la comunidad de seguridad informática y de los investigadores independientes para que puedan ampliar la comprensión de estos ataques. Cuanto más investiguemos estas operaciones de ciberespionaje, más nos daremos cuenta de lo poco que sabemos ahora. Compartiendo lo que sabemos podremos levantar el velo y trabajar por un (ciber-)mundo más seguro.

Descargar el PDF “Equation group: questions and answers”

Indicadores de infección (“uno por cada”):

Servidores C&C (nombres de hosts e IPs):

DoubleFantasy:

EquationLaser:

Fanny:

EquationDrug:

GrayFish:

TripleFantasy:

Servidores de explotación del grupo Equation:

IPs hard-coded en bloques de configuración de programas maliciosos:

Nombres detectados por los productos de Kaspersky:

• Backdoor.Win32.Laserv
• Backdoor.Win32.Laserv.b
• Exploit.Java.CVE-2012-1723.ad
• HEUR:Exploit.Java.CVE-2012-1723.gen
• HEUR:Exploit.Java.Generic
• HEUR:Trojan.Java.Generic
• HEUR:Trojan.Win32.DoubleFantasy.gen
• HEUR:Trojan.Win32.EquationDrug.gen
• HEUR:Trojan.Win32.Generic
• HEUR:Trojan.Win32.GrayFish.gen
• HEUR:Trojan.Win32.TripleFantasy.gen
• Rootkit.Boot.Grayfish.a
• Trojan-Downloader.Win32.Agent.bjqt
• Trojan.Boot.Grayfish.a
• Trojan.Win32.Agent.ajkoe
• Trojan.Win32.Agent.iedc
• Trojan.Win32.Agent2.jmk
• Trojan.Win32.Diple.fzbb
• Trojan.Win32.DoubleFantasy.a
• Trojan.Win32.DoubleFantasy.gen
• Trojan.Win32.EquationDrug.b
• Trojan.Win32.EquationDrug.c
• Trojan.Win32.EquationDrug.d
• Trojan.Win32.EquationDrug.e
• Trojan.Win32.EquationDrug.f
• Trojan.Win32.EquationDrug.g
• Trojan.Win32.EquationDrug.h
• Trojan.Win32.EquationDrug.i
• Trojan.Win32.EquationDrug.j
• Trojan.Win32.EquationDrug.k
• Trojan.Win32.EquationLaser.a
• Trojan.Win32.EquationLaser.c
• Trojan.Win32.EquationLaser.d
• Trojan.Win32.Genome.agegx
• Trojan.Win32.Genome.akyzh
• Trojan.Win32.Genome.ammqt
• Trojan.Win32.Genome.dyvi
• Trojan.Win32.Genome.ihcl
• Trojan.Win32.Patched.kc
• Trojan.Win64.EquationDrug.a
• Trojan.Win64.EquationDrug.b
• Trojan.Win64.Rozena.rpcs
• Worm.Win32.AutoRun.wzs

Reglas Yara:

¹ seudónimo para proteger la identidad original de la víctima >>
² el nombre “Grupo Equation” se debe a su preferencia por sofisticados esquemas de cifrado >>