企鵝Turla（Penquin Turla）：史上最復雜的APT間諜軟件
責編：admin ｜2014-12-11 19:09:16卡巴斯基實驗室的安全專家們首次發現了惡意程序Turla的新變種，它的主要攻擊目標是Linux系統，因此又被叫做企鵝Turla（Penquin Turla）。當該惡意程序已經上傳并出現在在線安全檢測平臺上之后，研究人員才注意到它并開始調查。
間諜軟件是惡意程序的一種，能夠在用戶不知情的情況下，在其電腦上安裝后門、收集用戶信息的軟件。它能夠削弱用戶對其使用歷史、隱私和系統安全的物質控制能力；使用用戶的系統資源，包括安裝在他們電腦上的程序；或者搜集、使用、并散播用戶的個人信息或敏感信息。鑒于間諜軟件的巨大危害，一旦它入侵政府或軍方的計算機，其后果將不堪設想。
Turla由BAE的研究員首次發現，研究人員認為它由俄羅斯網絡專家開發，并且很可能是莫斯科政府網絡武器（cyber weapon）計劃的一部分。安全研究人員還發現該惡意程序與之前的Uroburos病毒（一個用于網絡間諜活動的惡意程序）存在關聯。
走近企鵝Turla
企鵝Turla程序由C語言和C++語言編寫，由于連接了多個庫，所以它的文件體積明顯增大。攻擊者除去了帶有符號信息的代碼，這大大增加了安全專家分析該程序的難度。和其他Turla變種一樣，企鵝Turla也可以隱藏網絡通信，任意執行遠程命令和遠程控制受害者機器。
企鵝Turla大量使用了開源的靜態鏈接庫，包括glibc2.3.2、openssl v0.9.6 和libpcap。企鵝Turla并不需要使用root權限即可以執行攻擊命令，同時難以被發現，不會被Linux上管理工具（命令）netstat探測到。也就是說，即使用戶在啟動該程序時限制了系統權限，企鵝Turla仍然可以繼續截斷數據包和執行惡意操作。
除此之外，研究人員還在Penquin Turla中發現了硬編碼的控制與命令（C&C）服務器地址——news-bbc.podzone[.]org。
不斷增強的新變種
企鵝Turla這種Turla新變種集成了當前各種資源，攻擊者們對其添加了新的功能，除去了舊版本中的老代碼。因此其攻擊能力也有所增強。
安全研究人員們指出，當前肯定還有很多的Turla地下工具還沒有被發現。這些惡意程序正被政府資助的攻擊者們用于竊取世界各國政府機構、大使館、軍方、研究機構和制藥公司的機密信息。