Троянец на 3 000 устройства: ето как започнаха Олимпийските игри в Париж

Френски експерти веднага откриха начин за премахване на троянеца PlugX.

В 6 държави по света започна мащабна операция за премахване на троянския кон PlugX от заразените устройства. Кампанията е организирана от френската полиция с подкрепата на Европол и френската IT компания Sekoia.

PlugX е троянски кон за отдалечен достъп (RAT), който отдавна се използва от китайските хакери. Новите версии на PlugX се модифицират и пускат в зависимост от текущите нужди на нападателите.

През април Sekoia пое контрола върху C2 сървъра на един от вариантите на PlugX. Зловредният софтуер се разпространява чрез USB устройства, създавайки ботнет, който продължава да заразява устройствата дори след като са оставени без надзор от оператора. В резултат на това троянецът е заразил приблизително 2,5 млн. устройства по целия свят за 6 месеца самостоятелна работа. Тъй като ботнетът оставаше активен, той можеше да бъде поет от други киберпрестъпници.

За да се елиминира заплахата, Sekoia предложи механизъм за изчистване с помощта на специален плъгин за PlugX, който изпраща команда на устройството за самоунищожаване на зловредния софтуер. Предложен е и метод за сканиране на свързаните USB устройства с цел отстраняване на троянеца. Автоматичното изтриване на USB устройствата обаче може да повреди носителя и да доведе до загуба на легитимни файлове, което прави този подход доста рисков.

Предвид правните трудности, които биха възникнали при една широкомащабна кампания за почистване, Sekoia представи своето решение на екипите за реагиране при компютърни инциденти (CERT), правоприлагащите органи и регулаторните органи в областта на информационните технологии.

Европол получи „дезинфектанта“ и го сподели с партньорските държави за премахване на PlugX от устройствата. Въпреки че не са разкрити подробности за механизма за прочистване, вероятно създадената програма е подобна на модула PlugX, описан в доклада на Sekoia от месец април.

В разгара на Олимпийските игри в Париж през 2024 г. френските власти са в повишена готовност и рискът PlugX да присъства в 3000-те системи във Франция е неприемлив. Поради това PlugX вече се премахва от заразените системи не само във Франция, но и в Малта, Португалия, Хърватия, Словакия и Австрия. Операцията по почистването започна на 18-ти юли и ще продължи няколко месеца, вероятно до края на годината.

Отбелязва се, че този вариант на PlugX се разпространява чрез заразени USB устройства и не е известно дали решението на Sekoia включва възможност за премахване на зловредния софтуер от сменяемите носители. На потребителите се препоръчва да внимават, когато свързват USB устройства към компютрите в печатниците и на други места, където ежедневно се осъществяват много физически връзки, и да сканират устройствата си, преди да ги свържат към системи с чувствителни данни.