A Kaspersky Lab értesítette a fertőzött szoftver viszonteladóját, a NetSarang céget, amely azonnal eltávolította a rosszindulatú kódot, és egy új frissítést adott ki ügyfelei számára.
A ShadowPad az egyik legnagyobb ismert ellátásilánc-támadás. Ha nem vették volna észre, és nem javították volna ki ilyen gyorsan, több száz szervezetet fertőzött volna meg világszerte.
Egy pénzügyi intézet biztonsági szakértői gyanús DNS-eket (domain name server) találtak az utalásokért felelős rendszerükben. Ezeket egy szerverkezelő szoftverhez vezették vissza, amelyet több száz ügyfél használ pénzügyi szolgáltatásokhoz, az oktatásban, a telekommunikációban, a gyári- és energiaiparban, valamint a szállítmányozásban. A legaggasztóbb az volt, hogy a szoftver forgalmazója nem tudott erről.
A Kaspersky Lab elemzése kimutatta, hogy a gyanús DNS-ek valójában egy rosszindulatú modulnak írhatók fel, amelyet a szoftver legújabb
A Kaspersky Lab kutatása szerint eddig a rosszindulatú modult csak Hongkongban aktiválták, de jelen lehet sok más rendszerben is világszerte, különösen ha a felhasználók még nem telepítették a frissített verziót.
A támadók által használt eszközök és technikák elemzése közben kiderült, hogy a modul hasonlóságokat mutat a PlugX vírus variánsaival, amelyeket egy ismert kínai nyelvű kiberkém csoport, a Winnti APT használ. Habár ez az információ önmagában nem elég ahhoz, hogy a támadást ezekhez az elkövetőkhöz kössék.
„A ShadowPad jó példa arra, hogy milyen veszélyes lehet egy sikeres ellátásilánc-támadás. Mivel kiváló adatgyűjtési lehetőséget ad a támadóknak, több, mint valószínű, hogy újabb hasonló támadások is lesznek más széles körben használt szoftverek megfertőzése által. Szerencsére a NetSarang gyorsan reagált, és egy tiszta szoftverfrissítést adott ki, így valószínűleg több száz támadást előzött meg. Ez az eset azt mutatja, hogy a nagyvállalatok olyan biztonsági megoldásokra kell, hogy támaszkodjanak, amelyek folyamatosan felügyelik a hálózati tevékenységeket, és felismerik a rendellenességeket. Itt lehet tetten érni a fertőzéseket még akkor is, ha a támadók szofisztikált módszerekkel a vírust egy szoftverbe rejtik” – mondta a biztonsági szakértő.
