ActivIdentity является стандартом в Министерстве обороны и других
государственных структурах США. Карты используются для идентификации военного
персонала, гражданских сотрудников и подрядчиков.
Как и в предыдущем инциденте со Sykipot, атакующие использовали электронную
рассылку писем с целью побудить получателя к переходу по ссылке и загрузки
вируса Sykipot на компьютер. После определения компьютеров, которые имеют кард
ридеры, злоумышленники устанавливали программу для считывания логина и
воровства PIN кода, который используется с конкретной картой.
«Когда карта вставляется в ридер, вирус действует как
идентифицированный пользователь и может украсть конфиденциальную информацию»,
объясняет Джами Бласко (Jaime Blasco), менеджер лаборатории AlienVault. «Вирус
потом контролируется преступником, который указывает что и когда красть».
До сих пор, AlienVault наблюдала атаки на кард ридеры, управляемые
программой Windows Native x509, которая является общепринятой в
государственных и смежных с ними учреждениях США.
Новая попытка исходит от тех же китайских авторов, создавших версию
Sykipot в 2011 году, которая распространяла различные спамовые сообщения
содержащих информацию о новом поколении беспилотных самолетов,
разработанных Военно-воздушными силами США.
Из расследования, предпринятого в прошлом году, следовало, что за Sykibot
стоит команда, которую интересует информация о полупроводниках, медицинских и
аэрокосмических технологиях.
В отчете, выпущенном в прошлом году компанией Mandiant, упоминалось
несколько случаев, когда злоумышленникам удалось проникнуть в компьютеры или
сети, где требовалось входить с помощью паролей и смарт карт. Mandiant назвала
эту технику «smart card proxy».