Подмена торрент-файлов на iTorrents: в RuBackup назвали меры против повторной атаки

Компрометация общего хранилища торрент-файлов позволила злоумышленникам распространять вредоносные раздачи через зависящие от него площадки. После исследования «Лаборатории Касперского» ситуацию прокомментировал Андрей Кузнецов, генеральный директор RuBackup, входящей в «Группу Астра».

В исследовании от 17 сентября описана кампания MovieReaper. Её обнаружили в середине августа. Источником подмены стал публичный кэш iTorrents.org, откуда другие сервисы получают торрент-файлы. Вместо ожидаемой раздачи пользователь мог получить файл, ведущий к загрузке вредоносной программы.

По данным исследователей, кампания затронула несколько сотен пользователей и организаций в разных странах. Такой способ распространения позволяет атаковать аудиторию нескольких площадок через общий компонент. В исследовании говорится, что на 17 сентября хранилище оставалось скомпрометированным.

Восстановление нужно сочетать с устранением причины взлома

Кузнецов рассматривает резервные копии как инструмент ликвидации последствий. Сохранённые версии данных могут помочь вернуть сервис в безопасное состояние, оценить масштаб подмены и предоставить материал для расследования.

При этом возврата к прежней версии недостаточно. По мнению эксперта, необходимо закрыть уязвимость, через которую атакующие получили доступ, и внедрить проверку подлинности распространяемых торрент-файлов.

В качестве одного из вариантов он предложил криптографическую подпись: владелец репозитория подписывает легитимные файлы, а зависимые площадки и клиенты проверяют подписи и отклоняют подменённые версии. Это предложение эксперта, а не описание уже внедрённой защиты iTorrents.

Экспертный комментарий предоставлен «Группой Астра». На архивной иллюстрации — мероприятие компании, не связанное с описанной атакой.