Regin (вирус)

Regin — компьютерный червь, поражающий компьютеры под управлением операционной системы Microsoft Windows, обнаруженный Лабораторией Касперского^[1] и Symantec в ноябре 2014 года. По оценке представителей «Лаборатории Касперского», первые сообщения об этом вирусе появились весной 2012 года, а самые ранние выявленные экземпляры датируются 2003 годом^[2] (само название Regin впервые появилось на антивирусном онлайн-сервисе VirusTotal 9 марта 2011 года^[3]). Среди компьютеров, зараженных вирусом Regin, 28 % — в России, 24 % — в Саудовской Аравии, по 9 % — в Мексике и Ирландии, и по 5 % в Индии, Афганистане, Иране, Бельгии, Австрии и Пакистане^[4][5].

Согласно статистике «Symantec», 28 % жертв Regin — телекомы, 48 % — частные лица и малый бизнес, остальные 24 % заражённых компьютеров принадлежат государственным, энергетическим, финансовым и исследовательским компаниям. «Лаборатория Касперского» уточняет, что среди частных лиц этот троянец особенно интересовался теми, кто занимается математическими или криптографическими исследованиями^[5].

Regin представляет собой вирус-троянец, использующий модульный подход, который позволяет ему загрузить функции, необходимые для учёта индивидуальных особенностей заражаемого компьютера или сети. Структура вируса рассчитана для постоянного, долговременного целевого наблюдения за многочисленными объектами^[6][7].

Regin не хранит данные в файловой системе заражённого компьютера, вместо этого он имеет свою собственную зашифрованную виртуальную файловую систему (EVFS), которая выглядит как единый файл. В качестве метода шифрования EVFS использует вариант блочного шифра RC5^[7]. Regin осуществляет коммуникации через Интернет с использованием ICMP/Ping, команд, встраиваемых в HTTP cookie и протоколов TCP и UDP, превращая заражаемую сеть в ботнет^[4][8].

«Symantec» и «Лаборатория Касперского» определяют эту программу как Backdoor.Regin^[9]. 9 марта 2011 года компания Microsoft добавила соответствующие записи в свою «Энциклопедию компьютерных вирусов» (англ. Microsoft Malware Encyclopedia^[10][11]). Позже были добавлены ещё два варианта — Regin.B и Regin.C. Microsoft предлагает назвать 64-битные варианты Regin Prax.A и Prax.B.

Эксперты по компьютерной безопасности сравнивают Regin с вирусом Stuxnet по уровню сложности и ресурсоёмкости разработки, в связи с чем высказываются мнения, что вирус мог быть создан на государственном уровне (Symantec прямо говорит о западной спецслужбе) в качестве многоцелевого инструмента сбора данных^[8][12][13].

«Лаборатория Касперского» в своём отчёте о вирусе приводит статистику timestamps (отметок о том, в какое время обновлялся код вируса во время разработки), на основании которой можно сделать вывод, что авторы трояна работают на полный день в офисе, даже с обеденным перерывом^[5].

• Kaspersky Lab’s white paper
• Symantec’s white paper

• Российские интернет-провайдеры оказались заражены новейшим вирусом 24 ноября 2014 — Дождь
• Компьютерный вирус Regin ударил по России и Ирландии 24 ноября 2014 — BBC
• Обнаружен новый «вирус-невидимка», шпионивший за объектами в России и Иране 24 ноября 2014  — news.co.il
• Wired article