Equation Group (angleško: Skupina za enačbe) je sofisticirana hekerska skupina, ki je odgovorna za različne izrabe računalniškega omrežja (Computer Network Exploitation - CNE ). Označimo jo lahko za napredno trajno grožnjo – to je skupek oz. niz prikritih in kompleksnih hekerskih aktivnosti, katerih namen je napad na točno določeno informacijsko infrastrukturo. S tem želijo storilci (hekerji) pridobiti dostop do točno določenih občutljivih podatkov.
Dokazi o obstoju skupine segajo v leto 2001, možno pa je, da delujejo že od leta 1996, saj so bile takrat registrirane prve domene njihovih nadzornih centrov. Uporabljajo raznoliko zlonamerno programsko opremo, ki po kompleksnosti in dodelanosti v veliki meri presega grožnjo Regin (hekersko orodje, ki ga najpogosteje uporablja NSA). Slednja velja za eno najbolj dodelanih hekerskih orodij.
Ime Equation Group izhaja iz njihove uporabe enkripcijskih algoritmov, strategij zavajanja in sofisticiranih metod, ki jih uporabljajo med hekerskimi aktivnostmi.
Glede na to, da se Equation group ni nikoli izpostavila v javnosti ali podala uradne izjave, je njihov namen nejasen. Glede na posredno povezavo z NSA lahko domnevamo, da je njihov namen globalno proameriško zbiranje informacij in delovanje v korist ZDA. To potrjujejo tudi napadi, ki so usmerjeni pretežno na Rusijo, Savdsko Arabijo in Mehiko.
Do sedaj je bilo identificiranih več različnih zlonamernih programskih oprem, ki jih uporablja izključno Equation Group. To so:
Spodaj so naštete ranljivosti, ki jih je izrabljala skupina Equation Group, odkril pa jih Kaspersky Lab. Nekatere med njimi so že bile odpravljene. Te so:
Skupina uporablja več tehnik, s katerimi okuži žrtve. Te vključujejo:
Zlasti so zanimivi napadi z uporabo fizičnih medijev (CD-Romov), saj nakazujejo na uporabo tehnike prestrezanja, kjer napadalci prestrežejo pošiljko blaga in ga zamenjajo z okuženo verzijo. To se je zgodilo udeležencem znanstvene konference v Houstonu. Po vrnitvi domov, so prejeli kopijo CD-ROM/zgoščenke/diska z materiali s konference, ob uporabi tega diska, se je na računalnik naložila programska oprema DoubleFantasy. S tem je skupina pridobila dostop do okuženih računalnikov. Metode, ki jih uporabljajo za prestrezanje CD-jev so še vedno neznane.
Žrtve napadov prihajajo iz več kot trideset različnih držav po celem svetu. Do sedaj so odkrili napade v Belgiji, Franciji, Nemčiji, Rusiji, Združenem kraljestvu Velike Britanije in Severne Irske, Švici, Mehiki, Združenih državah Amerike, Afganistanu, Iranu, Siriji, Kazahstanu, Hong Kongu, Maleziji, Združenih Arabskih Emiratih, Iraku, Libiji, Somaliji, Nigeriji, Ekvadorju, Sudanu, Libanonu, Palestini, Singapurju, Katarju, Pakistanu, Jemnu, Maliju, Bangladešu, Južno Afriški Republiki, Indiji, Braziliji in na Filipinih.
Equation Group svoje napade in aktivnosti primarno usmerja v tarče, ki upravljajo s pomembnimi podatki na najvišjih nivojih države ali gospodarstva. Med najpogostejše tarče sodijo:
Veliko okužb z zlonamernimi programi skupine Equation Group je bilo zaznanih na strežnikih, pogosto na krmilnikih domen, bazah podatkov in spletnih gostovanjih. Hkrati imajo okužbe vkodirane mehanizme za samouničenje. Povprečno, naj bi bili odgovorni za približno 2000 napadov na uporabnike na mesec. Sama okužba nujno še ne pomeni izrabe - če okužena žrtev ni tarča skupine, z napadom ne nadaljujejo.
Equation Group ima obširno nadzorno infrastrukturo, ki vključuje več kot 300 domen in 100 strežnikov, ki gostujejo po vsem svetu. Znani so strežniki v ZDA, Veliki Britaniji, Italiji, Nemčiji, na Nizozemskem Panami, Kostariki, Kolumbiji in na Češkem.
Vse domene nadzornih centrov naj bi bile registrirane preko večjih ponudnikov domen (npr. Domains by Proxy), da zakrinkajo lastne podatke.
Skupina Equation Group izbera žrtve z izjemno natančnostjo, njihov namen pa je navadno onemogočiti delovanje tarče ali pridobiti zaupne informacije. V nekaterih primerih, ko usmerjen napad ni potreben oziroma mogoč, izbirajo žrtve s pomočjo potrjevalnega trojanskega konja DOUBLEFANTASY.
Direktor ekipe za raziskovanje in analizo zaposlen v podjetju Kaspersky Lab Costin Raiu o Equation Group pravi: "Menim, da ima Equation Group najbolj kul igrače. Vsake toliko jih delijo s skupinama Stuxnet in Flame. Oni so definitivno mojstri in to kar delijo z drugimi so le kruhove drobtinice."[3]
Glede na analizo, ki jo je opravilo podjetje Comae Technologies segajo primeri vdorov Equation Group v gospodarsko vplivna podjetja in kraje njihovih dokumentov v leto 2013. Ti dokumenti vsebujejo različna orodja za kontrolo usmerjevalnikov in požarnega zidu podjetij Cisco Systems, Juniper, Fortigate in Topsec (Kitajska). Neodvisna analiza, ki jo je opravilo podjetje Risk Based Security pa je ugotovila, da je IP naslov s katerega naj bi bil izveden napad vseboval podatke o IP naslovu, ki pripada ameriškemu ministrstvu za obrambo[4]
Po poročanju Ars Technice leta 2015 naj bi Equation Group izvajala ene izmed najbolj dovršenih znanih hekerskih operacij na svetu. Uporaba iste ranljivosti ničtega dne v črvu Stuxnet, ki je prekinil iranski nuklearni program in v zlonamerni programski opremi Flame, ki je delovala predvsem na Bližnjem Vzhodu, in v zlonamerni programski opremi Equation Group, demonstrira jasno povezavo med Equation Group in NSA [5].