A Turla egy képzett kiberkém csoport, amely már több mint 8 éve aktív. A Turla támadói több száz számítógépet fertőztek meg 45 országban, többek között Kazahsztánban, Oroszországban, Kínában, Vietnámban és az Egyesült Államokban. A támadást elszenvedett szervezetek között vannak kormányzati intézmények, nagykövetségek, katonai, oktatási és kutatóközpontok, valamint gyógyszeripari cégek. A kezdeti szakaszban az Epic backdoor program profilírozza az áldozatokat. Kizárólag a legmagasabb besorolású célpontok esetében a támadás későbbi fázisaiban a támadók kiterjedt mĹąholdas kommunikációs mechanizmust használnak, amely segít elrejteni a nyomaikat.

A mĹąholdas kommunikáció leginkább a televíziós mĹąsorszórás és a biztonságos kommunikáció eszközeként ismert, de internetszolgáltatáshoz is használják főként olyan távoli helyeken, ahol az internethozzáférés más módszerei lassúak és megbízhatatlanok, vagy egyáltalán nem érhetők el. Az egyik legelterjedtebb és legolcsóbb mĹąhold alapú internet kapcsolat az úgynevezett “downstream-only” hozzáférés.

Ebben az esetben a felhasználó kimenő kérései hagyományos módon (vezetékes vagy GPRS kapcsolaton) jutnak célba, míg az összes bejövő forgalom a mĹąholdról érkezik. Ez a technológia lehetővé teszi a felhasználó számára a viszonylag gyors letöltési sebességet, azonban van egy nagy hátránya: az összes beérkező forgalom kódoltalanul jut el a számítógépre. Bármely rosszindulatú felhasználó a megfelelő, olcsón megvásárolható berendezés és szoftver birtokában könnyedén kiszimatolhatja az internetforgalmat, és hozzáférhet minden adathoz, amelyet a felhasználók ily módon töltenek le.

A Turla csoport másképpen használja ki ezt a gyengeséget: ennek segítségével rejti el a parancs és vezérlő (C&C) szerverei elhelyezkedését. Ezek a szerverek az egyik legfontosabb részei a rosszindulatú infrastruktúrának. A C&C szerver lényegében a megcélzott gépekre telepített rosszindulatú programok bázisaként szolgál. Egy ilyen szerver helyének felfedezése elvezetheti a nyomozókat a kiberkémkedést irányító hackerekhez. A Turla csoport az alábbi módon kerüli el ennek a kockázatát:

1. A csoport először „belehallgat” a mĹąholdas adatforgalomba, hogy azonosítsa a mĹąholdas internetet éppen használók IP címét.

2.Ezután kiválasztanak egy online IP címet, amely alá elrejtik a C&C szervert a felhasználó tudta nélkül.

3. Ezután a Turla által megfertőzött gépek utasítást kapnak, hogy küldjenek adatokat a mĹąholdas kapcsolatot igénybe vevő, kiválasztott felhasználók IP címére. Az adat hagyományos vonalakon halad a mĹąholdas internet szolgáltatóhoz, majd felkerül a mĹąholdra, végül a mĹąholdról a kiválasztott IP címekre.

Érdekes módon, a legális felhasználó, akinek az IP címét a támadók a fertőzött gépekről való adatfogadásra használták, ugyancsak megkapja ezeket az adatcsomagokat, de szinte sosem veszi észre ezeket. Ez azért van, mert a Turla támadói utasítják a fertőzött gépeket, hogy olyan portokra küldjék az adatokat, amelyek az esetek többségében alapértelmezés szerint le vannak zárva. Így a számítógép egyszerĹąen eldobja ezeket a csomagokat, míg a Turla C&C szervere, amely nyitva tartja ezeket a portokat, fogadja és feldolgozza a beérkező adatokat.

Egy másik érdekessége a Turla taktikájának, hogy közel-keleti és afrikai országok mĹąholdas szolgáltatóit használja. A vizsgálatok során a Kaspersky Lab szakértői észrevették, hogy a Turla csoport által használ IP címek többek között olyan országokban találhatók, mint Kongó, Libanon, Líbia, Niger, Nigéria, Szomália és az Egyesült Arab Emírségek.

Az ezen országok operátorai által használt rádióhullámok általában nem foghatók Európában és az észak-amerikai területeken, nehézzé téve így a legtöbb biztonsági kutatónak, hogy kivizsgálja ezeket a támadásokat.

„A múltban legalább három különböző támadót láttunk, amely mĹąholdas alapú internetes linkeket használt mĹąködése leplezésére. Ezek közül a Turla által kidolgozott megoldás a legérdekesebb és a legszokatlanabb. Képesek elérni a legmagasabb szintĹą anonimitást, kihasználva egy széles körben alkalmazott technológiát – az egyirányú mĹąholdas internetet. A támadók bárhol lehetnek a kiválasztott mĹąholdas tartományban, amelynek mérete meghaladhatja akár a több ezer négyzetkilométert is,” mondta Stefan Tanase, a Kaspersky Lab vezető biztonsági kutatója. „Ez szinte lehetetlenné teszi a támadó kézre kerítését. Mivel ezek a módszerek egyre népszerĹąbbé válnak, fontos, hogy a rendszergazdák foganatosítsák a megfelelő védelmi óvintézkedéseket  ezen támadások elhárítására.”

A Kaspersky Lab termékei sikeresen azonosítják és blokkolják a Turla által használt malware-eket, amelyek a következő neveket kapták: Backdoor.Win32.Turla.*, Rootkit.Win32.Turla.*, HEUR:Trojan.Win32.Epiccosplay.gen, HEUR:Trojan.Win32.Generic.