Z analiz przeprowadzonych przez pracowników RSA wynika, że włamywacze (lub włamywacz) starannie zaplanowali całą operację. Wyselekcjonowali dwie grupy pracowników firmy i wysłali do nich spreparowane e-maile, wyglądające jak korespondencja z działu kadr. Do wiadomości były załączone dokumenty MS Excel - pliki o nazwie 2011 Recruitment plan.xls.

Każdy z takich dokumentów zawierał osadzony plik Flash, wykorzystujący nieznaną wcześniej lukę (zero-day) w zabezpieczeniach Adobe Flash Playera. Po otwarciu pliku uaktywniał się złośliwy kod, który instalował w systemie program o nazwie Poison Ivy, czyli narzędzie do zdalnego zarządzania systemem (remote administration tool - RAT). Wiadomo, że co najmniej jeden pracownik RSA dał się oszukać i otworzył ów dokument.

Zobacz również:

• Hakerzy włamali się do znanego polskiego sklepu internetowego

Poison Ivy posłużył włamywaczom do przejęcie loginów i haseł pracowników firmy - dzięki nim mogli buszować po firmowych zasobach i wykradać wszelkie interesujące ich informacje (dane te przesyłano na zdalny serwer). Dodajmy, że przedstawiciele RSA wciąż nie poinformowali, jakie dokładnie informacje zostały skradzione - firma przyznała jedynie, że incydent ten mógł "ograniczyć skuteczność" systemu zabezpieczającego SecurID.

Informacje opublikowane teraz przez RSA dowodzą, że firma wiedziała o ataku na kilka dni przed tym, jak oficjalnie przyznała, iż stała się jego celem. Adobe o błędzie wykorzystanym podczas ataku poinformował 14 marca - a atak na RSA ujawniony został dopiero trzy dni później. Po kolejnych trzech dniach - 21 marca - Adobe udostępnił poprawkę usuwającą lukę.

Warto przypomnieć, że krótko po ujawnieniu ataku przedstawiciele RSA tłumaczyli, że atak na ich firmę było "skomplikowany i wielostopniowy" - ale ujawnione właśnie informacje nie do końca potwierdzają tę tezę. Metoda zastosowana przez włamywacza (włamywaczy) była wręcz banalna i standardowa - wysyłanie zainfekowanych załączników to od lat jeden z najczęściej wykorzystywanych przez przestępców sposobów wprowadzania do firm złośliwego oprogramowania.