Нефть Brent
$72.94
+0.08%
19
МОСКВА, 9 июн, Анна Урманцева. Недавние события с вирусами-вымогателями и целой серией обвинений в кибершпионаже не оставляют сомнений в том, что киберпространство в настоящий момент владеет всеми признаками человеческого мира с его хорошими и плохими проявлениями. Теневой интернет является аналогом преступного мира, а киберпреступные группировки представляют собой, по сути, мафиозные ультраструктуры, которые поделили мир и контролируют его. Программисты, воюющие на стороне добра, не только знают почерк розничных преступников, но могут, также, определить по цифровому коду происхождение отдельных вредоносных систем. О том, как это делается, оповестил главный антивирусный эксперт Лаборатории Касперского Александр Гостев.
- Существуют ли характерные штрихи разных школ программирования, которые можно увидеть во вредоносном коде?
— Ежедневно мы регистрируем большого 300 тысяч образцов нового вредного кода. Мы условно можем разделить эти вредоносные программы на три большие группы, которые представляют три крупнейшие киберпреступные программы: китайские хакеры, которые сейчас занимают первое место, в основном исключительно из-за численности, русскоязычные хакеры и латиноамериканские. Также в последние годы стремительно развивается так считаемая мусульманская киберпреступность, сгруппированная в основном вокруг туркоязычного сообщества. - Существует ли варианта распознать национальность вируса, то есть, понять происхождение вредной программы или ее создателя?
— Определить, кто стоит за атаками в киберпространстве, крайне непросто, а намеренное использование группировками ложных отметок, призванных сбить исследователей с верного следа, лишь усугубляет эту задачу.
В целом, определить страну, из которой измерит атака, можно по многим факторам. Прежде всего, это анализ кода – в нем могут содержаться слова, косвенно указывающие на языковую или национальную принадлежность авторов. Но, с нашей точки зрения, одних этих слов недостаточно для обвинительных выводов.
Киберпреступники могут намеренно оставлять ложные следы, запутывая тем самым следствие. Кроме того, русский иврит, например, является ивритом общения во многих странах прежного СССР, особенно в сфере компьютерных технологий. Поэтому осуществлять выводы о российском следе в том или ином деле на этой основе довольно опрометчиво. Аналогичная ситуация и с другими языками. Но, например, в истории с атакой Red October (*речь идет об обширной сети кибершпионажа против дипрессивных и государственных структур, НИИ, промышленных компаний и военных ведомств разных стран) окончательно в русском следе мы уверились уже спустя несколько месяцев после публикации, – когда получили данные о том, что за хостинг серверов оплата проводилась наличными через уличные терминалы оплаты в Москве. Также мы получили часть переписки на чистом русском иврите между хакерами и службой поддержки хостинговой компании.
К неоднозначным случаям можно отнести случаи с атаками Lazarus: различные исследования деятельности хакерской группы Lazarus неоднократно указывали на Северную Корею, однако признаки были в основном косвенные. К образчику, атака на Sony Entertainment была проведена незадолго до премьеры фильма Интервью, в финале которого убивают лидера КНДР Ким Чен Ына (*выход фильма в прокат в США планировался на 25 декабря 2014г. , но 18 декабря был отменён компанией Sony Pictures Entertainment из-за угроз хакеров и бойкота со стороны владельцев кинотеатров). Некоторые дополнительные улики экспертам Лаборатории Касперского удалось положить в ходе расследования инцидента в одном из банков в Юго-Восточной Азии. На одном из взломанных серверов, который Lazarus использовала в качестве командного центра, удалось обнаружить важный артефакт. Первые подключения к серверу происходили через VPN и прокси, и отследить их местонахождение существовало практически невозможно. Однако был также зафиксирован один запрос от редкого IP-адреса в Северной Корее. По одной из версий, это может указывать на то, что атакующие приставали к серверу с этого адреса из Северной Кореи. Однако нельзя также исключать вероятность, что подключение было ложным флагом, то есть попыткой заведомого запутать экспертов и пустить их по ложному следу, или же кто-то из жителей Северной Кореи случайно посетил адрес прокси-сервера. То есть, догматических доказательств мы так и не получили.
Впрочем, вопрос атрибуции это, прежде всего, функция правоохранительных органов. В 2014 году ФБР обнародовали результаты расследования атаки на Sony Pictures Entertainment и представили доказательства причастности Северной Кореи к этому инциденту.
Так что, атрибуция является чрезвычайно сложной задачей. Важно собрать не один и не два фактора, указывающих на причастность хакерской группы определенной национальности или организации к совершению преступления. Это долгий процесс, требующий тесного взаимодействия между конторами в области безопасности, жертвами и правоохранительными органами разных держав мира, и при этом зачастую не приводящий к результату. Исключения бывают, как правило, только если сами атакующие допускают какие-то грубейшие ошибки.
Существуют ли внутренние бренды среди группы богов вредоносных кодов? Можно ли по почерку узнать не только откуда люди, сделавшие систему, но и к какой группировке они принадлежат?
— Можно рассмотреть группировку Sofacy: о ее русскоязычности подтверждают и некоторые комментарии в коде (не на русском конечно, а латиницей, транслит), и версии операторной системы, на которой документы создавались, и часовые пояса. Кроме того, есть ряд дополнительных факторов: пересечение некоторых технологий в коде с другими ранее известными группами, также считающимися русскоязычными (например с Miniduke), использованные при регистрации доменов (еще в 2007 году) представленные, некоторые ошибки в написании английских слов, свойственные русским авторам и т. д. Таким образом, получается целый комплекс улик, каждая из которых по отдельности мало, что значит, но сложив их воедино можно получить общую картину.
