Как американская разведка ловила кибермедведя
Когда мы с вами обсуждали Куда подевался след "российских хакеров"? мы выяснили, что многие обвинения во взломах или нарушениях работы каких то систем в США и Европе были опровергнуты самими спецслужбами этих стран. Однако отчет американских спецслужб «О российской вредоносной киберактивности» также известный под названием «Grizzly Steppe» («Степь гризли»), на основании которого строилась и строится вся шумиха был и в общем то есть. На него все продолжают ссылаться. Но что же там все таки за факты содержаться в этом докладе? А то все его обсуждают, но мало кто вдавался в подробности.
Давайте проанализируем техническую часть этого доклада ...
Цель этого документа заключалась даже не в том, чтобы представить доказательства, скажем, вмешательства России в президентские выборы в США, а в том, чтобы предоставить американским организациям возможность обнаруживать шаги российской киберразведки и сообщать об инцидентах правительству США. Он должен показать сетевым администраторам, что именно нужно искать. С этой целью в доклад было включено правило YARA - код, используемый для распознавания вредоносных программ. В докладе говорится о программном обеспечении PAS Tool PHP Web Kit. Некоторые пытливые эксперты в сфере кибербезопасности поискали его в интернете, и оказалось, что эту программу можно было легко скачать с сайта profexer.name. Хотя в понедельник, 2 января, эта программа уже была недоступна, исследователи Feejit, разработчика защитного плагина Wordfence для WordPress, сделали скриншоты этого сайта, на котором с гордостью говорилось, что продукт сделан на Украине.
В докладе сообщается о применении веб-шелла «PAS» для доступа к ресурсам демпартии. Его называют «российским», но известен он с 2011 года, и, более того, он присутствует в открытом доступе. Например, на ресурсе github.com. Об уникальности использования и речи быть не может, так же, как и о какой-либо конкретной группировке, применившей именно этот скрипт.
Стоит отметить, что авторство скрипта приписывают Ярославу Панченко, 25-летнему студенту Полтавского национального технического университета Украины имени Юрия Кондратюка. К такому заключению пришел бывший сотрудник компании Nokia Петри Крохн. В настоящее время профиль Панченко удален со страницы сайта университета.
В это, разумеется, необязательно нужно верить, поскольку в интернете кто угодно может быть откуда угодно. Предполагаемый разработчик этой вредоносной программы активно появляется на русскоязычном хакерском форуме под ником Profexer. Он рекламировал бесплатную программу PAS и благодарил спонсоров, которые жертвовали самые разные суммы, от нескольких долларов до нескольких сотен долларов. Эта программа представляет собой так называемый «вебшел», то есть то, что хакер устанавливает на взломанный сервер, чтобы сделать незаметной кражу файлов и дальнейшие хакерские действия. Подобных программ огромное множество, и PAS «используется сотнями, если не тысячами хакеров, которые чаще всего ассоциируются с Россией, но которые могут находиться в любой точке мира (судя по постам на форумах хакеров)», как на прошлой неделе написал в своем блоге Роберт Грэхэм (Robert Graham) из Errata Security.
Та версия PAS, о которой говорится в правительственном докладе, на несколько версий отстает от текущей.
«Вполне разумно было бы предположить, что агенты российской разведки разрабатывают свои собственные инструменты или, по крайней мере, используют современные вредоносные программы, взятые из внешних источников», - написал Марк Маундер (Mark Maunder) из Wordfence.
И это тоже не слишком разумное предположение. Любой хакер, связан он с российской разведкой или нет, может использовать любые инструменты и программы, которые он находит удобными, включая старую версию бесплатной, разработанной на Украине программы. Даже Xagent, бэкдор, прочно ассоциирующийся с атаками хакерской группы, связанной с российской разведкой - известной как Advanced Persistent Threat 28 или Fancy Bear - может использовать почти любой пользователь, обладающий достаточными знаниями в этой области. В октябре 2016 года компания ESET опубликовала доклад, в котором говорится, что ей удалось обнаружить весь исходный код этой вредоносной программы. Если ESET смогла его получить, другие тоже могут это сделать.
Теперь, когда американское правительство твердо связало PAS c спонсируемыми российским правительством хакерами, это стало приглашением для любого второстепенного злоумышленника использовать данную программу (или Xagent, который также упоминается в докладе) для того, чтобы выдавать свои противоправные действия за деятельность российской разведки. Делу не помогло и то, что власти США опубликовали список IP-адресов, связанных с атаками Москвы. Большинство из них не имеют очевидных связей с Россией, а часть из них - это выходные узлы анонимной сети Tor, которая является частью инфраструктуры Темной паутины. Использовать их мог кто угодно и откуда угодно.
Установлена географическая принадлежность управляющих центров распространения вредоносного ПО - всего 213. Из них 54 находились в Северной Америке, 72 в Европе, 70 в Азии, 2 в Африке, 2 в Южной Америке, а местоположение 13 идентифицировать не удалось.
Анализ контрольных сумм вредоносных файлов показал, что они относятся к различным семействам вредоносного ПО, широко используемого злоумышленниками.
Backdoor.Win32.Miniduke
Программа для кибершпионажа в госструктурах по всему миру. О ней стало известно в 2013 году. Применялась при атаках на государственные учреждения Бельгии, Венгрии, Ирландии, Португалии, Румынии, США, Украины и Чехии. Зафиксировано «Лабораторией Касперского», «Symantec», «F-Secure» и другими компаниями, работающими на рынке информационной безопасности.
Trojan-PSW.Win32.Fareit
Вредоносную программу впервые выявили в 2014 году. Использовалась злоумышленниками для краж персональных данных и загрузки дополнительных вредоносных программ. Основные страны, пострадавшие от атак с применением Trojan-PSW.Win32.Fareit, - Россия, Германия, Индия, ОАЭ и США. В числе прочих, программа была выявлена и компанией «Microsoft».
Backdoor.PHP.Agent.aax
Применение вредоносной программы выявили в 2012 году. Используется злоумышленниками для заражения систем управления контентом (CMS) «Joomla!» для перенаправления на сторонние ресурсы.
В отчете приведен перечень из 876 IP-адресов. Однако при проверке удалось выяснить, что только 77 из них зарегистрированы на территории РФ. Кроме того, 31 адрес включен в черные списки, опубликованные в открытом доступе. Причем, местоположение указано только в 25% случаев, в 44% речь идет об узлах-входах в анонимную сеть «Tor».
Кстати, в перечне «альтернативных названий российских государственных и гражданских структур» присутствуют наименования вредоносного ПО (например, «Havex» и «BlackEnergy v3»), а также некоторые функции «PowerShell Backdoor» и исполняемого файла «VmUpgradeHelper.exe». Многие другие названия указанных хакерских группировок являются синонимами: например, «APT28», «Sofacy» и «SEDNIT» - одна и та же группа.
Эксперты считают, что опубликованная техническая часть американского доклада говорит о невозможности определить авторство кибератак на ресурсы Демократической партии США. В документе отсутствуют сведения о новых методах взлома, а также об использовании «уязвимостей нулевого дня» (0day). На данный момент самой известной вредоносной программой, использовавшей в сумме 4 уникальных уязвимости, считают червь «Stuxnet».
Термин «уязвимость нулевого дня» произошел от обстоятельства, когда уязвимость или атака становится публично известной до момента выпуска производителем программного обеспечения исправлений ошибки. Такие уязвимости влекут за собой появление новых способов распространения вредоносного ПО, что и используют злоумышленники.
Примечательно, что 10 января 2017 года на заседании Специального комитета Сената США по разведке директор ФБР Джеймс Коми заявил, что его ведомство не обладало доступом к серверам и другим устройствам Демпартии в ходе расследования инцидента, связанного с кибератаками во время президентских выборов в США.
Эксперты полагают, что отчет «Grizzly Steppe» основан на расследовании инцидента, проведенном связанной с ФБР США частной компанией «Crowdstrike», и ранее публиковавшей обвинения в адрес России. Примечательно также и то, что гендиректор компании Альперович является ведущим сотрудником «Атлантического совета», известного антироссийскими настроениями. Организацию финансирует Госдеп США, структуры НАТО, правительство Латвии, «Украинский всемирный конгресс» и другие.
Например, в декабре 2016 года «Crowdstrike» заявили о внедрении российской военной разведкой закладок в программное обеспечение для корректировки артиллерийского огня, что в результате привело к потерям 80% гаубиц Д-30. Причем эту информацию в Минобороны Украины официально опровергали.
В итоге можно сказать, что все заявления Вашингтона о «русских хакерах» не имеют доказательств, не обоснованы и логически противоречивы. Опубликованные технические детали свидетельствуют о низком уровне защиты ресурсов Демократической партии, а взломы осуществлены несвязанными друг с другом хакерскими группировками, использующими свободно гуляющими по сети вредоносными программами.
После публикации доклада практически сразу было выяснено, что сделан он был частной компанией "Crowdstrike". Одним из главных лиц в «Crowdstrike» является Дмитрий Альперович, известный тем, что он в своё время занимался и публикацией докладов о вмешательстве «китайских хакеров» в деятельность США и международных институтов, включая МОК.
Особое внимание обращает на себя тот факт, что Альперович является сотрудником Атлантического совета. Того самого совета, который с момента своего создания основную деятельность основывал на антисоветских позициях, а после распада СССР быстро встал и на антироссийскую колею. Известно (в том числе и американскому сегменту Википедии ...), что совет имеет тесные контакты с так называемым Всемирным конгрессом украинцев, так же не сходящим с пути русофобии.
В отчёте «Crowdstrike» заявлено, что в течение почти двух лет (в 2015 и 2016 годах) серверы Демпартии США подвергались систематическим атакам двух хакерских групп APT28 и APT29. При этом в докладе, как обычно - без каких-либо доказательств, объявляется, что действия групп координировались властями РФ. Между тем, независимые эксперты, изучавшие доклад в части направлений деятельности упомянутых хакерских объединений, собрали информацию о том, что «кибер-Перл-Харбор» Демпартии устраивали из более чем двух сотен центров распространения вредоносного софта. Самое интересное заключается в том, что около 50 центров атак располагались в самих Соединённых Штатах. Получается, что АНБ заказало доклад, из которого специалисты легко делают вывод о том, что само же Агентство прощёлкало координацию действий хакеров, использовавших аппаратные структуры на территории страны, безопасность которой и призвано охранять АНБ...
Получается, что таким докладом, который из-под грифа «секретно» американские же СМИ перевели в статус «общедоступно», сами себя и высекли... Уши откровенной «халтуры» и желания притянуть за уши выгодные окружению и спонсорам Х.Клинтон факты торчат столь откровенно, что никакой Альперович из Атлантического совета не поможет их сокрыть.
[источники]источники
http://inosmi.ru/politic/20170105/238483481.html
https://sm-news.ru/news/analitika/amerikanskiy-otchet-o-rossiyskikh-khakerakh-gotovila-chastnaya-kompaniya/
http://www.gosrf.ru/news/28251/