Вы используете устаревший браузер!

Страница может отображаться некорректно.

Шпиономания

Шпиономания

Другие выпуски этой рубрики (55)
  • добавить в избранное
    Добавить в закладки

Кто вы, мистер хакер?

Прочитали: 8968 Комментариев: 57 Рейтинг: 146

20 апреля 2017

«Русские хакеры», судя по всему, всемогущи. В любой резонансной атаке почему-то с легкостью обнаруживаются следы Fancy Bears и аналогичных групп.

Хакеры, которые по меньшей мере год изнутри следили за содержимым компьютеров Национального комитета Демократической партии, были не простыми киберпреступниками. Их подозревают в совершении ряда резонансных атак на США и другие западные страны за последние почти десять лет. Теперь исследователи утверждают, что они напрямую связаны с российскими разведывательными агентствами.

https://www.inopressa.ru/article/16Jun2016/csmonitor/Bear.html

Один из главных соперников президента Трампа, сенатор Марко Рубио: «В июле 2016 года, вскоре после того, как я объявил, что буду добиваться переизбрания в сенат США, бывшие члены моей президентской кампании, имевшие доступ к внутренней информации моей президентской кампании, были атакованы из неизвестного местоположения в России».

http://www.securitylab.ru/blog/personal/tsarev/341553.php

Исследовательские подразделения есть (заявляются) у многих отечественных ИБ-компаний, в том числе и предлагающих услуги SOC, то есть в теории имеющих опыт, как минимум, расследования инцидентов, а может быть и атрибуции киберугроз. И они тоже молчат. Почему?

http://www.securitylab.ru/blog/personal/Business_without_danger/333612.php

Оставим на совести заявителей утверждение об атаках из «неизвестного местоположения в России». Читатели проекта «Антивирусная правДА!» хорошо знают, что атаку можно произвести и с арендованного в дата-центре сервера, и со взломанного компьютера. И то, и другое может быть расположено на территории «нужной» страны. Кроме того, иногда после громкого заявления следует тихое опровержение или грамотный разбор аргументов.

Еще одно деяние «страшных русских хакеров»: атака на французский телеканал TV5Monde в апреле. По словам неких экспертов, данная атака, из-за которой канал фактически не работал два дня и понес 17 млн долларов убытков, тоже дело рук загадочной группировки APT28, хотя ответственность за инцидент опять же брали на себя исламиcты.

https://xakep.ru/2015/10/15/russian-hackers


Что в итоге легло в основу американской уверенности, что за атаками на демпартию и другие федеральные информационные системы стоят «русские»?

  1. Web shell под названием PAS Tool PHP Web Kit, разработанный в Украине и активно рекламируемый на русскоязычных хакерских форумах. С другой стороны, тот же Роберт Грэм из Errata Security пишет, что этот софт используется сотнями, если не тысячами, хакеров по всему миру.
  2. Вредоносное ПО Xagent, прочно увязываемое с русскими хакерами. Правда, найти его может любой желающий и квалифицированный специалист. Вон, ESET его получила и проанализировала.
  3. Большое количество IP-адресов, принадлежащих российскому оператору связи Yota, который еще и принадлежал бывшему заместителю министра связи, то есть лицу, приближенному к властям. Yota занимает первое место в списке операторов связи, владеющих IP-адресами из списка DHS. Из 876 адресов 44 принадлежит Yota (еще 5 Ростелекому). С другой стороны, если отбросить привязку к операторам связи, то по географической привязке именно в США находится наибольшее число задействованных в атаке "русских" IP-адресов. А 15% всех адресов и вовсе связаны с Tor, то есть любой желающий мог скрыть свою активность за этой анонимной сетью.
  4. Наибольшая активность хакеров происходила в те моменты, когда в Москве было рабочее время. Этот атрибут не упоминается в отчете DHS, но приводился в расследовании CrowdStrike и Mandiant. Я уже не раз писал, что Москва - это еще не вся Россия, а в московском часовом поясе также находится Ирак с Ираном, которые могут иметь зуб на США. Ну а в соседнем часовом поясе находится Турция, Сирия, Ливия, которые тоже не очень расположены к заокеанским "партнерам".
  5. Русскоязычные комментарии, использование сайтов с русскоязычным интерфейсом и файлы, созданные в ОС/ПО с поддержкой русского языка. Также отсутствующий в отчете DHS, но упоминаемый в других исследованиях атрибут. В мире русским языком владеет около 300 миллионов человек, что ставит его на 5-е место по распространенности в мире и на 2-е в Интернет. Родным его считают 160 миллионов человек и не только в России. Так что "русская Винда" могла стоять на компьютере не только в России. Хотя я прекрасно понимаю, что под термином "русский" американцы давно уже понимают всех выходцев из бывшего СССР, в том числе и не являющихся гражданами Российской Федерации.

http://lukatsky.blogspot.ru/2017/01/blog-post_11.html

А время от времени появляется и совсем интересная информация:

В пятницу, 31 марта (прим. ред. — 2017 год), портал WikiLeaks опубликовал третью часть секретных документов ЦРУ. Третья серия обнародованных документов содержит 676 файлов исходного кода секретного инструмента для обхода криминалистической экспертизы Marble Framework. Инструмент представляет собой обфускатор или упаковщик для сокрытия истинного происхождения используемого ЦРУ вредоносного ПО.

Marble Framework содержит ряд различных алгоритмов, с умышленно добавленными в исходный код иностранными словами. Текст на иностранном языке должен сбить с толку криминалистов и направить их по ложному следу. С помощью инструмента ЦРУ могло выдавать свои атаки за атаки русских хакеров, северокорейских и пр.

В утекших файлах исходного кода встречаются слова на китайском, русском, корейском, арабском языках, на фарси и на английском. Как поясняет WikiLeaks, к примеру, ЦРУ хотело показать, будто родным языком автора вредоносного ПО является не английский, а китайский. Тем не менее, управление делало вид, будто китаец пытался скрыть свой родной язык, замаскировавшись под кого-то другого.

http://www.securitylab.ru/news/485754.php

И это – всего лишь одна утечка. Скорее всего, аналогичные инструменты имеются не только у ЦРУ.

#хакер #технологии

Антивирусная правДА! рекомендует

После прочтения подобных новостей сложно делать какие-то определенные выводы – для этого просто не хватает информации — а вот посоветовать можем: делая собственные выводы, относитесь к источникам информации внимательно и по возможности критично. Используйте для этого в том числе и новые знания, которые вы получаете, читая выпуски нашего проекта.

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: