Команда приходила зачастую с новыми модулями, написанными под новое задание. Всего с 2007 года специалисты обнаружили более 1000 файлов, относящихся к 30 различным «тематикам» (до последнего момента проект Red October продолжал работать, самые свежие шпионские модули датированы 8 января).
В этом еще одно радикальное отличие Red October от традиционной киберпреступности — интеллект человека-оператора. Точнее, целого аналитического отдела. Так считают в «Лаборатории Касперского». Хотя наличие госзаказчика у операции Red October не доказано, трудно поверить, что обычные киберпреступники возьмутся за такую задачу. Парочкой яйцеголовых программистов, которые у них обычно имеются, тут явно не обойтись. Нужна группа разработчиков, одновременно действующих по десятку направлений, плюс IT-архитектор. Аутсорсеры из числа вольных хакеров, то есть неизвестные виртуальные личности под никами, для таких задач не годятся — они склонны поскорее сбыть краденое, как только на горизонте появится покупатель, и надежно хранить чужое добро не приучены. «У них на ресурсах свежие данные подчас свалены кучей, не то что незашифрованные, иногда даже просто в открытом доступе»,— рассказывает Виталий Камлюк. В общем, как все романтики с большой дороги, эти «специалисты» крайне ненадежны в плане долгосрочных рабочих отношений.
Бывалый ботовод сгодится разве что на роль архитектора шпионской сети, хотя интернет-структура Red October покруче мощного ботнета: более 60 доменных имен использовалось атакующими для кражи данных. Домены размещались на нескольких десятках IP-адресов, расположенных в основном в Германии и России, а подключения происходили из 40 стран. Мозговой центр — командный сервер, который собирал все похищенные данные и отдавал команды на продолжение изысканий, — скрыт за цепочкой прокси-серверов и подчиненных управляющих серверов. Но за какую зарплату удачливый ботовод согласится на эту работу? Эти парни слишком любят деньги. Для успешных преступников, поясняет Сергей Никитин, замруководителя лаборатории компьютерной криминалистики Group-IB, около миллиона долларов в месяц на группу из 4—5 человек — это норма. Так что, полагает Сергей Никитин, бизнес-модели киберпреступников и массовых заказных целевых атак разнятся настолько, что практически неизвестны случаи, когда команды киберворов переключались на целевые атаки. К тому же не хватает технологии еще одного типа.
Попасть в молоко
Очень плохо обстоят сегодня дела со средствами точного наведения на заранее заданный компьютер: невозможно быть уверенным, что у заданной цели имеется именно та уязвимость, для которой атакующий приготовил свой эксплойт. Это пока удерживает мир от того, чтобы кибероружие продемонстрировало свой разрушительный потенциал. Но работа идет именно в этом направлении, уверены в «Лаборатории Касперского».
Горячей точкой планеты вначале стал Иран, а потом прилегающие к нему другие страны Западной Азии. Вслед за политической напряженностью в эту сторону направилась и активность в создании кибернетических конструкций: легендарный Stuxnet обрушился на центрифуги завода в Иране. Следом появились шпионские программы Flame и Gauss, заражавшие тысячи компьютеров, но концентрировавшие свои усилия в Иране, Судане и Ливане и позволявшие атакующим выбрать наиболее интересные цели. После чего на сцене появился вредонос SPE (miniFlame) — высокоточный инструмент шпионажа, число жертв которого исчисляется всего лишь десятками. «Разные его варианты проявляются в разных странах: один больше распространен в Ливане и Палестине, другие — в Иране, Кувейте и Катаре», — отмечает Виталий Камлюк. Идет отладка технологий точного наведения кибероружия.
Пока глобальным шпионажем занимаются лишь одиночные команды, руководимые, судя по всему, государством и далеко в своих изысканиях не продвинувшиеся. И это хорошая новость: «кибердиспансеризация» критически важной инфраструктуры, которую проводят друг для друга разные страны, показывает, что для хорошей защиты от шпионов достаточно IT-директорам ключевых госструктур заняться своими прямыми обязанностями. Тогда на засекреченные компьютеры аэрокосмического агентства США не будут попадать трояны Gozi российского происхождения. Но есть и вторая новость: станет гораздо хуже, когда производство заказных шпионских систем будет поставлено на коммерческий поток.
На войне как на войне
Шпионаж — дело предельно деликатное. «К примеру, троянская программа Flame не обнаруживалась антивирусами в течение двух лет, поскольку по своей структуре данное ПО очень похоже на обычные программы, имеющиеся на любом компьютере»,— напоминает Максим Григорьев, ведущий специалист по информационной безопасности Positive Technologies. «Подобные шпионы малозаметны, они умеют «прятаться» в системе, не выдавая своего присутствия, — добавляет Кирилл Леонов, представитель «Доктор Веб». И еще. Шпионам, как и преступникам, как воздух потребно анонимное существование в Интернете и использование чужестранных IP-адресов. В этом заинтересованы также политики и идеологи информационных войн. Имела место кибератака или нет? Все зависит от того, как подать это в СМИ. «Кто стоит за каждой конкретной атакой: хулиганы-одиночки, организованные преступники, компания-конкурент, свое или другое государство — в виртуальном пространстве понять сложно, все активно маскируются друг под друга», — замечает Рустэм Хайретдинов, глава компании Appercut Security. Выход один. «Будет усиливаться борьба с анонимностью, что может привести к появлению в киберпространстве эдакой нейтральной Швейцарии»,— говорит Николай Федотов, главный аналитик InfoWatch. Рустэм Хайретдинов подтверждает: «Некоторые страны примеряют на себя роль «цифровых офшоров» — мест, где решения большинства стран касательно киберпреступников не будут действовать».
Читать дальше
