И снова пришло время для публикации нашего традиционного обзора
ключевых событий, ставших определяющими для ситуации в области
IT-безопасности в 2013 году. Но давайте сначала вспомним, что, согласно
нашему прогнозу, составленному на основе тенденций предыдущего года,
должно было определять ситуацию в 2013 году.
- Целевые атаки и кибершпионаж
- Наступление «хактивистов»
- Кибератаки, финансируемые государствами
- Использование средств слежения правоохранительными органами
- Облачно, вероятны вредоносные атаки
- Уязвимости и эксплойты
- Кибервымогательство
- Кому верить?
- Зловреды для Mac OS
- Мобильные зловреды
- Кто украл мою частную жизнь?!
Теперь перейдем к наиболее заметным событиям и явлениям 2013 года. Вы
можете сами решить, насколько точно нам удалось предсказать будущее.
1. 10 важнейших инцидентов IT-безопасности 2013 года
Вот наша десятка важнейших инцидентов IT-безопасности в 2013 году.
Новые старые кампании по кибершпионажу
Читатель может полагать, что, заглянув в ретроспективный обзор
громких инцидентов 2013 года, он прочтет о событиях, которые произошли в
этом году. Но с целевыми атаками не все так просто. Часто такие
кампании берут свое начало гораздо раньше, чем о них узнают, анализируют
и пишут отчеты. Возможно, вы вспомните, что так было со Stuxnet – чем
больше мы исследовали его, тем больше назад отодвигалась нами дата его
появления. Это верно и для большинства кампаний по кибершпионажу этого
года.
Red October
– кампания по кибершпионажу, нанесшая ущерб сотням жертв по всему миру,
в том числе дипломатическим организациям и правительственным
учреждениям, исследовательским институтам, компаниям, занимающимся
энергетикой, в том числе ядерной, а также торговым организациям и
организациям авиакосмической промышленности. Вредоносное ПО оказалось
невероятно сложным: помимо прочего, зловред оснащен «модулем
воскрешения», благодаря которому способен заново заражать компьютеры.
Код имеет модульную систему, что позволяет злоумышленникам легко
подстроить его под определенную цель. Интересно, что Red October
собирает информацию не только с компьютеров, но и с мобильных устройств,
подключенных к сети жертв. Это показывает, что злоумышленники признали
мобильные устройства ключевым компонентом современной бизнес-среды и
носителем важной информации. Мы опубликовали результаты анализа в январе
2013 года, но совершенно ясно, что кампания началась в 2008-м.
Карта жертв Red October
В феврале мы опубликовали анализ вредоносного ПО MiniDuke,
разработанного для кражи данных из органов государственной власти и
исследовательских институтов. По результатам нашего анализа, жертвами
зловреда стали 59 известных организаций в 23 странах, в том числе на
Украине, в Бельгии, Португалии, Румынии, Чехии, Ирландии, Венгрии и США.
Как многие целевые атаки, MiniDuke сочетал использование социальной
инженерии – тактики старой школы, и современных сложных технологий.
Например, MiniDuke содержал первый эксплойт, способный обходить
песочницу Adobe Acrobat Reader. К тому же, зараженные машины получали
команды с командного сервера через аккаунты Twitter, указанные заранее
(а в качестве запасного варианта искали эти аккаунты в Google).
В марте мы узнали о серии атак, нацеленных на крупных политиков и
правозащитников в странах СНГ и Восточной Европы. Для получения контроля
над компьютерами жертв злоумышленники использовали инструмент
удаленного администрирования TeamViewer, поэтому операция получила
название «TeamSpy». Целью этих атак был сбор информации с взломанных
компьютеров. Пусть и не настолько сложная, как Red October, NetTraveler и
другие, эта кампания стала не менее успешной, доказав, что не все
целевые атаки требуют создания кода с нуля.
О NetTraveler, также известном как NetFile, мы сообщили в июне, и это
еще одна угроза, которая уже проявляла активность к моменту обнаружения
– в этом случае, с 2004 года.
Эта кампания была разработана для кражи информации, относящейся к
исследованию космоса, нанотехнологиям, ядерной энергетике, производству
энергии, лазерам, медицине и телекоммуникациям. NetTraveler успешно
применили для взлома свыше 650 организаций в 40 странах, в том числе в
Монголии, России, Индии, Казахстане, Кыргызстане, Китае, Таджикистане,
Южной Корее, Испании и Германии. Жертвами стали государственные и
частные организации, в том числе правительственные учреждения,
посольства, нефтяные и газовые компании, исследовательские центры,
оборонные предприятия и организации Тибетских и Уйгурских активистов.
Если ваша компания еще не стала жертвой атаки, очень легко убедить
себя в том, что с вами этого не случится, или представить, что большее
из того, что мы слышим о вредоносном ПО, - всего лишь рекламный трюк.
Прочитав заголовки, легко прийти к выводу, что целевые атаки – это
проблема исключительно крупных организаций. Однако не все атаки нацелены
на известные имена или на организации, занятые в проектах критически
важных отраслей. На самом деле любая организация может стать жертвой
злоумышленников. Каждая компания владеет информацией, которая
представляет ценность для злоумышленников или может быть использована
как мостик на пути к другим жертвам. Это ярко продемонстрировали атаки
Winnti и Icefog.
В апреле мы опубликовали отчет о деятельности киберпреступной группировки Winnti,
которая с 2009 года специализируется на краже цифровых сертификатов,
подписанных легитимными разработчиками ПО, а также занимается кражей
интеллектуальной собственности (в том числе кражей исходного кода
онлайн-игр). Троянец, который использовала группа, представляет собой
DLL-библиотеку для 64-битной среды Windows. Вредоносное ПО использует
легитимно подписанный драйвер и работает как полноценный инструмент
удаленного администрирования – так злоумышленники получали полный
контроль над взломанным компьютером. В общей сложности мы обнаружили
свыше 30 компаний, работающих в сфере онлайн-игр и пострадавших от
действий группировки – большинство из них находятся в Юго-Восточной
Азии, но также встречаются компании из Германии, США, Японии, России,
Бразилии, Перу, Белоруссии и Великобритании. В настоящий момент
группировка по-прежнему активна.
Атаки Icefog,
о которых мы писали в сентябре (подробное описание см. в следующем
разделе этого отчета), были нацелены на цепи поставок и, помимо кражи
ценной информации из взломанных сетей, служили средством для сбора
логинов и паролей к почте и доступа к различным интернет-ресурсам.
2. Кибернаемники: новая тенденция
На первый взгляд, Icefog – обычная целевая атака, каких много. Это
кампания по кибершпионажу, действующая с 2011 года и ориентированная
прежде всего на Южную Корею, Тайвань и Японию. Жертвы этой кампании есть
также в США, Европе и Китае. Как и в других подобных кампаниях, для
заражения жертв злоумышленники применяют целевые фишинговые рассылки
(spear-phishing) электронных писем, содержащих вредоносные вложения или
ссылки на вредоносные сайты. Как в любой подобной кампании, точно
подсчитать количество жертв атак сложно, однако нам известно о
нескольких десятках жертв, работающих под Windows, и более 350,
использующих Mac OS X (последние большей частью находятся в Китае).
Тем не менее, Icefog имеет несколько ключевых отличий от других атак,
о которых мы писали выше. Во-первых, эта кампания – пример
нарождающейся тенденции, которую мы наблюдаем последнее время, – атак,
проводимых быстро и с хирургической точностью малыми группами
кибернаемников. Во-вторых, злоумышленники скрупулезно выбирали
потенциальных жертв, среди которых – государственные учреждения, военные
подрядчики, судоходные и судостроительные компании,
телекоммуникационные компании, операторы спутниковой связи, промышленные
и технологические компании и средства массовой информации. В-третьих, в
ходе кампании широко применяются средства кибершпионажа собственной
разработки для Windows и Mac OSX, причем злоумышленники напрямую
управляют взломанными компьютерами. Кроме того, мы обнаружили, что в
дополнение к Icefog атакующие применяют бэкдоры и другие вредоносные
утилиты для заражения других компьютеров в сети организации-жертвы и для
передачи краденных данных на свой сервер.
Китайская группа под названием Hidden Lynx, о чьей деятельности писали
эксперты компании Symantec в сентябре, входит в ту же категорию –
«наемники», которые осуществляют заказные атаки с применением технически
сложных средств, созданных для выполнения конкретных задач. На счету
этой группы, в частности, атака на компанию Bit9 в начале этого года.
Мы прогнозируем появление новых подобных групп в будущем по мере формирования черного рынка «APT-услуг».
3. Хактивизм и утечка данных
Кража денег – напрямую с банковских счетов или с помощью тоже
краденых личных данных – не единственный мотив, который кроется за
взломом систем защиты. Такие атаки также могут быть формой политического
или социального протеста или же способом запятнать репутацию компании,
на которую нацелена атака. Сегодня интернет участвует практически во
всех областях нашей жизни. Для того, кто обладает определенными
навыками, гораздо легче атаковать правительственный или коммерческий
веб-сайт, чем организовать реальную акцию протеста или демонстрацию.
Для тех, кто преследует такие цели, хорошим оружием стали DDoS-атаки (атаки типа «отказ в обслуживании»). Одна из крупнейших DDoS-атак в истории
(а некоторые скажут, что самая крупная) была направлена на организацию
Spamhaus в марте этого года. По некоторым расчетам, в пиковый период
интенсивность атаки достигала 300 Гбайт/с. Организация, предположительно
начавшая атаку, называется Cyberpunker. Конфликт между ней и Spamhaus
начался еще в 2011 году, но достиг апогея лишь за пару недель до атаки,
когда Spamhaus внесла Cyberpunker в черный список. Владелец Сyberpunker
отказался взять на себя ответственность за атаку, однако согласился
выступить представителем атакующих. В любом случае атака была запущена
кем-то, кто способен генерировать гигантские объемы трафика. Чтобы
защитить себя от атаки, организация Spamhaus была вынуждена перенести
свой сайт на хостинг провайдера услуг CloudFare, известного своей
защитой от DDoS-атак.
Инцидент со Spamhaus, судя по всему, не был связан с другими
инцидентами, однако он произошел на фоне продолжавшихся в этом году
атак групп хактивистов. В том числе, атак Anonymous. В этом году они
взяли на себя ответственность за атаки на министерство юстиции США,
Массачусетский технологический институт и веб-сайты разных государств,
включая Польшу, Грецию, Сингапур, Индонезию и Австралию (последние два
инцидента не обошлись без перепалок между группами Anonymous, которые
находятся в этих странах). Anonymous также взяли на себя ответственность
за взлом Wi-Fi сети британского парламента во время протестов на
площади Парламента в первых числах ноября.
Активисты, причисляющие себя к «Сирийской электронной армии»
(сторонники Сирийского президента Башара Ассада), в течение года также
совершили несколько атак. Так, в апреле они взяли на себя
ответственность за взлом аккаунта Associated Press в Twitter и
размещение фальшивых сообщений о взрывах в Белом Доме – американскому
индексу Dow Jones это обошлось в 136 млрд долларов. В июле группировка
взломала Gmail-аккаунты трех служащих Белого Дома и аккаунт агентства
Thomson Reuters в Twitter.
Очевидно, что наша зависимость от технологий, как и огромные
вычислительные мощности, которыми обладают современные компьютеры,
приводят к тому, что мы становимся потенциально уязвимы к атакам, цели
которых весьма разнообразны. Поэтому маловероятно, что действиям
хактивистов или кого угодно еще, кто заинтересован в проведении атак на
всевозможные организации, когда-нибудь придет конец.
4. Кибервымогательство
Методы, к которым прибегают киберпреступники, чтобы заработать на
своих жертвах, далеко не всегда отличаются утонченностью. Так называемые
программы-вымогатели (Ransomware) по сути представляют собой DOS-атаки
на отдельно взятый компьютер – они блокируют доступ к его файловой
системе или шифруют данные на жестком диске. Особенности поведения таких
программ могут различаться. Например, там, где распространено
компьютерное пиратство, троянец-вымогатель может выводить на экран
сообщение о якобы обнаруженном на машине нелицензионном ПО и требовать
плату за возвращение пользователю доступа к компьютеру. В других
регионах требования маскируются под всплывающие сообщения полиции об
обнаружении на компьютере детской порнографии или иного запрещенного
контента, за который пользователь должен заплатить штраф. Но зачастую
злоумышленники вовсе не прибегают ни к каким уловкам – они просто
зашифровывают данные и сообщают пользователю, что для их восстановления
необходимо заплатить. Таков, например, троянец Cryptolocker, который мы проанализировали в октябре.
Cryptolocker устанавливает соединение с командным сервером и
загружает с него открытый ключ RSA, с помощью которого шифрует данные.
Для каждой новой жертвы создается новый уникальный ключ, а доступ к
закрытым ключам, необходимым для расшифровки файлов, имеют только
авторы. Для соединения с командным сервером Cryptolocker использует
алгоритм генерации доменных имен, создающий 1000 уникальных
имен-кандидатов в сутки. Злоумышленники требуют, чтобы пользователь
заплатил им в течение примерно трех дней – устрашающие обои,
устанавливаемые на зараженной машине, предупреждают, что в противном
случае данные будут безвозвратно утрачены. Предлагаются различные
способы оплаты, в том числе с использованием виртуальной валюты Bitcoin.
Больше всего жертв в США и Великобритании, за которыми следуют (с
большим отставанием) Индия, Канада и Австралия.
Проблема здесь связана не столько с трудностями удаления вредоносного
приложения или даже восстановления зараженного компьютера, сколько с
возможной утратой данных. В прошлом нам в некоторых случаях удавалось
расшифровать «угнанные» данные пользователей. Однако в случае если
используется очень мощное шифрование, это не представляется возможным.
Такое шифрование применено, например, в некоторых вариантах троянца
Gpcode. В Cryptolocker также используется очень мощный шифр. Поэтому как
отдельным пользователям, так и организациям любого масштаба просто
необходимо регулярно делать резервные копии своих данных, чтобы в случае
потери данных – по какой бы то ни было причине – неприятность не стала
катастрофой.
Cryptolocker – не единственная программа-вымогатель, попавшая в этом
году в заголовки новостей. В июне мы столкнулись с приложением для
Android под названием Free Calls Update – фальшивым антивирусом,
запугивающим пользователей, чтобы убедить их заплатить за удаление с их
устройств несуществующего вредоносного ПО. После установки на устройстве
приложение пытается получить права администратора – это дает ему
возможность включать и выключать Wi-Fi и 3G, а также не позволяет
пользователю легко удалить вредоносное приложение с устройства. Установочный
файл вредоносного приложения удаляется с целью предотвратить
обнаружение со стороны легитимного антивирусного ПО, если пользователь
решит его установить. Приложение выдает ложные сообщения об обнаружении
вредоносных программ и предлагает пользователю приобрести лицензию на
полную версию, которая якобы их удалит. При посещении пользователем
веб-страниц приложение во всплывающем окошке сообщает ему, что
вредоносная программа пытается украсть с телефона порнографический
контент. Это окошко появляется постоянно и мешает работе с устройством.
5. Вредоносное ПО для мобильных устройств и (без)опасность магазинов приложений
Стремительный рост количества вредоносного ПО для мобильных платформ,
который начался в 2011-м, продолжился и в этом году. На сегодняшний
день существует свыше 148 тысяч модификаций мобильных вредоносных
программ, образующих 777 семейств. Как и в прошлые годы, подавляющее
большинство из них – 98,05% всех обнаруженных вредоносных приложений –
нацелены на устройства на базе Android. И в этом нет ничего
удивительного. Эта платформа отвечает всем требованиям злоумышленников:
она популярна, для нее легко разработать приложение, а пользователи
устройств на базе Android могут скачивать приложения (в том числе и
вредоносные) откуда угодно. Последний фактор очень важен: злоумышленники
активно используют тот факт, что пользователи загружают приложения из
Google Play, а также из других онлайн-магазинов или с веб-сайтов. Это
также позволяет злоумышленникам создавать поддельные сайты,
замаскированные под легитимные магазины приложений. Поэтому спада в
области разработки вредоносного ПО для Android в ближайшее время ожидать
не приходится.
Виды вредоносного ПО, нацеленного на мобильные устройства,
практически полностью повторяют виды зловредов, которые чаще всего
заражают компьютеры и ноутбуки – это бэкдоры, троянцы и троянцы-шпионы.
Единственным исключением являются SMS-троянцы, разрабатываемые
специально для смартфонов.
При этом растет не только количество зловредов: мы также наблюдаем
повышение сложности вредоносного ПО. В июне мы проанализировали Obad
– самый сложный мобильный троянец на сегодняшний день. Это
многофункциональная угроза: Obad отправляет SMS-сообщения на платные
номера, загружает и устанавливает другие вредоносные программы,
использует Bluetooth для распространения на другие устройства, а также
удаленно выполняет команды с консоли. Кроме того, этот троянец очень
сложен, его код сильно обфусцирован и он использует три ранее
неизвестные уязвимости, причем одна из них позволяет троянцу получать на
устройстве расширенные права администратора, но при этом не попадать в
список приложений, имеющих такие привилегии. Это не позволяет
пользователю просто удалить программу с устройства. Obad также может
заблокировать экран – не больше, чем на 10 секунд, однако этого
достаточно, чтобы троянец успел отправить свою копию (и другое
вредоносное ПО) на находящиеся поблизости устройства. Этот трюк придуман
для того, чтобы владелец смартфона не заметил активность зловреда.
Obad использует различные методы распространения. Мы уже упомянули
Bluetooth, но троянец также распространяется через поддельный магазин
Google Play, посредством SMS-спама и за счет перенаправления
пользователей со взломанных сайтов. Кроме того, Obad может быть установлен в системе другим мобильным троянцем – Opfake.
Киберпреступники, стоящие за Obad, могут управлять троянцем с помощью
заранее заданных строк, передаваемых в SMS-сообщениях. Список действий,
которые может выполнять зловред, включает отправку SMS-сообщений и
ping-запросов на определенные ресурсы, функционирование в качестве
прокси-сервера, соединение с определенными адресами, загрузку и
установку определенных файлов, отправку списка установленных на
устройстве приложений, отправку информации об определенных приложениях,
отправку контактов жертвы на сервер и выполнение команд, полученных с
сервера.
Троянец собирает данные с устройства и отсылает их на командный
сервер – в том числе MAC-адрес устройства, имя устройства, номер IMEI,
баланс счета, местное время и информацию о том, удалось ли зловреду
получить права администратора устройства или нет. Все эти данные
загружаются на командный сервер: сначала троянец пробует использовать
активное интернет-соединение, а если его нет, ищет ближайшую точку
доступа Wi-Fi, не требующую авторизации.
6. Атаки типа watering hole
Возможно, вам знакомы термины «drive-by загрузка» и «целевой фишинг».
В первом случае киберпреступники находят незащищенные веб-сайты и
внедряют вредоносный скрипт в HTTP- или PHP-код одной из страниц. Этот
скрипт может непосредственно устанавливать вредоносные программы на
компьютер посетителя сайта или использовать IFRAME, чтобы перенаправлять
жертву на вредоносный сайт. Второй вариант представляет собой
направленную форму фишинга, часто применяемую в качестве отправной точки
для целевой атаки. Определенному человеку в организации-мишени
отправляется электронное письмо в расчете на то, что он откроет ссылку
или приложение, которые запустят вредоносный код и помогут преступникам
проникнуть в корпоративную сеть.
Если объединить эти два подхода (drive-by загрузку и целевой фишинг),
то получится так называемая атака типа watering hole. Киберпреступники
изучают поведение людей, которые работают в интересующей их организации,
чтобы узнать, какие интернет-ресурсы они чаще всего посещают. Затем
злоумышленники заражают веб-сайт, пользующийся у сотрудников
популярностью – желательно такой, который принадлежит доверенной
организации и служит ценным источником информации. В классическом
варианте атаки применяется эксплойт нулевого дня. Когда сотрудник
открывает страницу этого сайта, его компьютер подвергается заражению:
как правило, на него устанавливается троянская программа-бэкдор,
позволяющая злоумышленникам получить доступ к внутренней сети компании.
Это очень похоже на подкарауливание жертвы у водопоя (watering hole),
когда вместо того, чтобы выслеживать добычу, хищник ждет в засаде в
таком месте, куда потенциальная жертва наверняка придет сама.
В этом году атаки типа watering hole пользуются у киберпреступников
большим успехом. Сразу после нашего сообщения об атаках Winnti мы
обнаружили экслойт для Flash Player на сайте попечительского фонда
Tibetan Homes Foundation, который поддерживает детей-беженцев из
Тибета. Выяснилось, что этот сайт был взломан с целью распространения
бэкдоров, подписанных сертификатами, которые ранее использовались в
кампании Winnti. Это классический пример атаки типа watering hole:
преступники изучили интернет-предпочтения своих жертв и взломали
соответствующие сайты для того, чтобы таким путем заразить их
компьютеры. Та же методика была применена в августе, когда вредоносный
код на сайте Правительства Тибета в изгнании перенаправлял посетителей,
использующих язык CN (упрощенный китайский), на ресурс с
Java-эксплойтом, загружавший на их компьютеры бэкдор, предназначенный
для проведения целевых атак.
В сентябре нами были зарегистрированы новые атаки типа watering hole, направленные на эти группы в рамках кампании NetTraveler.
Важно отметить, что атаки типа watering hole являются лишь одним из
приемов, применяемых преступниками наряду с целевым фишингом и другими
видами атак. Описанные выше заражения являются частью кампании,
направленной против тибетских и уйгурских сайтов, которая продолжается
уже более двух лет.
И наконец, все эти случаи – еще одно доказательство того, что мишенью
целевой атаки может стать практически любая организация, а не только
международная корпорация или другая солидная структура.
7. Самое слабое звено в цепочке безопасности
Многие современные угрозы чрезвычайно сложны. Особенно это касается
целевых атак, для осуществления которых преступники создают специальные
эксплойты, использующие незакрытые уязвимости в приложениях, или
разрабатывают специализированные модули, помогающие им похищать данные
своих жертв. Однако часто самой главной уязвимостью, которую
эксплуатируют злоумышленники, является человеческий фактор.
Злоумышленники применяют методы социальной инженерии, чтобы ввести в
заблуждение сотрудников организации и вынудить их совершить действия,
ставящие под угрозу корпоративную безопасность. Люди попадаются на эти
уловки по разным причинам: иногда они просто не осознают опасность;
иногда поддаются на заманчивые предложения получить «бесплатный сыр»; а
иногда идут в обход правил, чтобы облегчить себе жизнь – например,
используют один пароль на все случаи жизни.
Многие нашумевшие целевые атаки, которые мы анализировали в этом
году, начались именно с эксплуатации человеческого фактора. В Red
October, серии целевых атак на тибетских и уйгурских активистов, в
MiniDuke, NetTraveler и Icefog для получения первоначального доступа к
корпоративным сетям организаций-мишеней использовался целевой фишинг.
Киберпреступники ищут подход к сотрудникам этих организаций, используя
данные, которые удается собрать на официальном сайте компании, на
открытых форумах, а также путем тщательного анализа информации, которую
люди размещают в социальных сетях. Все это помогает преступникам
создавать электронные сообщения, которые не вызывают подозрений и
застают людей врасплох.
Этот же подход используют и организаторы массовых атак с применением
социальной инженерии, в ходе которых фишинговые сообщения рассылаются
большому числу случайных пользователей.
Социальная инженерия применяется и в реальной жизни, причем этот
аспект безопасности часто упускают из виду. Он громко напомнил о себе в
этом году, когда преступники попытались установить KVM-переключатели в
филиалах двух британских банков. В обоих случаях злоумышленники
представлялись сотрудниками инженерной службы и пытались получить
физический доступ в банк, чтобы установить там оборудование, которое
позволило бы им отслеживать сетевую активность организации. Подробнее об
этих инцидентах можно прочитать здесь и здесь.
Эта же тема привлекла внимание нашего коллеги Дэвида Джэкоби (David
Jacoby): в сентябре он провел небольшой эксперимент в Стокгольме с целью
выяснить, насколько легко можно получить доступ к информационным
системам компаний, эксплуатируя готовность персонала помочь человеку,
попавшему в затруднительное положение. Отчет Дэвида вы можете прочитать здесь.
К сожалению, в компаниях часто недооценивают значение человеческого
фактора в вопросах безопасности. Даже в том случае, когда информирование
персонала об информационных угрозах признается необходимым,
используемые для этого методы часто оказываются неэффективными. Однако
те, кто игнорируют данный аспект безопасности, делают это на свой страх и
риск, поскольку совершенно очевидно, что технологии сами по себе не
могут гарантировать полную защиту корпоративной сети. Поэтому крайне
важно, чтобы во всех организациях знание и соблюдение мер безопасности
персоналом стало неотъемлемой частью стратегии защиты корпоративной
сети.
8. Нарушение тайны частной жизни и утрата доверия: Lavabit, Silent Circle, NSA
Обзор информационных угроз 2013 года не может считаться полным без
упоминания Эдварда Сноудена и широких последствий для тайны частной
жизни, которые повлекла за собой публикация сведений о Prism, XKeyscore,
Tempora и других программах слежки за гражданами.
Вероятно, одним из наиболее заметных последствий публикации этой
информации стало закрытие сервиса по обмену зашифрованными электронными
письмами Lavabit. Мы писали об этом сервисе здесь.
Еще один провайдер услуг шифрования почты – Silent Circle – также решил
прекратить свою работу, что оставило пользователям весьма ограниченный
выбор возможностей для безопасного обмена личными электронными письмами.
Причина, по которой эти два сервиса прекратили свое существование, –
невозможность предоставлять подобные услуги в условиях давления со
стороны правоохранительных органов и других государственных структур.
Еще один сюжет, существенно повлиявший на ситуацию в области тайны частной жизни, – компрометация
Агентством национальной безопасности США (National Security Agency,
NSA) алгоритмов эллиптической криптографии, принятых Национальным
институтом стандартов и технологий США (National Institute of Standards
and Technology, NIST). По-видимому, NSA внедрило своеобразный «бэкдор» в
алгоритм, известный под названием Dual Elliptic Curve Deterministic
Random Bit Generation (Dual EC DRBG). По некоторым сведениям, «бэкдор»
позволяет определенным сторонам с легкостью взламывать данный протокол
шифрования, внедряясь таким образом в канал связи, который считается
безопасным. Компания RSA, один из крупнейших мировых разработчиков
систем шифрования, заявила, что этот алгоритм применяется по умолчанию в
одном из предлагаемых ею пакетов средств шифрования, и рекомендовала
всем своим клиентам прекратить его использование. Данный алгоритм был
одобрен NIST в 2006 году, но был доступен и широко применялся как
минимум с 2004 года.
Любопытно, что один из широко обсуждаемых инцидентов имеет
непосредственное отношение к антивирусной отрасли. В сентябре
бельгийская телекоммуникационная компания Belgacom заявила о взломе
ее сети. В ходе плановой проверки сотрудники Belgacom обнаружили на
нескольких серверах и компьютерах сотрудников неизвестный вирус. Позднее
были озвучены предположения, которые указывали на NSA и его британский
аналог GCHQ (Government Communications Headquarters) как на возможный
источник заражения и самого вируса. Несмотря на то, что компании
антивирусной индустрии не получили образцы данного вредоносного ПО,
появились новые сведения, согласно которым атака была осуществлена
через модифицированные страницы LinkedIn, в которые при помощи
технологии man-in-the-middle (MITM) вставлялись ссылки на сервера с
эксплойтами.
Все эти инциденты, связанные со слежкой и шпионажем, породили вопросы
о том, насколько активно компании индустрии IT-безопасности
сотрудничают с государственными структурами. Фонд EFF (Electronic
Frontier Foundation) совместно с другими организациями опубликовал 25
октября 2013 года открытое письмо,
в котором антивирусным компаниям был задан ряд вопросов относительно
обнаружения и нейтрализации вредоносных программ, создаваемых и
распространяемых при участии государственных структур.
Что касается «Лаборатории Касперского», то у нас очень простая и
однозначная позиция относительно обнаружения вредоносного ПО: мы делаем
все возможное для обнаружения и нейтрализации любых атак с применением
вредоносного ПО, независимо от их источника или целей. Для нас не
существует «правильных» или «неправильных» вредоносных программ. Наша
команда экспертов активно участвовала в обнаружении и анализе нескольких
вредоносных атак, к которым были причастны государственные структуры и
государства. В 2012 году мы опубликовали подробный отчет об анализе
вредоносных программ Flame и Gauss,
входящих в число крупнейших среди известных на сегодняшний день
кампаний кибершпионажа, проводимых на государственном уровне. Мы также
публиковали предупреждения об опасности так называемых «легальных»
средств слежки, таких как DaVinci (HackingTeam) и FinFisher (Gamma).
Крайне важно, чтобы эти инструменты слежения не попали в плохие руки, –
именно поэтому индустрия IT-безопасности не может делать исключений в
том, что касается обнаружения вредоносного ПО. В действительности,
крайне маловероятно, что государственная организация, обладающая
серьезным интеллектуальным и человеческим потенциалом, станет обращаться
к разработчику (или разработчикам) антивирусов с просьбой воздержаться
от обнаружения определенных вредоносных программ, созданных при
поддержке государства. Такое «привилегированное» вредоносное ПО вполне
может попасть не в те руки и быть применено в том числе и против тех,
кто его создал.
9. Уязвимости и эксплойты нулевого дня
Киберпреступники продолжают широко использовать уязвимости в
легитимном ПО для проведения вредоносных атак. Они делают это с помощью
эксплойтов – фрагментов кода, разработанного специально для эксплуатации
уязвимостей в ПО с целью установки вредоносных программ на компьютер
без ведома пользователя. Такой вредоносный код может содержаться в
специально созданном вложении в электронном письме или эксплуатировать
уязвимость в браузере.
Если злоумышленник эксплуатирует уязвимость, известную только ему
(так называемая уязвимость нулевого дня), то всякий, кто использует
уязвимое приложение, остается беззащитным до тех пор, пока не будет
выпущен патч для закрытия бреши в этом приложении. Однако очень часто
преступники используют известные уязвимости, для которых «заплатки» уже
давно существуют. Эксплойты для давно известных уязвимостей успешно
применялись в ходе многих крупных целевых атак 2013 года, включая Red
October, MiniDuke, TeamSpy и NetTraveler, а также большого числа атак с
применением социальной инженерии, нацеленных на неопределенную аудиторию
и составляющих основную массу всех киберпреступлений.
Злоумышленники предпочитают использовать уязвимости в наиболее
популярных приложениях, которые пользователи по тем или иным причинам
редко обновляют. Это дает преступникам широкие возможности для
достижения своих целей. Так, в 2013 году через уязвимости в
Java-приложениях было совершено 90,52% всех атак, а через уязвимости в
Adobe Acrobat Reader – 2,01%. Это служит продолжением установившейся
тенденции и не является сюрпризом. Java присутствует на огромном
количестве компьютеров (по данным Oracle, на 3 миллиардах машин), а ее
обновления не устанавливаются автоматически. Киберпреступники также
продолжают эксплуатировать уязвимости в Adobe Reader, хотя за последние
12 месяцев количество атак существенно сократилось. Это связано с тем,
что обновления для Adobe Reader стали выпускаться чаще, а в последней
версии они к тому же устанавливаются автоматически.
Для минимизации рисков IT-безопасности компаниям необходимо
использовать самые последние версии всего программного обеспечения,
имеющегося на компьютерах корпоративной сети, устанавливать обновления
безопасности по мере их появления и удалять ПО, которое больше не
требуется для работы. Также можно использовать специальный сканер,
позволяющий выявлять приложения с незакрытыми уязвимостями, или
установить защитное решение, блокирующее попытки эксплуатации этих
уязвимостей со стороны вредоносного ПО.
10. Взлеты и падения криптовалют: биткойны правят миром.
В 2009 году некий Сатоси Накамото (Satoshi Nakamoto) опубликовал доклад,
которому суждено было произвести революцию в мире электронных валют.
Документ под названием "Bitcoin: A Peer-to-Peer Electronic Cash System”
(Bitcoin: P2P-система электронных денег) определял основную структуру
распределенной децентрализованной системы платежей, не предусматривающей
платы за проведение транзакций. Система Bitcoin была реализована, люди
начали ею пользоваться. Поначалу это были математики и энтузиасты новой
виртуальной платежной системы, но вскоре к ним присоединились обычные
пользователи, а также киберпреступники и террористы.
Еще в январе 2013 года стоимость одного биткойна составляла $13.
Однако по мере того, как все новые сервисы начинали принимать биткойны в
качестве средства платежа, стоимость электронной валюты росла. Наконец,
9 апреля 2013 г. она превысила 260 долларов (средняя стоимость
составляла $214), а на следующий день обрушилась, потому что владельцы
большого количества биткойнов начали обменивать виртуальные деньги на
реальные.
Обменный курс Bitcoin/USD на Mt.Gox, 2013
В ноябре 2013 г. биткойн снова начал набирать силу и в начале декабря превысил отметку в $1000.
Почему же биткойны пользуются такой популярностью? Прежде всего, это
почти анонимное и при этом безопасное платежное средство. Нет ничего
удивительного, что на поднявшейся в 2013 году волне разоблачения
государственной слежки пользователи пытаются найти альтернативные
способы осуществления платежей. Кроме того, эта виртуальная валюта
пользуется большим успехом у киберпреступников, которые ищут возможности
скрыться из поля зрения правоохранительных органов.
В мае мы писали о бразильских киберпреступниках, создающих фишинговые сайты, замаскированные под биржи Bitcoin. Кроме того, появились специализированные ботнеты по добыче биткойнов, а также вредоносные программы, предназначенные для кражи кошельков Bitcoin.
25 октября в ходе совместной операции ФБР и Управления США по борьбе с наркотиками был закрыт печально известный сайт Silkroad.
Согласно пресс-релизу, распространенному генеральной прокуратурой США,
Silk Road («Шелковый путь») – это «скрытый веб-сайт, позволяющий
пользователям покупать и продавать запрещенные наркотики и другие
незаконные товары и услуги – анонимно и без риска быть пойманным
правоохранительными органами». Сайт использовал в качестве средства
оплаты биткойны, что позволяло как продавцам, так и покупателям
оставаться неизвестными. ФБР и Управление по борьбе с наркотиками изъяли
у владельца Silkroad, известного как Dread Pirate Roberts («Страшный
пират Робертс»), около 140 тыс. биткойнов (по нынешним ценам порядка 56
млн. долларов). Оборот сайта, который открылся в 2011 году и был
доступен только через сеть TOR Onion, достиг 9,5 млн. биткойнов.
Очевидно, что киберпреступники нашли для себя в Bitcoin тихую гавань,
однако у этой платежной системы есть множество других пользователей, не
преследующих незаконные цели. Сервис становится все более популярным, и
было бы любопытно узнать, следует ли ожидать репрессивных мер против
бирж Bitcoin со стороны государственных органов в попытке положить конец
их использованию в противозаконных целях.
Если у вас в собственности есть биткойны, вас скорее всего волнует, как их сберечь. Несколько советов можно найти в посте наших коллег Стефана Танасе и Сергея Ложкина.
Выводы и прогнозы: 2014 год – «год доверия»
В отчете 2011 года мы назвали год «взрывоопасным». Мы также предсказывали, что 2012-й будет годом разоблачений, а 2013-й – годом сенсаций и переосмысления ситуации.
И действительно, некоторые из открытий 2013 года стали поистине
сенсационными. Они заставили нас по-новому посмотреть на то, как мы
теперь используем интернет и с какими видами рисков нам приходится
сталкиваться. В 2013 году наиболее опасные группы киберпреступников
продолжали осуществлять крупномасштабные кампании – например, RedOctober
и NetTraveler. Злоумышленники освоили новые приемы, такие как атаки
типа watering hole, однако эксплойты нулевого дня остаются популярными
среди серьезных киберпреступников. В 2013 году на сцене появились
кибернаемники – компактные группы, специализирующиеся на проведении
«молниеносных» APT-атак на заказ. В заголовках новостей постоянно
мелькали хактивисты, а также утечки данных. Последние способны нагнать
страху даже на самых крутых сисадминов. Тем временем киберпреступники
активно создавали новые методы кражи пользовательских денег и биткойнов;
широчайшее распространение получили программы-вымогатели (Ransomware). И
наконец, серьезной проблемой, не имеющей простого решения, остается
мобильное вредоносное ПО.
Конечно, все хотели бы знать, как эти тенденции скажутся на ситуации в
2014 году. Мы предполагаем, что через весь 2014 год красной нитью
пройдет тема восстановления доверия.
Тайна частной жизни, как и многочисленные факторы, ведущие к ее
сохранению или утрате, останется горячей темой. Шифрование снова войдет в
моду: мы ожидаем появления многочисленных сервисов, обещающих защитить
личную жизнь пользователей от посторонних глаз. Облако – чудо-технология
прошлых лет – теперь забыто, поскольку люди потеряли к нему доверие, а
государства более серьезно задумались о том, как применение облачных
технологий соотносится с тайной частной жизни. В 2014 году финансовые
рынки, вероятно, почувствуют на себе влияние виртуальной валюты Bitcoin,
в которую будут вкладывать значительные средства инвесторы из Китая и
других стран. Не исключено, что стоимость биткойна достигнет $10 000, но
нельзя также исключать и краха виртуальной валюты, в результате
которого пользователи станут искать более надежные альтернативные
варианты.
http://www.securelist.com/ru/analysis/208050823/Kaspersky_Security_Bulletin_2013_Razvitie_ugroz_v_2013_godu
