Crowdstrike

Der Spiegel, Германия

Способным хакерам достаточно 18-ти минут, чтобы взломать компьютерные сети. Такие данные представила американская компания «КроудСтрайк». На первом месте по хакерскому мастерству оказались россияне. Второе место неожиданно заняла Северная Корея, пишет немецкий журнал «Шпигель». Сведений о хакерах из США и Великобритании в докладе не содержится.

Патрик Бойт (Patrick Beuth)

Всего 18 минут нужно в среднем самым способным российским хакерам, чтобы после первого проникновения в компьютер взломать сети. Быстрее никого нет. По крайней мере, так говорится в докладе компании «КроудСтрайк» (CrowdStrike), которая занимается вопросами компьютерной безопасности.

«Мы впервые представляем рейтинг, в котором мы оцениваем наших противников по способностям и изощренности», — говорит Дмитрий Альперович изданию «Шпигель». Альперович родился в Москве, он является сооснователем и техническим директором американской компании. «КроудСтрайк» — компания, которая обвинила россиян в кибератаке против главы избирательной кампании Хиллари Клинтон, а также против Национального комитета Демократической партии. Фирма с тысячами клиентов, от правительств до банков, в основном, на Западе, считается одним из важнейших поставщиком услуг по сложным случаям в сфере компьютерной безопасности.

«В рейтинге мы не учитывали, насколько отшлифованы их вредоносные программы и сколько ранее неизвестных пробелов безопасности они используют, — говорит Альперович. — Потому что это вводило бы в заблуждение. Такие вещи можно купить. Вместо этого мы проанализировали оперативные способности — насколько они хороши, когда они оказывались в сети». Определяющим фактором в рейтинге является то, что «КроудСтрайк» называет «временем взлома» — время от первого заражения компьютера до распространения на другие компьютеры в той же сети.

То, что Россия в настоящее время поставляет самых способных хакеров, Альперовича не удивляет. Но его удивило то, что на втором месте оказался, например, не Китай, а Северная Корея. Хакерам из Северной Кореи требуется в среднем два часа 20 минут, что хотя намного больше, чем у российских хакеров, но из всех стран в киберпространстве, включая США и Германию, Северная Корея является самой инновационной, считает Альперович. «Возможно, у них нет сложнейших инструментов, но что касается достижения целей своего правительства при помощи интернета, они лидируют».

Одна минута, чтобы обнаружить инцидент в кибербезопасности

На третьем, четвертом и пятом местах расположились Китай (четыре часа на взлом), Иран (пять часов девять минут) и все криминальные группы вне зависимости от их происхождения (девять часов 42 минуты). Чтобы оценить цифры и список, нужно знать некоторые обстоятельства:

— «КроудСтрайк» — американская компания, которая извлекает выгоду из наиболее пессимистичного представления ситуации с угрозами в компьютерной сфере.

— Проанализировав около 30 тысяч инцидентов в сфере безопасности только в 2018 году, «КроудСтрайк» может представить значительный срез ситуации с угрозами — но это только один срез.

— Рассчитанное время взлома — средняя величина. В случае России, например, было проанализировано около десятка групп хакеров, в случае Китая — около 70, Северной Кореи — четыре или пять. Отдельным лицам может потребоваться меньше или больше 18 минут или двух часов.

— Не всегда минимальное время на взлом является целью хакеров, на что также указывает «КроудСтрайк» в своем докладе.

Какие выводы можно сделать из этих данных? По словам Альперовича, «скорость — ключ к обороне». Действует правило 1-10-60. Лучшим клиентам «КроудСтрайк» требуется, в среднем, одна минута, чтобы обнаружить инцидент. Десять минут требуется на то, чтобы определить, идет ли речь о реальной угрозе или ложной тревоге. И в течение 60 минут они начинают предпринимать меры. Директор компании или руководитель IT-подразделения может задаться вопросом, как он сам в случае реальной атаки действовал — быстрее или медленнее, чем это делают действительно способные хакеры.

Хакеров из США или Великобритании «КроудСтрайк», по словам Альперовича, не исследовали — потому что их никогда не обнаруживали в системах клиентов. Но он считает, что они еще быстрее известных российских хакеров. «Я исхожу из того, что они возглавили бы наш список».

В отчете американских спецслужб «О российской вредоносной киберактивности», также известном под названием «Grizzly Steppe»,говорится о том, что с 2015 по 2016 год две хакерские группировки APT28 и APT29 заражали одни и те же сетевые ресурсы Демократической партии США вредоносным программным обеспечением.

В докладе сообщается о применении веб-шелла «PAS» для доступа к ресурсам демпартии. Его называют «российским», но известен он с 2011 года, и, более того, он присутствует в открытом доступе. Например, на ресурсе github.com. Авторство скрипта вообще приписывают украинцу – Ярославу Панченко, 25-летнему студенту Полтавского национального технического университета Украины имени Юрия Кондратюка.

Установлена географическая принадлежность управляющих центров распространения вредоносного ПО – всего 213. Из них 54 находились в Северной Америке, 72 в Европе, 70 в Азии, 2 в Африке, 2 в Южной Америке, а местоположение 13 идентифицировать не удалось.

Анализ контрольных сумм вредоносных файлов показал, что они относятся к различным семействам вредоносного ПО, широко используемого злоумышленниками: Backdoor.Win32.Miniduke, Trojan-PSW.Win32.Fareit, Backdoor.PHP.Agent.aax.

В отчете приведен перечень из 876 IP-адресов. Однако при проверке удалось выяснить, что только 77 из них зарегистрированы на территории РФ. Кроме того, 31 адрес включен в черные списки, опубликованные в открытом доступе. Причем, местоположение указано только в 25% случаев, в 44% речь идет об узлах-входах в анонимную сеть «Tor».

Эксперты считают, что опубликованная техническая часть американского доклада говорит о невозможности определить авторство кибератак на ресурсы Демократической партии США. Отчет «Grizzly Steppe» основан на расследовании инцидента, проведенном связанной с ФБР США частной компанией «Crowdstrike», и ранее публиковавшей обвинения в адрес России. Например, в декабре 2016 года «Crowdstrike» заявили о внедрении российской военной разведкой закладок в программное обеспечение для корректировки артиллерийского огня, что в результате привело к потерям 80% гаубиц Д-30. Причем эту информацию в Минобороны Украины официально опровергали.

В итоге можно сказать, что все заявления Вашингтона о «русских хакерах» не имеют доказательств, не обоснованы и логически противоречивы. Опубликованные технические детали свидетельствуют о низком уровне защиты ресурсов Демократической партии, а взломы осуществлены несвязанными друг с другом хакерскими группировками, использующими свободно гуляющие по сети вредоносные программы.

https://sm-news.ru/news/analitika/amerikanskiy-otchet-o-ross...

В российских и западных экспертных сообществах раскритиковали доклад разведки США о якобы российских кибератаках во время президентских выборов в Америке

Отчет американских спецслужб «О российской вредоносной киберактивности», также известный под названием «Grizzly Steppe», сделан частной компанией «Crowdstrike». К такому выводу пришли представители экспертных сообществ России и Запада. Документ с обвинениями Москвы, опубликованный на сайте группы реагирования на компьютерные инциденты США (US-CERT), называют необоснованным, а анализ технических деталей, предоставленных в приложении, и вовсе заставляет задуматься: а для кого этот доклад был написан? Примечательно, что официально документ представили Министерство внутренней безопасности и ФБР США.

В отчете говорится о том, что с 2015 по 2016 год две хакерские группировки APT28 и APT29 заражали одни и те же сетевые ресурсы Демократической партии США вредоносным программным обеспечением. Для этого направленно применялась социальная инженерия. Авторы доклада называют группировки «имеющими связь с Российской Федерацией», но это заявление противоречиво, так как уже сообщалось о том, что Москва проводит «скоординированную вредоносную кампанию» силами объединенных гражданских и государственных структур. То есть, авторы доклада, очевидно, сами не определились: какое имеет отношение к кибератакам официальная Москва?

Техчасть

В докладе сообщается о применении веб-шелла «PAS» для доступа к ресурсам демпартии. Его называют «российским», но известен он с 2011 года, и, более того, он присутствует в открытом доступе. Например, на ресурсе github.com. Об уникальности использования и речи быть не может, так же, как и о какой-либо конкретной группировке, применившей именно этот скрипт.

Стоит отметить, что авторство скрипта приписывают Ярославу Панченко, 25-летнему студенту Полтавского национального технического университета Украины имени Юрия Кондратюка. К такому заключению пришел бывший сотрудник компании Nokia Петри Крохн. В настоящее время профиль Панченко удален со страницы сайта университета.

Установлена географическая принадлежность управляющих центров распространения вредоносного ПО – всего 213. Из них 54 находились в Северной Америке, 72 в Европе, 70 в Азии, 2 в Африке, 2 в Южной Америке, а местоположение 13 идентифицировать не удалось.

Анализ контрольных сумм вредоносных файлов показал, что они относятся к различным семействам вредоносного ПО, широко используемого злоумышленниками.

Backdoor.Win32.Miniduke

Программа для кибершпионажа в госструктурах по всему миру. О ней стало известно в 2013 году. Применялась при атаках на государственные учреждения Бельгии, Венгрии, Ирландии, Португалии, Румынии, США, Украины и Чехии. Зафиксировано «Лабораторией Касперского», «Symantec», «F-Secure» и другими компаниями, работающими на рынке информационной безопасности.

Trojan-PSW.Win32.Fareit

Вредоносную программу впервые выявили в 2014 году. Использовалась злоумышленниками для краж персональных данных и загрузки дополнительных вредоносных программ. Основные страны, пострадавшие от атак с применением Trojan-PSW.Win32.Fareit, - Россия, Германия, Индия, ОАЭ и США. В числе прочих, программа была выявлена и компанией «Microsoft».

Backdoor.PHP.Agent.aax

Применение вредоносной программы выявили в 2012 году. Используется злоумышленниками для заражения систем управления контентом (CMS) «Joomla!» для перенаправления на сторонние ресурсы.

В отчете приведен перечень из 876 IP-адресов. Однако при проверке удалось выяснить, что только 77 из них зарегистрированы на территории РФ. Кроме того, 31 адрес включен в черные списки, опубликованные в открытом доступе. Причем, местоположение указано только в 25% случаев, в 44% речь идет об узлах-входах в анонимную сеть «Tor».

Кстати, в перечне «альтернативных названий российских государственных и гражданских структур» присутствуют наименования вредоносного ПО (например, «Havex» и «BlackEnergy v3»), а также некоторые функции «PowerShell Backdoor» и исполняемого файла «VmUpgradeHelper.exe». Многие другие названия указанных хакерских группировок являются синонимами: например, «APT28», «Sofacy» и «SEDNIT» - одна и та же группа.

Эксперты считают, что опубликованная техническая часть американского доклада говорит о невозможности определить авторство кибератак на ресурсы Демократической партии США. В документе отсутствуют сведения о новых методах взлома, а также об использовании «уязвимостей нулевого дня» (0day). На данный момент самой известной вредоносной программой, использовавшей в сумме 4 уникальных уязвимости, считают червь «Stuxnet».

Термин «уязвимость нулевого дня» произошел от обстоятельства, когда уязвимость или атака становится публично известной до момента выпуска производителем программного обеспечения исправлений ошибки. Такие уязвимости влекут за собой появление новых способов распространения вредоносного ПО, что и используют злоумышленники.

Примечательно, что 10 января 2017 года на заседании Специального комитета Сената США по разведке директор ФБР Джеймс Коми заявил, что его ведомство не обладало доступом к серверам и другим устройствам Демпартии в ходе расследования инцидента, связанного с кибератаками во время президентских выборов в США.

Эксперты полагают, что отчет «Grizzly Steppe» основан на расследовании инцидента, проведенном связанной с ФБР США частной компанией «Crowdstrike», и ранее публиковавшей обвинения в адрес России. Примечательно также и то, что гендиректор компании Альперович является ведущим сотрудником «Атлантического совета», известного антироссийскими настроениями. Организацию финансирует Госдеп США, структуры НАТО, правительство Латвии, «Украинский всемирный конгресс» и другие.

Например, в декабре 2016 года «Crowdstrike» заявили о внедрении российской военной разведкой закладок в программное обеспечение для корректировки артиллерийского огня, что в результате привело к потерям 80% гаубиц Д-30. Причем эту информацию в Минобороны Украины официально опровергали.

В итоге можно сказать, что все заявления Вашингтона о «русских хакерах» не имеют доказательств, не обоснованы и логически противоречивы. Опубликованные технические детали свидетельствуют о низком уровне защиты ресурсов Демократической партии, а взломы осуществлены несвязанными друг с другом хакерскими группировками, использующими свободно гуляющими по сети вредоносными программами.

Взято тут https://sm-news.ru/news/analitika/amerikanskiy-otchet-o-ross...

Хакеры атаковали ВАДА

Антидопинговое агентство считает, что его взломали россияне

пруф

13 сентября группа хакеров объявила о взломе компьютерных систем всемирного антидопингового агентства (ВАДА). Участники группы выложили в сеть несколько документов, в том числе свидетельства о приеме запрещенных препаратов американскими спортсменами во время Олимпиады в Рио. В ВАДА признали факт нападения и заявили, что за взломом стояли хакеры из России. «Медуза» коротко рассказывает об этой истории.

Данные компьютерных систем ВАДА опубликовала группировка Fancy Bear. Копии документов были выложены 13 сентября на сайте Fancybear.net. В материалах, в частности, говорилось, что четырехкратная медалистка Рио, гимнастка Симона Байлз во время соревнований четыре раза сдавала положительный тест на психостимулятор метилфенидат. При этом в распоряжении хакеров оказались и документы, подтверждающие врачебное разрешение Байлз на прием препарата фокалина, который содержит это вещество.

Fancy Bear обвинили известнейших американских спортсменов в употреблении допинга с ведома ВАДА. По утверждению хакеров, положительный тест на амфетамины во время Игр в Рио сдала баскетболистка Элена Делле Донне. На прием препарата у нее так же было разрешение. Кроме того, согласно опубликованным документам, разрешение принимать запрещенные препараты выдали теннисисткам Серене и Винус Уильямс. При этом данных об их положительных пробах хакеры не опубликовали. Пресс-служба Международного олимпийского комитета (МОК) заявила, что «указанные спортсмены не нарушали антидопинговые правила во время Олимпиады в Рио-де-Жанейро».

ВАДА подтвердило взлом систем в результате хакерской атаки. В агентстве признали, что хакерам удалось получить доступ к документам спортсменов, в частности к информации о применении ими определенных препаратов в медицинских целях с разрешения врачей. По информации ВАДА, речь идет только о документах, связанных с Олимпиадой в Рио; оснований полагать, что хакеры взломали другие базы данных, нет. По информации агентства, атаки проводились из России хакерской группой, называющей себя Tsar Team или Fancy Bear. Действия хакеров в ВАДА назвали преступлением.

Хакеры Fancy Bear подозреваются во взломе систем Демократической партии США. Эту группу также подозревали в участии в промышленном, политическом и военном шпионаже. Fancy Bear приписывали атаку на немецкий бундестаг и французский телеканал TV5 Monde в 2015 году. По мнению компании CrowdStrike, которая расследовала взлом Демократической партии, Fancy Bear связана с Главным разведывательным управлением России.