Шейн Харрис - Кибервойн@. Пятый театр военных действий

Эта деятельность очень напоминает работу правоохранительных органов. И это неудивительно, поскольку двое руководителей CrowdStrike – бывшие агенты ФБР. Шон Генри, генеральный директор CrowdStrike Services, подразделения компании, которое выслеживает и идентифицирует взломщиков, отслужил в бюро 24 года. Он уволился из ФБР в 2012 г., будучи старшим офицером, который отвечал за все международные киберпрограммы и расследования. Кстати, бывший заместитель директора киберподразделения ФБР теперь работает в компании главным консультантом. По словам Генри, CrowdStrike отличается от других компаний по кибербезопасности тем, что «когда мы реагируем на происшествие, мы по-настоящему охотимся за противником». Он говорит, что компания применяет методы компьютерной криминалистики и обратной разработки вредоносного ПО, чтобы понять тактику хакеров, методы их работы и мотивацию. Он осторожно обходит стороной все вопросы, связанные с вторжением в компьютеры противников компании, – агент ФБР в прошлом, он сам годами преследовал людей за нарушение антихакерских законов. Однако слово «охотимся» указывает на более агрессивную форму анализа, которую допускает компания, в отличие от других фирм, работающих в этой области. CrowdStrike устанавливает специальную аппаратуру в сетях своих клиентов и привлекает добровольцев для сбора большего объема информации о методах взломах, как только случается хакерская атака, вместо того, чтобы собирать улики уже после завершения атаки. Компания использует полученные данные, чтобы определить принадлежность хакера к определенной группе или стране. Это одна из самых сложных проблем киберкриминалистики, поскольку опытные хакеры, как правило, стараются скрыть свое физическое местоположение, используя для проведения атак зараженные компьютеры, находящиеся в других странах. CrowdStrike обещает сообщать своим клиентам не только о том, как они были атакованы, на также о том, кем и зачем. В первую очередь компания концентрирует свое внимание на шпионах и хакерах, работающих на другие государства, в том числе Иран, Китай и Россию. (Аналитики из группы «стратегической разведки» читают на трех языках: китайском, фарси и русском.) В своих маркетинговых материалах CrowdStrike многократно повторяет, что использует методы сбора разведданных для идентификации взломщиков и передает информацию о них своим клиентам.

Данная методика тоже взята из арсенала ФБР. Бюро устраивало облавы на хакеров, самые известные из которых были членами группы Anonymous, следя за тем, как они воруют данные у компаний и частных лиц. Эта информация становилась основанием для уголовного преследования. Однако CrowdStrike и ее клиенты не всегда доводят дело до суда. И именно в этой бизнес-модели компании кроется агрессивность.

Особенность, которая отличает CrowdStrike от конкурентов, заключается, по словам Генри, в «способности компании атаковать».

«Речь не идет о встречных хакерских атаках, направленных на самих хакеров, – говорит Генри, отметая любые намеки на то, что компания переступает черту и нарушает закон. – Мы говорим об обеспечении клиента определенными возможностями для создания и организации в его сети враждебной рабочей среды». Руководители CrowdStrike знают, что одним из способов создания подобного враждебного окружения, которым пользуются некоторые компании, является внедрение вредоносного ПО в ловушках, разбросанных ими по своим сетям. Когда злоумышленник скачивает документ или файл на собственный компьютер и пытается его открыть, в его систему запускается вирус. Он может уничтожить данные на жестком диске или установить шпионское ПО или бэкдор для того, чтобы открыть жертве взлома доступ к его компьютеру. CrowdStrike заявляет, что она не использует подобного рода ухищрения для заражения компьютеров. Тем не менее в 2013 г. сооснователь CrowdStrike Дмитрий Альперович в своем интервью рассказал, что он получил одобрение на подобные действия со стороны властей Грузии. В результате российского хакера хитростью вынудили скачать шпионское ПО, которое позволило удаленно его сфотографировать с помощью собственной веб-камеры. Эта фотография была опубликована в официальном отчете. «Частные компании должны получить право на подобного рода действия», – сказал Альперович.

В феврале 2014 г. компания Target [13]сообщила о хищении номеров кредитных банковских карт более чем 100 млн покупателей. После этого CrowdStrike опубликовала обучающий онлайн-семинар на тему борьбы с киберпреступностью. «Не будь мишенью! [14]» – говорилось в рекламе, которую компания разослала по электронной почте своим потенциальным клиентам. Предлагаемый курс должен был научить компании, «как использовать упреждающий подход для защиты своих сетей», и показать им, «как можно использовать информацию об угрозах для того, чтобы быть готовым к любой неожиданности». Может быть, CrowdStrike и не проводило встречных хакерских атак. Но предупреждения, которые компания отправляла своим клиентам, и услуги, которые она рекламировала, подразумевают, что клиенты в конце концов могут получить все необходимые навыки на случай, если они решат нанести ответный удар самостоятельно.

Определение местоположения противника – это огромный шаг вперед по сравнению с простым наблюдением за его перемещениями с технической и юридической точки зрения. Однако и здесь существует свой рынок, на котором кибернаемники создают и продают шпионское ПО и хакерские инструменты, по сложности не уступающие государственным разработкам США двух – трехлетней давности. Растущие мощности распределенных вычислительных систем, таких как облачные службы, дают возможность все большему числу небольших групп создавать все более сложное программное обеспечение. И вскоре маленькие компании смогут создавать масштабные и мощные образцы кибероружия, которые до недавнего времени были доступны исключительно государственным властям. Уже сейчас наемники оказывают заметную помощь чиновникам в деле запугивания и подавления активистов и диссидентов. Устройства, разработанные наемниками, относятся к самым устрашающим и опасным во всем киберпространстве.

Фирма Gamma, расположенная в Великобритании, согласно маркетинговым документам компании, продает шпионское ПО под названием FinFisher, которое прячется внутри «фальшивых обновлений для популярных программ». Шпионская программа может получить полную власть над компьютером, скопировать файлы и записать каждое слово, набранное пользователем. Она маскируется под обновление для популярной программы iTunes. Пользователи запускают обновление, полагая, что получают новейшую версию музыкальной программы, а на самом деле они устанавливают на свои компьютеры FinFisher. Египетские демократические активисты обвинили компанию в поставке шпионской программы режиму президента Хосни Мубарака, хотя компания отвергла эти обвинения. Мубарак отдал приказ на силовой разгон гражданских акций в Египте в 2011 г. незадолго до того, как его окончательно отстранили от власти. Исследователи в области безопасности также заявляют, что копии программы FinFisher были найдены в электронных письмах, отправленных на адреса демократических активистов в Бахрейне.