Chińscy hakerzy przebrali się za Iran, by wziąć na cel Izrael

Zdjęcie AP/Ng Han Guan

Kiedy hakerzy włamali się do komputerów w izraelskim rządzie i firmach technologicznych w 2019 i 2020 roku, śledczy szukali wskazówek, aby dowiedzieć się, kto jest za to odpowiedzialny. Pierwsze dowody wskazywały bezpośrednio na Iran, najbardziej kontrowersyjnego geopolitycznego rywala Izraela. Hakerzy wykorzystali na przykład narzędzia zwykle kojarzone z Irańczykami i pisali w języku farsi.

Jednak po dalszym zbadaniu dowodów – i informacji zebranych z innych spraw dotyczących cyberszpiegostwa na Bliskim Wschodzie – analitycy zdali sobie sprawę, że nie była to operacja irańska. Zamiast tego przeprowadzili ją chińscy agenci udający zespół hakerów z Teheranu.

Hakerzy z powodzeniem zaatakowali izraelski rząd, firmy technologiczne i firmy telekomunikacyjne – i wydaje się, że rozmieszczając fałszywe flagi, mieli nadzieję wprowadzić w błąd analityków, by uwierzyli, że napastnicy pochodzili z regionalnego wroga Izraela.

Nowy Badania amerykańskiej firmy FireEye zajmującej się bezpieczeństwem cybernetycznym, współpracującej z izraelskim wojskiem, ujawnia nieudane oszustwo i opisuje techniki, których użyli hakerzy, aby zrzucić winę gdzie indziej.

Powiązana historia

Chińscy hakerzy udający Radę Praw Człowieka ONZ atakują Ujgurów

Według nowego raportu chińskojęzyczni hakerzy atakują ujgurskich muzułmanów za pomocą fałszywych raportów ONZ i fałszywych organizacji wspierających.

Według artykułu badawczego wiele ich taktyk było dość dosadnymi próbami sugerowania, że ​​są irańskimi szpiegami, na przykład używanie ścieżek plików zawierających słowo Iran. Jednak napastnicy dołożyli również trudu, aby chronić swoją prawdziwą tożsamość, minimalizując dowody kryminalistyczne, które pozostawili na zhakowanych komputerach i ukrywając infrastrukturę, której użyli do włamania się do izraelskich maszyn.

Ale ich sztuczka, by wskazać palcem na Iran, nie powiodła się. Hakerzy, których FireEye nazywa UNC215, popełnili kilka kluczowych błędów technicznych, które rozwiały ich przykrywkę i mocno powiązały ich z poprzednią pracą. Na przykład używali podobnych plików, infrastruktury i taktyk w wielu operacjach na Bliskim Wschodzie.

Są elementy, które wyróżnią operatora lub jego sponsora, mówi John Hultquist, wiceprezes ds. analizy zagrożeń w FireEye. Będą krwawić przez wiele operacji, niezależnie od oszustwa.

Oprócz wielu prezentów technicznych, kolejną ważną wskazówką jest rodzaj informacji lub ofiar, na które namierzyli hakerzy. UNC215 wielokrotnie atakuje tego samego rodzaju cele na Bliskim Wschodzie i w Azji, wszystkie bezpośrednio związane z politycznymi i finansowymi interesami Chin. Cele tej grupy pokrywają się z celami innych chińskich grup hakerskich, co nie zawsze pokrywa się z interesami znanych irańskich hakerów.

Możesz stworzyć znaczące oszustwo, ale ostatecznie musisz skupić się na tym, co cię interesuje, mówi Hultquist. To dostarczy informacji o tym, kim jesteś ze względu na to, gdzie się interesujesz.

Jedynym oczywistym sposobem przeciwdziałania temu problemowi jest zepchnięcie badaczy ze szlaku poprzez tropienie celów, które tak naprawdę nie są interesujące. Ale to powoduje własne problemy: zwiększenie aktywności znacznie zwiększa szanse na złapanie.

Odciski palców pozostawione przez napastników wystarczyły, by ostatecznie przekonać izraelskich i amerykańskich śledczych, że to chińska grupa, a nie Iran, jest za to odpowiedzialna. Ta sama grupa hakerów stosowała już wcześniej podobne zwodnicze taktyki. W rzeczywistości mógł nawet włamać się do samego rządu Iranu w 2019 roku, dodając dodatkową warstwę do oszustwa.

Jest to pierwszy przykład zakrojonego na dużą skalę chińskiego włamania na Izrael, który pojawił się po a zestaw wielomiliardowych chińskich inwestycji w izraelskim przemyśle technologicznym. Powstały w ramach pekińskiej inicjatywy Belt and Road Initiative, strategii gospodarczej mającej na celu: szybko rozszerzać chińskie wpływy i dotrzeć przez Eurazę do Oceanu Atlantyckiego. Stany Zjednoczone ostrzegły przeciwko inwestycje na podstawie tego, że stanowiłyby zagrożenie dla bezpieczeństwa.

Złe ukierunkowanie i niewłaściwa atrybucja

Oszustwo UNC215 przeciwko Izraelowi nie było szczególnie wyrafinowane ani skuteczne, ale pokazuje, jak ważna może być atrybucja – i błędna atrybucja – w kampaniach cyberszpiegowskich. Nie tylko stanowi potencjalnego kozła ofiarnego dla ataku, ale także zapewnia dyplomatyczną osłonę dla atakujących: w obliczu dowodów szpiegostwa chińscy urzędnicy regularnie twierdzą, że wyśledzenie hakerów jest trudne lub wręcz niemożliwe. Kiedy sięgnął po komentarz, rzecznik ambasady chińskiej w Waszyngtonie powiedział, że kraj ten „stanowczo sprzeciwia się i zwalcza wszelkie formy cyberataków”.

A próba zmylenia śledczych rodzi jeszcze większe pytanie: jak często próby fałszywej flagi oszukują śledczych i ofiary? Nie tak często, mówi Hultquist.

Rzecz w tych próbach oszustwa polega na tym, że jeśli spojrzysz na incydent przez wąski otwór, może to być bardzo skuteczne, mówi. Ale nawet jeśli pojedynczy atak zostanie błędnie przypisany, pojedynczy atak może zostać błędnie przypisany, ale w trakcie wielu ataków coraz trudniej jest utrzymać tę szaradę. Tak jest w przypadku chińskich hakerów atakujących Izrael w 2019 i 2020 roku.

„Bardzo trudno jest utrzymać oszustwo w wielu operacjach”.

John Hultquist, FireEye

Gdy zaczniesz wiązać to z innymi incydentami, oszustwo traci swoją skuteczność, wyjaśnia Hultquist. Bardzo trudno jest utrzymać oszustwo w wielu operacjach.

Najbardziej znana próba błędna atrybucja w cyberprzestrzeni był rosyjski cyberatak na ceremonię otwarcia Zimowych Igrzysk Olimpijskich 2018 w Korei Południowej, nazwany Niszczyciel olimpijski . Rosjanie próbowali pozostawić wskazówki wskazujące na hakerów z Korei Północnej i Chin – z sprzecznymi dowodami, które najwyraźniej miały uniemożliwić śledczym dojście do jakichkolwiek jasnych wniosków.

Olympic Destroyer to niesamowity przykład fałszywych flag i koszmaru atrybucji, Costin Raiu, dyrektor globalnego zespołu ds. badań i analiz w Kaspersky Lab, tweetował wtedy.

Ostatecznie badacze i rządy ostatecznie zrzuciły winę za ten incydent na rząd rosyjski, a w zeszłym roku Stany Zjednoczone. oskarżony sześciu rosyjskich oficerów wywiadu do ataku.

Ci hakerzy z Korei Północnej, którzy byli początkowo podejrzani o włamanie do Olympic Destroyer, mają sami porzucone fałszywe flagi podczas własnych operacji. Ale ostatecznie zostali złapani i zidentyfikowani zarówno przez badaczy z sektora prywatnego, jak i przez rząd Stanów Zjednoczonych, który: oskarżony trzech hakerów z Korei Północnej na początku tego roku.

Zawsze panowało błędne przekonanie, że atrybucja jest bardziej niemożliwa niż jest, mówi Hultquist. Zawsze myśleliśmy, że fałszywe flagi wejdą do rozmowy i zrujnują cały nasz argument, że przypisanie jest możliwe. Ale jeszcze nas tam nie ma. Są to wciąż wykrywalne próby zakłócenia atrybucji. Wciąż to łapiemy. Jeszcze nie przekroczyli linii.

ukryć