211service.com
Kiedy chińscy hakerzy wypowiedzieli wojnę reszcie z nas
Andrea Daquino
Późną środą marca 2015 r. w biurach GitHub, firmy programistycznej z siedzibą w San Francisco, zabrzmiał alarm. Biura firmy były przykładem stylu skandynawskiego i bezdusznego, który rozprzestrzenił się z Doliny Krzemowej, by przejąć nowoczesne miejsca pracy: wyeksponowane drewno, otwarte przestrzenie i dużo naturalnego światła. Większość pracowników przygotowywała się do odejścia, jeśli już tego nie zrobili. Na dworze słońce zaczęło zachodzić i było kojące i przejrzyste.
Alarmy nie były rzadkością w GitHub. Firma twierdzi, że utrzymuje największe na świecie repozytorium kodu komputerowego. Miał w tym czasie około 14 milionów użytkowników i szczyci się utrzymaniem swoich usług i pozostaniem online. Podstawowym produktem GitHub jest zestaw narzędzi do edycji, które pozwalają dużej liczbie programistów współpracować nad oprogramowaniem i śledzić zmiany w miarę naprawiania błędów. W październiku 2018 roku Microsoft kupiłby go za 7,5 miliarda dolarów.
Jednak w 2015 roku GitHub był wciąż dobrze prosperującą, niezależną firmą, której sukces polegał na ułatwieniu innym ludziom tworzenia oprogramowania komputerowego. Pierwszy alarm wskazywał na dużą ilość ruchu przychodzącego do kilku projektów przechowywanych na GitHub. To może być niewinne — może firma właśnie wprowadziła nową, dużą aktualizację — lub coś bardziej złowrogiego. W zależności od tego, w jaki sposób ruch był skupiony, więcej alarmów byłoby słyszalnych, gdyby nagły napływ miał wpływ na usługi w całym serwisie. Zabrzmiały alarmy. GitHub był pod kontrolą DDoS.
Jedną z najczęstszych przyczyn awarii dowolnej witryny internetowej jest gwałtowny wzrost ruchu. Serwery są przytłoczone żądaniami, co powoduje ich awarię lub spowolnienie w torturach. Czasami dzieje się tak po prostu dlatego, że strona nagle staje się popularna. Innym razem, jak w przypadku rozproszonego ataku typu odmowa usługi (DDoS), skok ten jest złośliwie zaprojektowany. W ostatnich latach takie ataki stały się coraz częstsze: hakerzy zaczęli infekować dużą liczbę komputerów wirusami, które następnie wykorzystują do przejęcia kontroli nad komputerami, angażując je w atak DDoS.
Obecnie doświadczamy największego ataku DDoS w historii GitHub, napisał starszy programista Jesse Newland w poście na blogu prawie 24 godziny po rozpoczęciu ataku. W ciągu następnych pięciu dni, gdy inżynierowie spędzili 120 godzin na walce z atakiem, GitHub spadł dziewięć razy. To było jak hydra: za każdym razem, gdy drużyna myślała, że sobie z tym poradziła, atak dostosowywał się i podwajał wysiłki. GitHub nie skomentował tego rekordu, ale członek zespołu, który rozmawiał ze mną anonimowo, powiedział, że to bardzo oczywiste, że było to coś, czego nigdy wcześniej nie widzieliśmy.
W wewnętrznym czacie firmy inżynierowie GitHub zdali sobie sprawę, że będą walczyć z atakiem przez jakiś czas. Gdy godziny przeciągały się do dni, stało się czymś w rodzaju konkurencji między inżynierami GitHub i kimkolwiek, kto był po drugiej stronie ataku. Pracując przez długie, gorączkowe zmiany, zespół nie miał dużo czasu na spekulacje na temat tożsamości napastników. Ponieważ plotki krążyły w Internecie, GitHub powiedziałby tylko: Wierzymy, że celem tego ataku jest przekonanie nas do usunięcia określonej klasy treści. Około 20 minut jazdy samochodem, po drugiej stronie zatoki San Francisco, Nicholas Weaver myślał, że zna winowajcę: Chiny.
Weaver jest ekspertem ds. bezpieczeństwa sieci w International Computer Science Institute, centrum badawczym w Berkeley w Kalifornii. Wraz z innymi badaczami pomógł określić cele ataku: dwa hostowane na GitHub projekty powiązane z GreatFire.org, chińską organizacją antycenzuralną. Te dwa projekty umożliwiły użytkownikom w Chinach odwiedzanie zarówno strony internetowej GreatFire, jak i chińskojęzycznej wersji New York Times, które są zwykle niedostępne dla użytkowników w Chinach. GreatFire, nazwana przez Chińską Administrację Cyberprzestrzeni zagraniczną organizacją antychińską, od dawna była celem ataków DDoS i hakerów, dlatego przeniosła część swoich usług na GitHub, gdzie nominalnie nie były zagrożone.
Chiny nie tylko blokowały bity i bajty danych, które próbowały dostać się do Chin, ale także kierowały przepływ danych z Chin.
Weaver znalazł coś nowego i niepokojącego, kiedy zbadał atak. W współautor artykułu wraz z badaczami z Citizen Lab, aktywisty i grupy badawczej z Uniwersytetu w Toronto, Weaver opisał nową chińską cyberbroń, którą nazwał Wielką Armatą. Wielka zapora — rozbudowany schemat powiązanych ze sobą technologii cenzurowania treści internetowych pochodzących spoza Chin — była już dobrze znana. Weaver i badacze z Citizen Lab odkryli, że Chiny nie tylko blokowały bity i bajty danych, które próbowały dostać się do Chin, ale także kierowały przepływ danych z Chin.
Ktokolwiek kontrolował Wielką Armatę, używał jej do selektywnego wstawiania złośliwego kodu JavaScript do zapytań i reklam obsługiwanych przez Baidu, popularną chińską wyszukiwarkę. Ten kod następnie skierował ogromny ruch do celów armaty. Wysyłając szereg żądań do serwerów, z których Wielkie Działo kierowało ruchem, badacze byli w stanie poskładać, jak się zachowywało, i uzyskać wgląd w jego wewnętrzne działanie. Działo to może być również wykorzystywane do innych ataków złośliwego oprogramowania poza atakami typu „odmowa usługi”. To było potężne nowe narzędzie: rozmieszczenie Wielkiego Działa to poważna zmiana w taktyce i ma bardzo widoczny wpływ, napisali Weaver i jego współautorzy.
Atak trwał kilka dni. Zespół Citizen Lab powiedział, że był w stanie obserwować jego efekty przez dwa tygodnie po pierwszym uruchomieniu alarmów GitHub. Później, gdy programiści GitHub starali się zrozumieć sens ataku i opracować mapę drogową dla przyszłych incydentów, w społeczności cyberbezpieczeństwa pojawiło się zamieszanie. Dlaczego Chiny przeprowadziły tak jawny atak, w tak dosadny sposób? To przesada, powiedział mi Weaver. Utrzymywali atak jeszcze długo po tym, jak przestał działać.
To była wiadomość: strzał z łuku od architektów Wielkiej zapory ogniowej, którzy – po podbiciu Internetu w domu – coraz częściej celowali za granicą, nie chcąc rzucać wyzwania swojemu systemowi kontroli i cenzury, bez względu na to, gdzie się znajdują. pochodzi z.
Atak na GitHub był rzadkim publicznym pokazem siły ataku chińskiego państwa cybernetycznego, które zwykle wolą ćwiczyć swoje możliwości za kulisami. Niektóre z tych możliwości zostały przypadkowo odkryte w styczniu 2009 roku.
Na poddaszu okazałego, starego budynku z czerwonej cegły pośrodku kampusu Uniwersytetu Toronto, na północ od centrum miasta, Nart Villeneuve wpatrywał się w ekran swojego komputera z niedowierzaniem. Villeneuve był absolwentem uniwersytetu i pracownikiem naukowym Citizen Lab. Śledził wyrafinowaną grupę cyberszpiegowską, która infiltrowała komputery, konta e-mail i serwery na całym świecie, szpiegując ich użytkowników i zawartość. Osoby atakujące starannie dostosowały tak zwane e-maile typu spear-phishing, aby wyglądały na pochodzące od przyjaciół i współpracowników celu, przekonując ludzi do pobrania złośliwego oprogramowania na swoje komputery i nieświadomego otwarcia się na inwigilację. Kampania była zaawansowana, ale jej twórcy wydawali się też zrobić coś dość głupiego.
Villeneuve podniósł telefon i zadzwonił do Rona Deiberta, swojego przełożonego i założyciela Citizen Lab.
Jak wspomina Deibert w swojej książce Czarny kod: Wewnątrz bitwy o cyberprzestrzeń , Villeneuve odkrył serwer dowodzenia i kontroli dla złośliwego oprogramowania, które rozprzestrzeniło się szeroko w Internecie.
Wchodzę w to, szepnął Villeneuve do telefonu.
Ich śledztwo rozpoczęło się kilka miesięcy wcześniej w Dharamsali, indyjskim mieście, do którego Dalajlama uciekł w 1959 roku, które jest obecnie centrum tybetańskiej społeczności emigracyjnej. Greg Walton, badacz terenowy z Citizen Lab, odwiedzał ten obszar od lat. Pod koniec lat 90. i na początku XXI wieku Walton pomógł rozwinąć pracę dwóch poprzednich tybetańskich pionierów Internetu, Dana Haiga i Thubtena Samdupa, którzy pomogli połączyć Dharamsalę z siecią WWW w czasie, gdy reszta Indii była ledwo podłączona do sieci. . Walton tworzył strony internetowe dla różnych organizacji pozarządowych i departamentów rządowych, prowadził zajęcia komputerowe i pomagał ludziom zakładać konta e-mail. Patrząc wstecz, zdał sobie sprawę, że wszyscy są zbyt pochłonięci korzyściami Internetu, jego zdolnością do łączenia i jednoczenia coraz bardziej rozproszonej diaspory tybetańskiej, aby myśleć o wadach. Chociaż wczesne dni były trudne, a technologia chwiejna, Internet szybko zapanował w Dharamsali. Niewiele uwagi poświęcono bezpieczeństwu.
Te nowe ostrzeżenia były znacznie bardziej skuteczne – i przerażające – ponieważ zostały wysłane do zagranicznych przywódców, gdy plany nie zostały publicznie ujawnione.
Wady wczesnego przyjęcia Internetu przez Tybet szybko stały się widoczne. Chiński rząd wysyłał gniewne wiadomości do zagranicznych przywódców, którzy próbowali umówić się na spotkania z Dalajlamą, jeszcze zanim wydarzenia zostały ogłoszone. Chiński rząd od dawna publicznie sprzeciwiał się jakimkolwiek kontaktom z separatystami. Ale jak powiedzieli mi ludzie w społeczności tybetańskiej, te nowe ostrzeżenia były znacznie bardziej skuteczne – i przerażające – ponieważ zostały wysłane do zagranicznych przywódców, gdy plany nie zostały publicznie ujawnione. Chiński rząd chciał, aby wszyscy zainteresowani wiedzieli, że słuchają.
Tybetańczycy z diaspory, którzy wkroczyli na terytorium kontrolowane przez Chińczyków, byli zatrzymywani na granicy i przesłuchiwani. Jeśli próbowali zaprzeczyć udziałowi w polityce, ich własne e-maile były przedstawiane jako dowód. Pewna kobieta, która pracowała nad programem pomocy w Dharamsali, który otrzymała fundusze od wspieranego przez rząd USA Voice of America, wjeżdżała do Tybetu z Nepalu, kiedy została zatrzymana przez chińską policję. Otrzymała wydruki swoich prywatnych rozmów z ludźmi w kontrolowanym przez Chińczyków Tybecie. Inna kobieta, amerykańska uczona mieszkająca w Pekinie, otrzymała zaproszenie na herbatę z urzędnikami bezpieczeństwa, co zdarza się na wpół regularnie dla każdego, kto zajmuje się drażliwymi sprawami w Chinach. Zapytana o swój e-mail, podała funkcjonariuszom ochrony fałszywe konto, którego nie używała do niczego innego; dwa dni później ktoś próbował włamać się na ten adres.
W Dharamsali komputer po komputerze był wyłączany przez agresywne złośliwe oprogramowanie zaprojektowane nie do szpiegowania, ale do sabotażu.
Najwyraźniej ktoś celował w Tybetańczyków. Wszystko wskazywało na Chiny, ale źródło operacji było niejasne. Czy Tybetańczycy byli celem służb bezpieczeństwa, wojska, tak zwanych patriotycznych hakerów, czy też kombinacji wszystkich trzech?
Współpracując z tybetańskimi ekspertami ds. bezpieczeństwa, Walton zaczął zbierać próbki podejrzanych e-maili i złośliwego oprogramowania. Jednym z tych lokalnych ekspertów był Lobsang Gyatso Sither. Sither urodził się w Dharamsali w 1982 roku jako jeden z pokolenia wygnańców, którzy nigdy nie mieszkali w Tybecie. Studiował informatykę w Indiach i Wielkiej Brytanii i w dużej mierze opuścił Dharamsalę, kiedy spotkał Waltona w Londynie pod koniec 2000 roku i dowiedział się o atakowaniu Tybetańczyków. Wrócił z Waltonem w Himalaje i obaj zaczęli współpracować z biurem Dalajlamy i każdym innym oczywistym celem, aby przeciwdziałać włamaniom i cyberatakom.
Na początku ataki były dość nieskomplikowane: e-maile w łamanym języku angielskim zachęcały użytkowników do uruchamiania plików wykonywalnych. W pojedynkę nie wywołaliby zbyt dużego alarmu, ale gdy Walton, Sither i inni zbierali coraz więcej próbek, zaczęli dostrzegać skalę kampanii. Sither powiedział mi, że atakowana była cała społeczność, chociaż większość z nich nie byłaby interesująca dla hakerów.
Nawet osoby niezwiązane bezpośrednio z kluczowym celem mogą być przydatne dla hakerów. Podobnie jak policja ściga sprawę mafii, hakerzy mogą przesuwać się w górę łańcucha, używając zhakowanych kont, aby ścigać ostateczne cele i ich współpracowników za pomocą bardziej wiarygodnych ataków phishingowych.
Napastnicy uważnie obserwowali powodzenie swojej operacji. Kiedy rozpoczęto poważną kampanię edukacyjną, aby zachęcić Tybetańczyków, by nie otwierali załączników i zamiast tego korzystali z usług opartych na chmurze, takich jak Dysk Google do udostępniania dokumentów, szybko pojawiło się nowe złośliwe oprogramowanie. Konkretnie ukierunkowany był na usługi, które zalecała kampania edukacyjna.
Przed odkryciem przez Villeneuve serwera dowodzenia i kontroli zespół był w stanie śledzić jedynie cele kampanii szkodliwego oprogramowania — a nie samych atakujących. Teraz Villeneuve mógł dokładnie zobaczyć, co napastnicy robią na komputerach, do których uzyskali dostęp. Podstawową bronią w zestawie narzędzi hakerów był pojedynczy złośliwy program, pierwotnie opracowany przez chińskich programistów, a później przeniesiony na język angielski, zwany Gh0st Remote Administration Tool lub Gh0st Rat.
Dzięki dochodzeniu w Dharamsali zespół Citizen Lab mógł stwierdzić, że szkodliwe oprogramowanie atakujące Tybetańczyków komunikowało się z serwerami znajdującymi się w Hainan, południowej chińskiej wyspie. Hakowanie skierowane było na urzędników wojskowych, ustawodawców, dziennikarzy i setki innych osób w Dharamsali, Indiach i innych częściach Azji, których działalność była monitorowana przez hakerów. Prawie na pewno, jak napisał zespół w swoim raporcie, dokumenty są usuwane bez wiedzy celów, naciśnięcia klawiszy są rejestrowane, kamery internetowe są uruchamiane po cichu, a wejścia audio są potajemnie aktywowane. Chociaż Citizen Lab nie było w stanie jednoznacznie powiedzieć, kto stał za włamaniem, w raporcie stwierdzono, że najprawdopodobniej ten zestaw głośnych celów został wykorzystany przez państwo chińskie do celów wojskowych i wywiadu strategicznego.
Raport doszedł do tego wniosku, ponieważ na wyspie Hainan znajdował się ośrodek wywiadu sygnałów Lingshui oraz oddział Trzeciego Departamentu Technicznego Armii Ludowo-Wyzwoleńczej, chińskiego odpowiednika Narodowej Agencji Bezpieczeństwa. GhostNet, jak nazwał to hakowanie zespół Citizen Lab, był jedną z pierwszych oznak rzekomych możliwości hakerskich PLA. W ciągu lat FBI oskarżyło kilku czołowych urzędników wojskowych o atakowanie amerykańskich firm i instytucji, zarówno o szpiegostwo przemysłowe, jak i wojskowe. PLA została również oskarżona o włamanie do Biura Zarządzania Personelem (OPM), dużej federalnej agencji zasobów ludzkich, która naraziła na szwank dane osobowe nawet 18 milionów obecnych, byłych i przyszłych pracowników federalnych.
Włamanie do OPM zostało ogłoszone publicznie w czerwcu 2015 r. Kilka miesięcy później prezydent Barack Obama hostowane Chiński przywódca Xi Jinping w Białym Domu, gdzie dwaj mężczyźni podpisali dwustronną umowę obiecującą, że rząd żadnego kraju nie będzie prowadził ani świadomie wspierał kradzieży własności intelektualnej wykorzystującej cyberprzestrzeń, w tym tajemnic handlowych lub innych poufnych informacji. Umowa była dla Obamy wielką wygraną dyplomatyczną, ponieważ zbliżał się do końca swojej drugiej kadencji, a początkowe oznaki postępu były dobre, ale właściwa analiza została w dużej mierze podważona przez wybory w USA w 2016 r. i wywołane furią z powodu rzekomego rosyjskiego hakowania Partii Demokratycznej. Ponieważ obawy o podejrzanych hakerów podważających amerykańskie instytucje przeniosły się z Pekinu do Moskwy, mniej uwagi poświęcono roli chińskiego rządu w przyszłych atakach.
W międzyczasie hakerzy nadal atakują tybetańską społeczność na uchodźstwie, a ci z diaspory nadal walczą. W klasach i salach spotkań w Dharamsali Sither i inni eksperci ds. bezpieczeństwa prowadzą warsztaty na temat szyfrowania wiadomości e-mail, bezpiecznych aplikacji do przesyłania wiadomości i innych sposobów na zachowanie bezpieczeństwa w Internecie. Ludzie, z którymi współpracuje Sither, generalnie reagują na ciągłe cyberzagrożenia na dwa sposoby: ambiwalentnie lub paranoją. Obie odpowiedzi go frustrują. Niektórzy ludzie są nieugięci, że nie mają nic do ukrycia; ale jeśli ich konta zostaną naruszone, może to wpłynąć na tych, którzy bardzo mają rzeczy, które chcieliby ukryć przed chińskim rządem. Inni są tak przerażeni pomysłem, że chińscy szpiedzy obserwują, że nie wykonują żadnej pracy: dokładnie taki rodzaj efektu mrożącego, na jaki liczyli cenzorzy. Staramy się znaleźć równowagę między bezpieczeństwem a tym, żeby ludzie się nie przestraszyli, powiedział mi Sither. Czasami jest to wyzwanie.
Wielu uważało, że internet wprowadzi demokrację do Chin. Zamiast tego umożliwił rządowy nadzór i kontrolę poza marzeniami Mao Zedonga.
GitHub i Tybetańczycy, tacy jak Lobsang Sither, byli jednymi z pierwszych ofiar na nowym froncie chińskiej wojny w Internecie, zapoczątkowanej przez nowy rodzaj cenzorów, którzy zdecydowali się ścigać wrogów kraju, gdziekolwiek się znajdują, za pomocą wszelkich niezbędnych środków.
W grudniu poinformowano, że w 2014 roku chińscy aktorzy dokonali włamania na międzynarodową sieć hoteli Marriott. Włamanie do sieci Marriott zostało ogłoszone publicznie jakieś cztery lata po tym, jak miało miejsce. Wiele innych ataków prawdopodobnie nie zostało jeszcze potwierdzonych publicznie, ponieważ firmy ukrywają problemy, aby nie zaszkodzić stosunkom z Chinami.
Marriott poniósł także główny ciężar kolejnej chińskiej kampanii cenzury. W styczniu 2018 roku strona Marriotta została zablokowana w Chinach, a firma została zmuszona do wystosowania upokarzających przeprosin po tym, jak w formularzu wymieniła Tybet i Hongkong jako odrębne kraje. Ośmieleni sukcesem w dyktowaniu warunków Marriottowi, chińscy urzędnicy ścigają linie lotnicze i inne firmy w kwestiach takich jak błędna identyfikacja Tajwanu.
Wielu uważało, że internet wprowadzi demokrację do Chin. Zamiast tego umożliwił rządowy nadzór i kontrolę poza marzeniami Mao Zedonga. Teraz cenzorzy zwracają uwagę na resztę świata.
Ta historia została zaczerpnięta z nowej książki Jamesa Griffithsa Wielka chińska zapora ogniowa: jak zbudować i kontrolować alternatywną wersję Internetu , który zostanie opublikowany w marcu przez Zed Books. Griffiths donosił z Hongkongu, Chin, Korei Południowej i Australii dla takich serwisów, jak CNN International, South China Morning Post, Atlantic, Vice i Daily Beast.