Koszmar cyberszpiegostwa

Na ścianie naprzeciw dziesiątek boksów w biurze FBI w Pittsburghu pięciu facetów z Szanghaju wpatruje się w plakaty gończe. Wang Dong, Sun Kailiang, Wen Xinyu, Huang Zhenyu i Gu Chunhui są, według federalnego akt oskarżenia odpieczętowani w zeszłym roku, agenci Jednostki Chińskiej Armii Ludowo-Wyzwoleńczej 61398, którzy włamywali się do sieci w amerykańskich firmach – USA. Steel, Alcoa, Allegheny Technologies (ATI), Westinghouse — plus największy przemysłowy związek zawodowy w Ameryce Północnej, United Steelworkers i amerykańska filia SolarWorld, niemieckiego producenta paneli słonecznych. Prokuratorzy twierdzą, że przez kilka lat agenci ukradli tysiące e-maili dotyczących strategii biznesowej, dokumentów dotyczących spraw o nieuczciwy handel, które niektóre amerykańskie firmy wniosły przeciwko Chinom, a nawet projektów rurociągów dla elektrowni jądrowych – wszystko to rzekomo z korzyścią dla chińskich firm .

Jest to pierwsza sprawa wniesiona przez Stany Zjednoczone przeciwko sprawcom rzekomego sponsorowanego przez państwo cyberszpiegostwa, która ujawniła luki w zabezpieczeniach komputerowych, które firmy rzadko ujawniają publicznie. Chociaż napastnicy najwyraźniej kierowali swoje działania przez komputery niewinnych ludzi i podejmowali inne wysiłki, aby się zamaskować, prokuratorzy wyśledzili włamania do 12-piętrowego budynku w Szanghaju i ujawnili poszczególnych agentów wywiadu. Istnieje niewielka szansa na aresztowania, ponieważ Stany Zjednoczone nie mają umów o ekstradycji z Chinami, ale rząd USA najwyraźniej ma nadzieję, że wyznaczenie rzeczywistych agentów – i zademonstrowanie, że śledzenie ataków jest możliwe – wprawi Chiny w zakłopotanie i zwróci uwagę innych narodów. hamowanie przyszłego szpiegostwa gospodarczego.

Ta historia była częścią naszego wydania z lipca 2015 r.

• Zobacz resztę numeru
• Subskrybuj

To może być nierealne. Firmy ochroniarskie twierdzą, że taka działalność trwa, a Chiny nazywają te oskarżenia czysto bezpodstawnymi i absurdalnymi. Ale jest jeszcze jedna lekcja z aktu oskarżenia: jest mało prawdopodobne, aby firmy chroniły cenne informacje w Internecie. Bez względu na to, jakie kroki podejmują, nie nadążają za zagrożeniami. Najwyraźniej sytuacja się pogorszyła, a nie poprawiła, mówi Virgil Gligor, który współkieruje centrum badań nad bezpieczeństwem komputerowym Uniwersytetu Carnegie Mellon, znanym jako CyLab. Sprawiliśmy, że dostęp do usług i baz danych oraz łączność jest tak wygodny, że jest również wygodny dla naszych przeciwników. Kiedy firmy to zaakceptują, mówi Gligor, najbardziej oczywistą odpowiedzią jest drastyczna odpowiedź: odłącz.

Fracking i hacking

Siedząc przy małym stole konferencyjnym w swoim gabinecie w sądzie federalnym w Pittsburghu, David Hickton, prokurator Stanów Zjednoczonych zachodniej Pensylwanii, otworzył plastikowy pojemnik, który przyniósł z domu, wyjął i obrał jajko na twardo na lunch. Chociaż dyskutowaliśmy o śledztwie z udziałem globalnych graczy i nieprzejrzystych technologii, domowa atmosfera naszego spotkania była trafna: sprawa miała wiele korzeni w zgranych kręgach biznesowych i politycznych w Pittsburghu. Hickton pokazał mi zdjęcie w ramce na półce. Na zdjęciu on i jego przyjaciel John Surma stoją obok swoich synów, chłopców w strojach hokejowych, prosto z lodu. Obaj ojcowie uczęszczali do Penn State. Gdy Hickton awansował w szeregach prokuratorów, Surma awansował w świecie korporacji, zostając dyrektorem generalnym US Steel. Kiedy w 2010 roku Hickton został głównym prokuratorem federalnym w okolicy, jedno z jego śniadań powitalnych było z Surmą i Leo Girardem, szefem United Steelworkers, która reprezentuje 1,2 miliona obecnych lub emerytowanych pracowników w kilku branżach. Poprosiłem ich w zupełnie niezwiązanej sprawie, aby zasiadali w radzie ds. zapobiegania przestępczości wśród młodzieży, wspomina Hickton. Powiedzieli: „Czy możemy z tobą porozmawiać o czymś innym?”

W tym czasie amerykański boom na szczelinowanie był w pełnym rozkwicie, z ultraniskimi stopami procentowymi, które zostały ustalone w celu stymulowania gospodarki, a także smarowały biznes wydobycia wcześniej trudno dostępnego gazu ziemnego i ropy naftowej. Firma US Steel miała dobrze prosperujący biznes, sprzedając rury specjalnie zaprojektowane do procesu wydobycia. Wśród innych cech, rury nie mają pionowych szwów, więc wytrzymają, gdy zostaną wbite tysiące stóp w ziemię, a jednocześnie wyginają się, aby przenosić ropę i gaz bez pękania.

Musimy pokryć koszty bezpieczeństwa, co jest niedogodnością.

Ale firma US Steel zauważyła również dwa niepokojące wydarzenia. Po pierwsze, chińskie przedsiębiorstwa państwowe eksportowały wiele podobnych rur do Stanów Zjednoczonych po niskich cenach. Tak więc firma US Steel złożyła skargi do Departamentu Handlu USA i Komisji Handlu Międzynarodowego USA, oskarżając Chiny o subsydiowanie swojego przemysłu; wynikłe sprawy ostatecznie doprowadziły do ​​nałożenia sankcji na Chiny. Po drugie, zarówno firma, jak i związek były świadome, że nadeszły podejrzane e-maile. Nie było jednak jasne, kto za nimi stoi i czy wystąpiły jakieś szkody. Istniała ogólna świadomość włamań, ale nie „kiedy, gdzie, jak” i zakresu, mówi Hickton.

E-maile zostały sprytnie zaprojektowane. Podobno pochodzili od współpracowników lub członków zarządu, a ich wiersze tematyczne odnosiły się do planów spotkań lub badań rynkowych, ale dostarczali złośliwe oprogramowanie za pomocą załączników lub linków. Na przykład akt oskarżenia mówi, że 8 lutego 2010 r. – dwa tygodnie przed wydaniem orzeczenia w trybie prejudycjalnym przez Departament Handlu – hakerzy wysłali e-mail do kilku pracowników U.S. Steel. Wyglądało na to, że pochodził od dyrektora generalnego, ale zawierał link do strony internetowej zawierającej złośliwe oprogramowanie. Kilku pracowników kliknęło go i wkrótce ich komputery zostały zainfekowane. Rezultat: hakerzy ukradli nazwy hostów dla 1700 serwerów, które kontrolowały dostęp do obiektów i sieci firmy. Akt oskarżenia mówi, że Wang próbował następnie wykorzystać ten dostęp, ale nie określa, jakie informacje zostały ujawnione.

Debbie Shon, wiceprezes US Steel ds. handlu, powiedziała mi, że informacje zawierały cenne informacje biznesowe. Mówi, że to nie były projekty high-tech. Były to równie ważne sprawy — strategie biznesowe, ceny, wielkość produkcji oraz terminy i treść wszelkich skarg handlowych, które US Steel, jako jedna z największych firm w tej dziedzinie, może badać.

Akt oskarżenia opisuje kilka podobnych ataków. W latach 2007-2013 Westinghouse negocjował szczegóły umowy z chińską firmą na budowę czterech reaktorów jądrowych. W latach 2010-2012 jeden z oskarżonych rzekomo ukradł z komputerów Westinghouse co najmniej 1,4 gigabajta danych — około 700 000 stron wiadomości e-mail i załączników. Akta zawierały projekty rurociągów i komunikaty, w których Westinghouse ujawnił obawy o chińską konkurencję. W ATI hakerzy rzekomo ukradli hasła 7000 pracowników, gdy firma była w sporze handlowym dotyczącym sprzedaży do Chin. Prokuratorzy twierdzą, że w Alcoa hakerzy ukradli 2900 e-maili z ponad 860 załącznikami mniej więcej w czasie, gdy firma negocjowała umowy z chińskimi firmami. (Alcoa, Westinghouse i ATI wszystkie odmówiły komentarza do tej historii.) A w 2012 roku, po tym, jak związek hutników zaczął wypowiadać się przeciwko chińskiej polityce przemysłowej, Wen ukradł e-maile zawierające dyskusje między przywódcami związkowymi, jak głosi akt oskarżenia.

Tymczasem SolarWorld wniósł sprawy handlowe, oskarżając chińskie firmy o sprzedaż paneli fotowoltaicznych poniżej kosztów, dziesiątkując ich rywali. Pewnego dnia w 2012 roku w jej biurze w Camarillo w Kalifornii zadzwonił telefon. To dzwoniło FBI, mówiąc, że agenci odkryli e-maile skradzione firmie, mówi Ben Santarris, jej rzecznik w USA. Na znak tego, jak złe jest cyberbezpieczeństwo, nie można było przypuszczać, że tak się dzieje, dopóki nie otrzymaliśmy telefonu, mówi. Dopiero po otwarciu aktu oskarżenia w maju 2014 roku firma dowiedziała się o pełnym zakresie zarzucanej kradzieży. Był dostęp do strategii handlowej, finansów firmy, kosztów, zestawień zysków i strat, map drogowych technologii, badań i rozwoju i tak dalej, mówi Santarris. Ostatecznie firma wygrała swoje sprawy, zabezpieczając cła na import sprzętu fotowoltaicznego z Chin. Podczas sporu handlowego obserwowaliśmy bardzo ścisłą kontrolę nad tym, kto może zobaczyć jakie informacje, mówi. W tym czasie, według FBI, chińskie wojsko wchodziło tylnymi drzwiami.

Zdejmij to

Awaria rzekomych technologii bezpieczeństwa firm była oszałamiająca. Lance Wyatt, dyrektor ds. informatyki związku hutników, uważał, że kieruje statkiem w ciasnych warunkach. Audyt informatyczny przeprowadzony w 2010 r. nie wykazał żadnych poważnych uchybień. Jego serwer poczty e-mail sprawdzał wszystkie przychodzące wiadomości pod kątem załączników zawierających kod wykonywalny. Miał najnowsze oprogramowanie antywirusowe. Jego sieć sprawdzała adresy IP, aby uniknąć witryn zawierających złośliwe oprogramowanie. Jednak Wyatt i FBI w końcu znaleźli zainfekowane komputery, z których jeden był używany przez kierownika podróży związku. Żadna z tych maszyn nie była na naszym radarze jako zainfekowana lub podejrzana, mówi.

Według aktu oskarżenia hakerzy dysponowali różnymi środkami kamuflażu. Po pierwsze, rzekomo wysłali złośliwe wiadomości e-mail do firm i związku z punktów przeskoku — komputerów pośrednich, w tym jednego w Kansas, które były pod ich kontrolą. Po drugie, umiejętnie manipulowali internetowym systemem nazewnictwa adresów komputerów. Hakerzy ustawili nazwy domen, takie jak arrowservice.net i purpledaily.com, i zaprogramowali złośliwe oprogramowanie na komputerach ofiar korporacyjnych, aby się z nimi skontaktować. Wtedy szpiedzy mogli ciągle zmieniać adresy komputerów, z którymi łączyły się nazwy domen. Akt oskarżenia mówi, że gdy był dzień w Szanghaju i noc w Pittsburghu, ustawili nazwę domeny, aby łączyć się z komputerami typu hop-point i prowadzić szpiegostwo. Po zakończeniu pracy w Szanghaju hakerzy ustawili adres, aby połączyć się z nieszkodliwymi witrynami, takimi jak strony Yahoo.

Nie jest niespodzianką, że takie systemy są stosunkowo łatwe do kooptowania w nikczemnych celach. Pomysły na zwiększenie bezpieczeństwa Internetu istnieją już od dziesięcioleci, a laboratoria akademickie i rządowe wyszły naprzeciw interesującym propozycjom. Jednak bardzo niewiele z tych pomysłów zostało wdrożonych; wymagają szerokiego przyjęcia i ewentualnie kompromisów w wydajności sieci. Nie słyszy się już o odbudowie Internetu, mówi Greg Shannon, główny naukowiec w oddziale CERT Instytutu Inżynierii Oprogramowania Carnegie Mellon.

Co ma robić firma? Wyatt zaostrzył sprawy w United Steelworkers; między innymi daje teraz mniej pracownikom tak zwane uprawnienia administracyjne do ich komputerów i przeszukuje sieć w poszukiwaniu charakterystycznych oznak komunikacji przez złośliwe oprogramowanie. Ale nic z tego nie zapobiegłoby włamaniom. Wyatt mówi, że to mogło ich spowolnić.

Najlepszą opcją byłoby zatem całkowite usunięcie poufnych danych z Internetu. Są tego minusy: jeśli poczta e-mail nie jest wykorzystywana tak swobodnie lub baza danych jest offline, śledzenie najnowszych wersji raportów lub innych danych może być bardziej czasochłonne. Ale jak mówi Gligor: Musimy zapłacić koszt bezpieczeństwa, co jest niedogodnością. Musimy dodać trochę niedogodności, aby znacznie utrudnić zdalnemu napastnikowi. Sposobem na to jest — jak by to ująć? — od czasu do czasu przejść do trybu offline.

W końcu wciąż dochodzi do kolejnych ataków, takich jak te w Pittsburghu. Ten akt oskarżenia, mówi Hickton, nie przedstawia pełnej liczby hakerów, pełnej liczby ofiar ani pełnej liczby oskarżonych.

— David Talbot

ukryć