211service.com
Nieudolny cyberszpieg stalkuje w Iranie
W ciągu ostatnich dwóch lat rządy na Bliskim Wschodzie były atakowane przez wyrafinowane oprogramowanie szpiegowskie, najwyraźniej stworzone przez światowej klasy badaczy, którym nieznane państwa płacą za atakowanie wrażliwych danych i infrastruktury. Jednak najnowszy szkodliwy program skutecznie szpiegujący banki, departamenty rządowe i firmy w Iranie i sąsiednich krajach jest niemal śmiesznie amatorski. Eksperci uważają, że oprogramowanie o nazwie Mahdi mogło zostać stworzone przez aktywistów. Ta możliwość sugeruje, że Stany Zjednoczone i inne rządy martwiące się swoją podatnością na cyberwojnę (patrz Szef NSA chce większej kontroli nad siecią) mogą martwić się czymś więcej niż tylko innymi narodami.
Jedną z moich pierwszych reakcji było „Żartujesz?”, mówi badacz Roel Schouwenberg z firmy zajmującej się bezpieczeństwem komputerowym. Kaspersky , odnosząc się do nieudolnie stworzonego złośliwego oprogramowania. Mahdi, nazwany przez badaczy, którzy odkryli program w izraelskiej firmie ochroniarskiej Seculert , jest nadęty, zapluskwiony i napisany przy użyciu technik sugerujących, że jego twórcy są znacznie mniej utalentowani niż twórcy Stuxnet, Flame czy Gauss, mówi Schouwenberg. Te formy złośliwego oprogramowania, wymierzone w Bliski Wschód, oszołomiły badaczy swoim wyrafinowaniem (zob. Sposób na atakowanie elektrowni jądrowych i Era antywirusów dobiegła końca).
Jednak Mahdi nadal był skuteczny. Po zinfiltrowaniu komputera potajemnie wysyła dane z powrotem do swoich operatorów — dokumenty, dzienniki naciśnięć klawiszy, nagrania dźwiękowe i zrzuty ekranu działań, takich jak dostęp użytkownika do poczty e-mail. Udało mu się zinfiltrować firmy z sektora finansowego i infrastruktury krytycznej, mówi Schouwenberg. Inne cele obejmują departamenty rządowe oraz inżynierów i studentów.
Chociaż najwyraźniej narzędzia wspierane przez narody, takie jak Stuxnet, Flame i Gauss, atakowały podobne cele, prymitywny projekt Mahdiego podnosi perspektywę, że żaden rząd nie pokrył rachunku za jego stworzenie, mówi Aviv Raff, współzałożyciel Seculert. Ponieważ jest to szybka i brudna robota, uważamy, że może to być praca „haktywistów”, a nie bezpośredniej grupy sponsorowanej przez państwo narodowe, mówi.
Udowodnienie, że byłoby to prawie niemożliwe, ale Mahdi przynajmniej pokazuje, że w dzisiejszych czasach nie potrzebujesz zasobów ani umiejętności Jamesa Bonda, aby wziąć udział w szpiegostwie na wysokim poziomie. Grupy haktywistów, takie jak Anonymous i LulzSec, trafiły na pierwsze strony gazet w zeszłym roku, atakując znane strony internetowe, aby zwrócić uwagę na przyczyny, takie jak Wikileaks. Sukces Mahdiego sugeruje, że takie grupy mogłyby zrobić coś więcej niż tylko wystawić internetowy odpowiednik destrukcyjnych protestów.
Mahdi rozprzestrzenia się za pośrednictwem załącznika do wiadomości e-mail, który otwiera prezentację, która prosi użytkownika o kliknięcie serii slajdów i ostatecznie uruchomienie programu osadzonego w jednym z nich. Natomiast wyrafinowane złośliwe oprogramowanie, takie jak Flame lub Gauss, może infekować komputer bez bezpośredniego zaangażowania użytkownika, wykorzystując luki w oprogramowaniu, których wykrycie przez wprawnych hakerów zajmuje miesiące. Flame obejmował również złożoną kryptografię, którą niewiele osób na świecie mogło stworzyć, mówi Schouwenberg, i dokonał czegoś nie do pomyślenia, kompromitując system aktualizacji Microsoft Windows. Mówi, że Flame był najlepszymi ludźmi na świecie. Mahdi tak naprawdę nie ma porównania.
A mimo to Mahdi nadal skutecznie infekuje nowe cele, podczas gdy Stuxnet, Flame i Gauss zostały dezaktywowane wkrótce po tym, jak badacze bezpieczeństwa zamknęli się w tej sprawie (patrz Cyber „Głowica bojowa” z nieznanym celem ). Seculert po raz pierwszy zidentyfikował Mahdiego w lutym i został upubliczniony wraz z Kasperskym 17 lipca, ale złośliwe oprogramowanie nadal działa i jest ulepszane. Wciąż aktywnie pracują nad infekowaniem maszyn, mówi Raff. Próbowali również dodać dodatkowe funkcje, a także uniknąć wykrycia przez producentów oprogramowania antywirusowego.
Schouwenberg mówi, że Mahdi rozrósł się z około jednego megabajta do 10 megabajtów. Ale nawet taki zepsuty program, jak mówi, może być skuteczny, gdy firmy i organizacje rządowe stosują słabe praktyki bezpieczeństwa i nie potrafią właściwie odizolować swoich najcenniejszych sieci od tych, które są używane do mniej krytycznych zadań.
Nawet biorąc pod uwagę szansę wyśledzenia szkodliwego oprogramowania w pracy, jest mało prawdopodobne, że prawdziwe pochodzenie Mahdiego zostanie odkryte. Początkowo był kontrolowany przez serwer w Iranie, ale obecnie jest obsługiwany przez kilka serwerów w Kanadzie, mówi Raff. Prawdopodobnie są one opłacane za użycie fałszywych danych uwierzytelniających lub zostały przejęte na potrzeby ataku. Gdyby podjęto działania przeciwko tym, operatorzy Mahdiego po prostu stworzyliby więcej lub stopiliby się i powrócili z nowym narzędziem, mówi Schouwenberg. Pozostaje więc zagadką, czy Mahdi jest narzędziem haktywistów, czy państwa narodowego igrają w głupoty.