211service.com
Raport chińskich złodziei danych ujawnia niechlujną taktykę
Beżowy biurowiec na przedmieściach Szanghaju, należący do chińskiej armii, stał się sławny na całym świecie we wtorek po tym, jak Mandiant, firma zajmująca się bezpieczeństwem komputerowym z siedzibą w Waszyngtonie, wydała 60-stronicowy raport twierdząc, że mieści się w nim grupa rutynowo kradnąca informacje od firm amerykańskich. Chociaż nie ma bezpośredniego dowodu na to, że chińska armia sponsoruje kampanię, raport jasno pokazuje, że ludzie, którzy ją przeprowadzają, nie byli najsprytniejszymi operatorami.
Wojna elektroniczna: Chińska Armia Ludowo-Wyzwoleńcza jest oskarżana o posiadanie jednostki zajmującej się kradzieżą tajemnic amerykańskich firm, a nawet włamaniem do firmy, której oprogramowanie kontroluje infrastrukturę energetyczną.
Grupa często nie zawracała sobie głowy ukrywaniem się, skąd infiltrowano sieć. Śledczy Mandiant przyłapali atakujących logujących się na konta Facebook, Twitter i Gmail przy użyciu zaatakowanych komputerów, a następnie ukradli hasła hakerów.
Raport Mandianta pojawia się tydzień po tym, jak prezydent Obama ogłosił nowe wysiłki mające na celu obronę USA przed atakami komputerowymi, które według niego były wykorzystywane do kradzieży tajemnic korporacyjnych, a nawet kładły podwaliny pod sabotaż infrastruktury energetycznej (zob. Obama ogłasza plan wzmocnienia cyberobrony) . Mandiant donosi, że śledzona przez nią grupa, nazwana APT1, ukradła setki terabajtów poufnych danych handlowych od co najmniej 141 firm od 2006 roku, a także włamała się do kanadyjskiej firmy Telvent, której oprogramowanie służy do zdalnego zarządzania infrastrukturą energetyczną. Mandiant twierdzi, że APT1 jest częścią jednostki 61398 chińskiej armii i jest zaangażowany w kampanię szpiegostwa przemysłowego, aby pomóc chińskim firmom i zebrać dane wywiadowcze, które mogłyby zostać wykorzystane do komputerowych ataków na amerykańską infrastrukturę energetyczną. Większość ofiar znajdowała się w Stanach Zjednoczonych, ale celem były również firmy w Kanadzie, Wielkiej Brytanii, Afryce Południowej i Izraelu.
Firma Mandiant, która pomaga firmom reagować na ukierunkowane ataki i infiltrację ich sieci komputerowych, opiera swoje twierdzenia na informacjach z wielu spraw dotyczących grupy APT1 w ciągu ostatnich sześciu lat. W wielu przypadkach pracownicy Mandiant potajemnie obserwowali agentów APT1 przy pracy w komputerach ofiar.
Wiele odkrytych w ten sposób taktyk wydaje się złym wyborem dla grupy, której praca polega na unikaniu wykrycia. Zaobserwowano, że agenci rutynowo logują się na konta Facebook, Twitter i Gmail, korzystając z komputerów swoich ofiar.
Konta te służyły głównie do wysyłania fałszywych wiadomości e-mail, które miały na celu nakłonienie ludzi do zainstalowania złośliwego oprogramowania służącego do włamywania się do nowych systemów. Obserwacja tego — i kradzież haseł — dostarczyła cennych dowodów, które łączyły ataki przeprowadzane na różne firmy. Pozwoliło to nawet Mandiantowi wywnioskować istnienie kilku odrębnych internetowych person, które przypuszczalnie reprezentują poszczególnych członków APT1.
Mandiant wyjaśnia, że tę ryzykowną taktykę wykorzystuje się do obejścia ograniczeń chińskiego systemu cenzury Internetu, który blokuje dostęp do Facebooka i wielu innych zachodnich witryn. (Firma nie wyjaśniła, dlaczego eksperci ds. bezpieczeństwa komputerowego pracujący dla armii w tajnych misjach nie otrzymaliby alternatywnych sposobów obejścia wspaniałej chińskiej zapory ogniowej. Wielu turystów i gości biznesowych do Chin korzysta z komercyjnych usług VPN, aby uniknąć chińskiej cenzury Internetu.)
Mandiant znalazł również dowody na to, że członek zespołu APT1 używał tożsamości online — UglyGorilla — której używał przez lata w Internecie. Wyszukiwarka Google ujawniła, że klamka została użyta w 2004 roku w internetowej sesji pytań i odpowiedzi dla chińskiej armii, w której pytano Czy Chiny mają cyberżołnierzy?
Fakt, że grupa APT1 często podejmowała mało widoczne wysiłki, aby ukryć swoją fizyczną lokalizację, stanowi główną podstawę twierdzenia Mandiant, że grupa była w rzeczywistości częścią Unitu 61398 i wewnątrz tego nowo słynnego biurowca. Firma twierdzi, że wiele wskazówek wskazuje na Pudong New Area, przedmieście Szanghaju, gdzie, jak twierdzi Mandiant, budynek chińskiej armii jest jedynym znaczącym obiektem z wysokiej jakości infrastrukturą komunikacyjną.
Atakujący czasami nie zadawali sobie trudu, by użyć metod, które mogłyby ukryć adres IP — numer unikalny dla każdego komputera podłączonego do Internetu — używany do uzyskiwania dostępu do systemów zaatakowanych przez grupę, twierdzi Mandiant. Adresy IP zbierane w wyniku tego procesu oraz w wyniku inżynierii wstecznej narzędzi do ukrywania adresów IP, gdy były używane, były skojarzone z Szanghajem i Pudong New Area. Stwierdzono również, że nazwy domen internetowych używane przez grupę są zarejestrowane na adresy i numery telefonów w tych obszarach.
Oba rodzaje wskazówek można było stosunkowo łatwo ukryć lub zaciemnić. Dane rejestracyjne domeny nie są sprawdzane pod kątem dokładności podczas rejestracji domeny. Grupa APT1 korzystała z narzędzi, które umożliwiają chmurę rzeczywistego adresu IP, z którego pochodzą dane internetowe, ale nie były one używane przez cały czas.
Wiele technik mogło sprawić, że działalność grupy byłaby bardziej tajna, mówi Dmitri Alperovitch, współzałożyciel i dyrektor ds. technologii startowej firmy zajmującej się bezpieczeństwem Crowdstrike, która pracuje nad nowymi sposobami wykrywania i oszukiwania napastników, takich jak te używane przez grupę APT1. Alperovitch pomógł poprowadzić śledztwo w sprawie ataków Aurora, które miały swój początek w Chinach i naruszyły amerykańskie firmy, w tym Google (patrz Google Reveals Chinese Espionage Efforts ). Jednak niechlujne bezpieczeństwo operacyjne nie wyklucza jednostki 61398, mówi. Mówi, że jest to bardzo powszechne w przypadku chińskich aktorów, w tym związanych z PLA [Armią Ludowo-Wyzwoleńczą], prawdopodobnie dlatego, że nie przejmują się zbytnio, jeśli zostaną złapani. Alperovitch mówi, że jego firma zidentyfikowała inne jednostki w chińskiej armii przeprowadzające ataki podobne do ataków APT1.
Chińscy urzędnicy zaprzeczyli, że ich kraj ma jakikolwiek związek z operacjami opisanymi przez Mandiant, nie oferując konkretnych odpowiedzi na kwestie podniesione przez firmę. Jeffrey Carr, założyciel analityków bezpieczeństwa komputerowego Taia Global i autor książki Wewnątrz Cyber Warfare uważa, że te twierdzenia mogą być prawdziwe. Nie wątpi, że chińska armia przeprowadza ataki komputerowe i inwigilację, ale uważa, że działałaby bardziej profesjonalnie niż APT1.
Wyrafinowany to termin bardzo luźno używany, mówi o etykietowaniu ataków przez Mandiant. Nie wierzę, aby chińskie wojsko lub ich służby wywiadowcze używały tak oczywistych metod i były tak często wykrywane, mówi. Jeśli rząd chiński naprawdę stał za wszystkimi atakami, które twierdzi Mandiant, są w tym straszni.