Wewnątrz zespołu Microsoft śledzącego najbardziej niebezpiecznych hakerów na świecie

Konceptualistyczny Ms Tech / zdjęcia źródłowe: Unsplash, Wikimedia commons

Kiedy Pentagon niedawno przyznał Microsoftowi kontrakt o wartości 10 miliardów dolarów na transformację i hostowanie systemów przetwarzania w chmurze armii amerykańskiej, góra pieniędzy pojawiła się wraz z ukrytym wyzwaniem: czy Microsoft może zabezpieczyć systemy Pentagonu przed niektórymi z najbardziej zamożnych, trwałych i wyrafinowani hakerzy na ziemi?

Są atakowani o każdej porze dnia, mówi James Lewis, wiceprezes Centrum Studiów Strategicznych i Międzynarodowych.

Ostatnie zwycięstwo Microsoftu nad rywalem chmurowym z Amazonem o ultra-lukratyczny kontrakt wojskowy oznacza, że ​​jeden z najważniejszych na świecie aparatów wywiadowczych znajduje się w lasach pod Seattle. Tego rodzaju obowiązki związane z bezpieczeństwem narodowym kiedyś spoczywały prawie wyłącznie w Waszyngtonie. Teraz w tym zakątku stanu Waszyngton dziesiątki inżynierów i analityków wywiadu poświęcają się obserwowaniu i powstrzymywaniu rozprzestrzeniania się sponsorowanych przez rząd hakerów na całym świecie.

Członkowie tak zwanego zespołu MSTIC (Microsoft Threat Intelligence Center) koncentrują się na zagrożeniach: jedna grupa jest odpowiedzialna za rosyjskich hakerów o kryptonimie Strontium, inna obserwuje hakerów z Korei Północnej o kryptonimie Zinc, a jeszcze inna śledzi irańskich hakerów o kryptonimie Holm. MSTIC śledzi ponad 70 grup zagrożeń o kryptonimie sponsorowanych przez rząd i wiele innych, które są nienazwane.

Deszcz zaczął padać tuż przed moim przybyciem w typowy jesienny dzień w Redmond w stanie Waszyngton. Spadało przez całą moją wizytę. Siedziba firmy Microsoft jest tak rozległa i labiryntowa jak każda inna instalacja rządowa, z setkami budynków i tysiącami pracowników. Przyszedłem spotkać się z zespołem Microsoftu, który śledzi najgroźniejszych hakerów na świecie.

Atak i obrona

John Lambert założył i zarządza firmą MSTIC. Microsoft

John Lambert pracuje w firmie Microsoft od 2000 r., kiedy nowa rzeczywistość cyberbezpieczeństwa pojawiła się po raz pierwszy zarówno w Waszyngtonie, DC, jak i w centrali firmy Microsoft w stanie Waszyngton.

Microsoft, wówczas wyjątkowo potężna firma, która zmonopolizowała oprogramowanie komputerowe, dopiero stosunkowo niedawno zdał sobie sprawę z wagi Internetu. Ponieważ system Windows XP podbił świat, pozostając szokująco niepewnym, zespół był świadkiem serii ogromnych i kłopotliwych awarii zabezpieczeń, w tym samoreplikujących się robaków, takich jak Code Red i Nimda. Awarie dotknęły wielu z ogromnej liczby klientów z sektora rządowego i prywatnego firmy Microsoft, zagrażając jej podstawowej działalności. Dopiero w 2002 r., kiedy Bill Gates wysłał swoją słynną notatkę, w której kładzie nacisk na godne zaufania przetwarzanie, Redmond wreszcie zaczął zmagać się ze znaczeniem cyberbezpieczeństwa.

To wtedy Lambert zafascynował się ofensywną stroną cyber.

Lambert powiedział mi, że wymagana jest doskonałość w zakresie ataku i obrony. Aby dobrze się bronić, musisz umieć atakować. Musisz też mieć ofensywne nastawienie; nie możesz po prostu myśleć o obronie, jeśli nie wiesz, jak być kreatywnym w ataku.

Po zaobserwowaniu wzrostu liczby sponsorowanych przez rząd kampanii hakerskich, Lambert wykorzystał ten obraźliwy sposób myślenia, aby pomóc wprowadzić fundamentalne zmiany w sposobie, w jaki Microsoft podszedł do problemu. Celem było przeniesienie się z nieznanego świata cieni — w którym zespoły obronne z frustracją obserwują, jak wyrafinowani hakerzy penetrują sieci z potężnymi lukami dnia zerowego — do domeny, w której Microsoft może zobaczyć prawie wszystko.

Jakie są supermoce Microsoftu? Lambert pamięta, że ​​pytał.

Odpowiedź jest taka, że ​​jej system operacyjny Windows i inne oprogramowanie są prawie wszędzie, dając Microsoftowi narzędzia do wykrywania tego, co dzieje się na ogromnych obszarach Internetu. Rodzi to prawdziwe i ciągłe pytania dotyczące prywatności, z którymi wciąż nie zmierzyliśmy się w pełni. Dla bezpieczeństwa jest to jednak ogromna zaleta.

Produkty firmy Microsoft miały już wbudowane systemy raportowania błędów systemu Windows, które próbują zrozumieć ogólne błędy i usterki za pomocą telemetrii lub zbierania danych z dowolnego używanego sprzętu lub oprogramowania firmy. Ale to Lambert i zespoły ds. bezpieczeństwa przekształcili systemy telemetryczne w potężne narzędzia bezpieczeństwa, przekształcając to, co kiedyś było powolnym i żmudnym zadaniem. Wcześniej zespoły ds. bezpieczeństwa często musiały fizycznie poruszać się po świecie, znajdować określone maszyny docelowe, kopiować ich dyski twarde i powoli zagłębiać się w incydenty. Teraz te maszyny po prostu docierają do Microsoftu. Praktycznie każda awaria i nieoczekiwane zachowanie jest zgłaszane firmie, która sortuje masę danych i często znajduje złośliwe oprogramowanie przed wszystkimi innymi.

Złośliwe oprogramowanie znane jako Zły królik , który w 2017 roku udawał aktualizację Adobe Flash, a następnie wyczyścił dysk twardy ofiary, pokazuje, jak Microsoft zmienił słabość w siłę. W ciągu 14 minut od wprowadzenia ransomware algorytmy uczenia maszynowego przebiły się przez dane i szybko zaczęły rozumieć zagrożenie. Windows Defender zaczął blokować go automatycznie, na długo zanim ktokolwiek zorientował się, co się dzieje.

Bad Rabbit został zauważony głównie w Rosji i na Ukrainie w 2017 roku. To jest żądanie okupu otrzymane przez ofiary. Obraz źródłowy: Kaspersky Labs

To jest rzecz, której nikt inny nie ma: widoczność i dane. Dane, których nikt inny nie ma, dotyczą awarii aplikacji w systemie operacyjnym i warstwie oprogramowania, mówi Jake Williams, były członek Narodowej Agencji Bezpieczeństwa. Nawet w przypadku awarii stron trzecich mają wokół nich telemetrię. Gdy zaczniesz przyglądać się celom exploitów, Microsoft ma możliwość dzięki swojej telemetrii. Ta telemetria sprawiła, że ​​każdy komputer i produkt z systemem Windows stał się źródłem, które natychmiast i na całym świecie przekazuje dane i dzienniki firmy Microsoft dotyczące wszystkiego, co nietypowe.

Microsoft widzi rzeczy, których nikt inny nie widzi, mówi Williams, który założył firmę zajmującą się cyberbezpieczeństwem Rendition Infosec. Rutynowo znajdujemy takie rzeczy, jak na przykład flagi dla złośliwych adresów IP w usłudze Office 365, które Microsoft flaguje, ale od miesięcy nie widzimy ich nigdzie indziej.

Połącz kropki

Inteligencja o zagrożeniach cybernetycznych to dyscyplina polegająca na śledzeniu przeciwników, śledzeniu okruchów chleba i wytwarzaniu informacji, których możesz użyć, aby pomóc swojemu zespołowi i utrudnić życie drugiej stronie. Aby to osiągnąć, pięcioletni zespół MSTIC składa się z byłych szpiegów i operatorów wywiadu rządowego, których doświadczenie w miejscach takich jak Fort Meade, siedziba Narodowej Agencji Bezpieczeństwa i US Cyber ​​Command, przekłada się natychmiast na ich role w Microsoft.

MSTIC wymienia dziesiątki zagrożeń, ale geopolityka jest skomplikowana: Chiny i Stany Zjednoczone, dwaj najważniejsi gracze w cyberprzestrzeni i dwie największe gospodarki na świecie, praktycznie nigdy nie są wywoływane tak, jak kraje takie jak Iran, Rosja i Korea Północna często są.

Nasz zespół wykorzystuje dane, łączy kropki, opowiada historię, śledzi aktora i jego zachowania – mówi Jeremy Dallman, dyrektor ds. programów strategicznych i partnerstwa w MSTIC. Polują na aktorów – gdzie się poruszają, co planują dalej, do kogo celują – i wyprzedzają to.

Tanmay Ganacharya prowadzi zaawansowane badania nad ochroną przed zagrożeniami w zespole Microsoft Defender, który wykorzystuje analizę danych do masy przychodzących sygnałów w celu stworzenia nowych warstw ochrony. Ponieważ mamy produkty z każdej dziedziny, o jakiej można pomyśleć, mamy czujniki, które dostarczają nam odpowiednie sygnały – mówi. Problem polegał na tym, jak właściwie radzimy sobie z tymi wszystkimi danymi?

Microsoft, podobnie jak inni giganci technologiczni, w tym Google i Facebook, regularnie powiadamia osoby będące celem rządowych hakerów, co daje celom szansę na obronę. W zeszłym roku firma MSTIC powiadomiła około 10 000 klientów Microsoft, że są celem hakerów rządowych.

Nowe cele

Od sierpnia firma MSTIC wykryła coś, co nazywa się kampanią rozpylania haseł. Hakerzy przeprowadzili około 2700 wykształconych domysłów dotyczących haseł do kont związanych z amerykańską kampanią prezydencką, urzędnikami rządowymi, dziennikarzami i znanymi Irańczykami mieszkającymi poza Iranem. Podczas tego ataku zostały naruszone cztery konta.

Analitycy z MSTIC zidentyfikowali te kompromisy częściowo dzięki śledzeniu infrastruktury, według Microsoftu, o której wie, że jest kontrolowana wyłącznie przez irańską grupę hakerską Phosphorus.

Gdy zrozumiemy ich infrastrukturę — ​​mamy adres IP, o którym wiemy, że należy do nich, i którego używają do złośliwych celów — możemy zacząć przyglądać się rekordom DNS, utworzonym domenom, ruchowi na platformie — mówi Dallman. Kiedy odwracają się i zaczynają używać tej infrastruktury w tego rodzaju ataku, widzimy to, ponieważ już to śledzimy jako znany wskaźnik zachowania tego aktora.

Po wykonaniu znacznych prac rozpoznawczych Phosphorus próbował wykorzystać proces odzyskiwania konta, używając prawdziwych numerów telefonów celów. Firma MSTIC zauważyła Phosphorus i innych hakerów sponsorowanych przez rząd, w tym rosyjskiego Fancy Bear, wielokrotnie stosujących tę taktykę, aby wyłudzić dwuskładnikowe kody uwierzytelniające dla celów o dużej wartości.

Tym, co przy tej okazji podniosło alarm Microsoftu powyżej normy, było to, że Phosphorus zmienił swoją standardową procedurę operacyjną polegającą na ściganiu organizacji pozarządowych i organizacji sankcji. Zmienił się celownik, zmieniła się taktyka, a luneta się powiększyła.

Nie jest to rzadkie, ale różnica polegała na tym, że miało to znacznie większą skalę niż widzieliśmy wcześniej, mówi Dallman. Często biorą na cel tego typu ludzi, ale była to skala i ogromna ilość pracy rozpoznawczej, którą wykonali w ramach tej kampanii [to było inne]. A potem ostatecznie sprowadzało się to do osób, na które celowano, w tym do osoby biorącej udział w kampanii prezydenckiej.

Detektyw Microsoftu ostatecznie wskazał palcem na irańskich hakerów za celowanie w kampanie prezydenckie, w tym Reuters zgłoszone , operacja reelekcji Donalda Trumpa w 2020 roku.

Kampus Microsoftu w Redmond jest ogromny. Na ponad 8 milionach stóp kwadratowych jest domem dla ponad 50 000 pracowników. źródło: Microsoft

Widzieliśmy wzory.

W ciągu dwóch dekad Lamberta w Microsoft narzędzia i broń cyberdomeny rozprzestrzeniły się w dziesiątkach innych krajów, setkach zdolnych do cyberprzestępczości grup i – w coraz większym stopniu – w branży firm z sektora prywatnego, które sprzedają exploity na arenie międzynarodowej kupującym, którzy chcą zapłacić najwyższe pieniądze.

Proliferacja oznacza znacznie szerszy zakres ofiar, mówi Lambert. Więcej aktorów do śledzenia.

To pojawia się w politycznych hackach. Jedną z konsekwencji wyborów w USA w 2016 r. jest wzrost liczby graczy walczących o hakowanie partii politycznych, kampanii i think tanków, nie wspominając o samym rządzie. Hakowanie związane z wyborami było zwykle domeną wielkiej czwórki – Rosji, Chin, Iranu i Korei Północnej. Ale rozprzestrzenia się na inne kraje, chociaż badacze Microsoft odmówili sprecyzowania tego, co widzieli.

Różnica polega na tym, że do walki dołączają kolejne kraje, które niekoniecznie były tam wcześniej, mówi Jason Norton, główny kierownik projektu w MSTIC. Wielka dwójka [Rosja i Chiny] – teraz możemy powiedzieć, że historycznie podążają za tym na długo przed wyborami w 2016 roku. Ale teraz możesz zobaczyć, jak robią to inne kraje – szturchają i szturchają miękkie podbrzusze, aby poznać odpowiednie elementy, które będą miały wpływ lub wpływ w przyszłości.

Na boisku robi się tłoczno, zgadza się Dallman. Aktorzy uczą się od siebie. Kiedy uczą się taktyki od bardziej znanych nazwisk, odwracają to i używają.

Zbliżające się wybory są również inne, ponieważ nikogo nie dziwi ta złośliwa aktywność. W 2016 r. rosyjska aktywność cybernetyczna została powitana zbiorową, oszołomioną naiwnością, co przyczyniło się do paraliżu i niepewnej reakcji. Nie tym razem.

Różnica naprawdę sprowadza się do tego, co wiemy, że się wydarzy, wyjaśnia Dallman.

Wtedy była to bardziej niewiadoma i nie byliśmy pewni, jak rozwinie się ta taktyka. Teraz wiemy; widzieliśmy wzorce. Widziałeś ich w 2016 roku, widziałeś, co robili w Niemczech, widziałeś ich we francuskich wyborach – wszystko według tego samego MO. Również w połowie semestrów 2018 – w mniejszym stopniu, ale wciąż widzieliśmy niektóre z tych samych MO, tych samych aktorów, ten sam czas, te same techniki. Teraz wiemy, wchodząc w 2020 , że jest to MO, którego szukamy. A teraz zaczęliśmy widzieć, jak inne kraje wychodzą i zaczynają stosować inne taktyki.

Nową normą jest to, że branżowe sklepy cyberwywiadowcze zwykle przewodzą w tego typu działaniach związanych z bezpieczeństwem publicznym, podczas gdy rząd podąża za nimi.

W 2016 r. to CrowdStrike jako pierwszy zbadał i wskazał palcem na działalność Rosjan mające na celu ingerencję w amerykańskie wybory. Amerykańskie organy ścigania i służby wywiadowcze potwierdziły później ustalenia firmy i ostatecznie, po dochodzeniu Roberta Muellera, oskarżyły rosyjskich hakerów i szczegółowo przedstawiły kampanię Moskwy.

Przy łącznej wielkości przekraczającej 1 bilion dolarów firma Microsoft jest o rząd wielkości większa, dostarczając ogromne zasoby na wyzwanie związane z bezpieczeństwem. A gigant technologiczny ma jeszcze jedną wielką zaletę: wszędzie ma oczy, uszy i oprogramowanie. To, jak mógłby powiedzieć Lambert, jest jego supermocarstwem.

ukryć