Кибервойнушка — Stuxnet, Duqu, Flame, Gauss и все, все, все…

На волне интереса к кибервойнам новостные сайты запестрели броскими заголовками о страшных кибератаках, не забывая упомянуть такие примеры, как кибератака на Эстонию в 2007 и Грузию в 2008. Каковы последствия этих атак, при этом почему-то умалчивается. Зато все помнят о нехорошей стране России, где злобные хакеры сидят в шапках-ушанках в заснеженных снегах Сибири и с помощью микрокалькулятора MK-54 проводят кибератаки на Пентагон в промежутках между распитием водки стаканами. Это еще один пример успешной информационной операции, только жертвы тут не Эстония и Грузия.
Эксперты в области информационной безопасности отмечают, что, в основном, весь контент, который касается ИБ, берется из зарубежных источников. То есть у нас толковых писателей раз-два и обчелся. Почитав месяц-другой новости и сравнив их с первоисточниками на английском (которые, как правило, не указываются), можно убедится, насколько искажается общий фон новости из-за незначительных изменений в угоду «сенсационности». Ну конечно, журналисты же любят броские заголовки и слова кибервойна, киберугроза и кибероружие. Не отстают от журналистов и антивирусные компании. Особенно этим отличается компания Kaspersky Lab, в статьях которой на сайте securelist.com подозрительно часто мелькают слова Иран и Ближний Восток.
Анализируя «знаковые» угрозы, можно отметить, что с 2010 года были обнаружены следующие вредоносные программы с ярлыком «кибероружие»:

• июль 2010 — Stuxnet ^[1] (VBA);
• октябрь 2011 — Duqu ^[2] (Kaspersky);
• март 2012 — Wiper (Kaspersky обнаружил следы);
• апрель 2012 — Flame (Kaspersky);
• август 2012 — Gauss (Kaspersky);
• октябрь 2012 — MiniFlame (Kaspersky).

В добавок к ним несколько образцов поменьше калибром:

• июль 2012 — Madi (Kaspersky);
• август 2012 — Shamoon ^[3] (Kaspersky);
• ноябрь 2012 — Narilam ^[4] (Symantec).

Обнаружение Stuxnet имело несколько последствий:

• продемонстрирован реальный образец «наступательного» кибероружия для саботажа, способный воздействовать на физические процессы, одна из версий (не доказанная) — нарушение функционирования завода по обогащению урана в Натанзе (Иран);
• внимание специалистов по информационной безопасности устремилось на системы SCADA, как показывают многочисленные отчеты — в настоящее время для SCADA уровень информационной безопасности не сильно отличается от того, что был для обычных компьютеров в конце 90 годов (то есть почти никакой);
• обозначился новый тренд – использование цифровых сертификатов (как правило, украденных) для подписи вредоносного программного обеспечения, этот трюк в большинстве случаев позволяет ВПО обходить антивирусную защиту в процессе своей работы на компьютере.

Stuxnet имеет следующие признаки, позволяющие отнести его к кибероружию:

• анализ работы показал, что его модули написаны с использованием нескольких сред разработки и языков программирования, что свидетельствует о тщательном проектировании и работе группы программистов различной направленности;
• модуль, нарушающий штатное функционирование системы SCADA Siemens WinCC;
• разработка такого уровня предполагает значительное финансирование – оплата труда группы программистов, организация кражи цифровых сертификатов, покупка или разработка нескольких zero-day уязвимостей, доступ к системе SCADA Siemens WinCC.

Интересная ситуация складывается с количеством заражений Stuxnet, берем четыре источника:

• Eset, июль 2010 ^[5], США (57,71%), Иран (30,00%), Россия (4,09%);
• Kaspersky, июль 2010 ^[6], Индия (18307), Индонезия (34138), Иран (14171), Россия (773);
• Kaspersky, сентябрь 2010 ^[7], Индия (86258), Индонезия (14010), Иран (11952), Россия (7904), суммарно около 180 тысяч;
• Eset (Indonesia), сентябрь 2010 ^[8], Иран (52,2%), Индонезия (17,4%), Индия (11,3%), Россия (2,1%).

При поиске в Google видно, что некоторые Интернет ресурсы содержат первоначальные варианты ^[9] статьи от Eset, где Иран указан в качестве основной пострадавшей страны. Такая же картина в отчете Eset «Stuxnet Under the Microscope» ^[10], ссылка на который почему-то пропала с сайта esetnod32.ru. Компания Symantec не отстает от компании Eset, в отчете «W32.Stuxnet Dossier» ^[11] приведены следующие цифры: Иран (58,31%), Индонезия (17,83%), Индия (9,96%). Анализируя figure 5 из этого отчета, можно определить, что приблизительное количество зараженных компьютеров тоже равно 180 тысячам, как и у Kaspersky Lab, только распределение другое.
Знаете, как это называется? Заказуха! Компания Eset публикует данные, которые выгодны ей. США они показывают одно, а Ближнему востоку — другое. Естественно, такие откровения возбуждают подозрения — а ну как и в других мелочах тоже врут? Kaspesky Lab тоже молодцы, везде им кибервойна мерещится — глядишь, и расширится рынок сбыта на Ближнем Востоке.

Краткие характеристики

Специалисты Dell SecureWorks считают ^[12], что сходство некоторых элементов вредоносных программ Stuxnet и Duqu является случайностью. Аналогичные методы применяются в других образцах ВПО. Тема сравнения Stuxnet и Duqu раскрыта здесь ^[13]. Со связью Gauss и Flame вообще связан курьезный случай ^[14]. Сотрудники Kaspesky Lab организовали sinkhole маршрутизатор. Упрощённо, речь идёт о создании поддельных управляющих центров, которые вредоносные программы начинают воспринимать как свои. Таким образом, становится возможным оценить масштабы заражений и их географическое распределение путем анализа IP адресов входящих соединений. В отдельных случаях это даже позволяет перехватить управление и дать команду на самоуничтожение, что, впрочем, редкость. На sinkhole маршрутизатор завели на него трафик с Gauss и Flame. А специалисты компании FireEye, обнаружив, что Gauss и Flame обращаются к одному и тому же серверу, сделала вывод, что за разработкой данных ВПО стоят одни и те же люди. Чуть позднее FireEye принесла публичные извинения за свою ошибку и введение в заблуждение.
Таким образом, все попытки связать между собой Stuxnet, Duqu, Flame и Gauss не очень впечатляют. К тому же было бы слишком затратно разрабатывать для разных операций новый образец ВПО, достаточно было бы изменить уже имеющееся для устранения возможности детектирования антивирусными средствами и нарастить функционал модулями. Вполне вероятно, что мы наблюдаем лишь верхушку айсберга событий, происходящих на Ближнем Востоке, и данные ВПО разработаны разными странами или организациями, не связанными между собой. На арене кибервойн можно выделить следующих ключевых игроков: США, Китай, Россия, Израиль, Южная Корея. К тому же видно, что здесь подключились и местные игроки — некоторые образцы ВПО написаны на Deplhi (Madi, Shamoon, Narilam), что является показателем недостаточно профессиональной работы, однако они с успехом выполняют свои задачи по сбору и удалению информации.
Россия, кстати, занимает особое положение. Есть сомнения, что Россия принимает участия в событиях, происходящих на ближневосточном театре военных кибердействий. Согласно анализу ^[15] Trend Micro, киберпреступники стран бывшего СССР создают достаточно высокотехнологичные образцы ВПО, например Sality ^[16] и Zeus. Но что, интересно, обладая такими большими возможностями, они не «лезут» в политику, они просто зарабатывают деньги на обычных пользователях сети Интернет. Что это — отсутствие духа патриотизма или «страх» перед серьезным расследованием в случае посягательства на тайны отдельно взятого государства? А может, Россия давно уже держит весь Интернет под контролем? Хотелось бы верить.
Резюме:

• антивирусные компании излишне «раздувают» тему кибервойн, манипулируя фактами. Делают они это для расширения рынков сбыта. Лучше бы рассказали, как замечательно работают все их эвристические методы, проактивные защиты и песочницы, если ВПО годами делает свою «черную» работу;
• не доверяйте новостным сайтам, там тоже украшательств много. В идеале неплохо читать статьи в оригинале, но не все же хорошо владеют английским языком, да и поиск первоисточников тоже порядком напрягает.

Но в любом случае, несмотря на все передергивания антивирусных компаний, мы с интересом будем следить за процессом развития кибероружия, хотя называть все вышеперечисленное этим громким словом было бы несколько самоуверенно.

Автор: nuklearlord

Источник ^[17]