Эксперт рассказал, как определить национальность по вредоносному коду

МОСКВА, 9 июн – РИА Новости, Анна Урманцева. Недавние события с вирусами-вымогателями и целой серией обвинений в кибершпионаже не оставляют сомнений в том, что киберпространство в настоящий момент обладает всеми признаками человеческого мира с его хорошими и плохими проявлениями. Теневой интернет является аналогом преступного мира, а киберпреступные группировки представляют собой, по сути, мафиозные структуры, которые "поделили мир" и контролируют его. Программисты, "воюющие на стороне добра", не только знают почерк отдельных преступников, но могут, также, определить по цифровому коду происхождение отдельных вредоносных программ. О том, как это делается, рассказал главный антивирусный эксперт "Лаборатории Касперского" Александр Гостев. - Существуют ли характерные штрихи разных школ программирования, которые можно увидеть во вредоносном коде? — Ежедневно мы регистрируем больше 300 тысяч образцов нового вредоносного кода. Мы условно можем разделить эти вредоносные программы на три большие группы, которые представляют три крупнейшие киберпреступные системы: китайские хакеры, которые сейчас занимают первое место, в основном исключительно из-за численности, русскоязычные хакеры и латиноамериканские. Также в последние годы стремительно развивается так называемая "мусульманская" киберпреступность, сгруппированная в основном вокруг туркоязычного сообщества. Китайские киберпреступники изначально были сфокусированы на атаках против пользователей онлайн-игр и краже данных. Отличительной чертой русскоязычных всегда было изобретение новых технологий, специализация на создании ботнетов, организация краж денег у банков и их клиентов, а также распространение спама и проведение DDoS-атак. Расцвет российского хакерства пришелся на 90е-начало 2000х годов, когда множество хороших молодых программистов не могли найти достойной работы, поэтому и занимались киберпреступлениями. С улучшением экономической ситуации в стране количество киберпреступников снижается, — это видно на примере и России.Иногда вирусописатели добавляют в код своих программ скрытые послания. Например, наши американские коллеги как-то обнаружили в коде непонятную им надпись, и когда они показали ее нам, мы обнаружили написанное транслитом оскорбительное послание от русскоязычного хакера. Но подобные находки – редкость, большинство вирусописателей стараются скрыть или замаскировать свою национальную принадлежность. - Существует ли возможность распознать "национальность вируса", то есть, понять происхождение вредоносной программы или ее создателя? — Определить, кто стоит за атаками в киберпространстве, крайне непросто, а намеренное использование группировками ложных меток, призванных сбить исследователей с верного следа, лишь усложняет эту задачу. В целом, определить страну, из которой исходит атака, можно по многим факторам. Прежде всего, это анализ кода – в нем могут содержаться слова, косвенно указывающие на языковую или национальную принадлежность авторов. Но, с нашей точки зрения, одних этих слов недостаточно для обвинительных выводов. Киберпреступники могут намеренно оставлять ложные следы, запутывая тем самым следствие. Кроме того, русский язык, например, является языком общения во многих странах бывшего СССР, особенно в сфере компьютерных технологий. Поэтому делать выводы о "российском" следе в том или ином деле на этой основе — довольно опрометчиво. Аналогичная ситуация и с другими языками. Отталкиваться от "цели", то есть, — от того, какие файлы или документы ищут киберпреступники, тоже недостаточно для точной атрибуции. Каждый случай уникален, — многое можно найти при анализе серверов управления вредоносной программой, IP-адресов, использованных хакерами. Но, например, в истории с атакой Red October (*речь идет об обширной сети кибершпионажа против дипломатических и государственных структур, НИИ, промышленных компаний и военных ведомств разных стран) окончательно в "русском следе" мы убедились уже спустя несколько месяцев после публикации, – когда получили данные о том, что за хостинг серверов оплата проводилась наличными через уличные терминалы оплаты в Москве. Также мы получили часть переписки на чистом русском языке между хакерами и службой поддержки хостинговой компании. Операция "Red October" К неоднозначным случаям можно отнести случаи с атаками Lazarus: различные исследования деятельности хакерской группы Lazarus неоднократно указывали на Северную Корею, однако признаки были в основном косвенные. К примеру, атака на Sony Entertainment была проведена незадолго до премьеры фильма "Интервью", в финале которого убивают лидера КНДР Ким Чен Ына (*выход фильма в прокат в США планировался на 25 декабря 2014г., но 18 декабря был отменён компанией "Sony Pictures Entertainment" из-за угроз хакеров и бойкота со стороны владельцев кинотеатров).Однако предположение о причастности "северного соседа" основывалось, прежде всего, на возможном мотиве. Некоторые дополнительные улики экспертам "Лаборатории Касперского" удалось установить в ходе расследования инцидента в одном из банков в Юго-Восточной Азии. На одном из взломанных серверов, который Lazarus использовала в качестве командного центра, удалось обнаружить важный артефакт. Первые подключения к серверу осуществлялись через VPN и прокси, и отследить их местонахождение было практически невозможно. Однако был также зафиксирован один запрос от редкого IP-адреса в Северной Корее. По одной из версий, это может указывать на то, что атакующие подключались к серверу с этого адреса из Северной Кореи. Однако нельзя также исключать вероятность, что подключение было "ложным флагом", то есть попыткой намеренно запутать экспертов и пустить их по ложному следу, или же кто-то из жителей Северной Кореи случайно посетил адрес сервера. То есть, окончательных доказательств мы так и не получили. Сотрудница во время работы в компании "Лаборатория Касперского" Впрочем, вопрос атрибуции это, прежде всего, задача правоохранительных органов. В 2014 году ФБР обнародовали результаты расследования атаки на Sony Pictures Entertainment и представили доказательства причастности Северной Кореи к этому инциденту. Так что, атрибуция является чрезвычайно сложной задачей. Важно собрать не один и не два фактора, указывающих на причастность хакерской группы определенной национальности или организации к совершению преступления. Это долгий процесс, требующий тесного взаимодействия между компаниями в области безопасности, жертвами и правоохранительными органами разных стран мира, и при этом зачастую не приводящий к результату. Исключения бывают, как правило, только если сами атакующие допускают какие-то грубейшие ошибки. — Существуют ли "внутренние бренды" среди группы создателей вредоносных кодов? Можно ли по почерку узнать не только откуда люди, сделавшие программу, но и к какой группировке они принадлежат? — Можно рассмотреть группировку Sofacy: о ее русскоязычности свидетельствуют и некоторые комментарии в коде (не на русском конечно, а латиницей, транслит), и версии операционной системы, на которой файлы создавались, и часовые пояса. Кроме того, есть ряд дополнительных факторов: пересечение некоторых технологий в коде с другими ранее известными группами, также считающимися русскоязычными (например с Miniduke), использованные при регистрации доменов (еще в 2007 году) данные, некоторые ошибки в написании английских слов, свойственные русскоязычным авторам и т.д. Таким образом, получается целый комплекс улик, каждая из которых по отдельности мало что значит, но сложив их воедино можно получить общую картину.