Финеас Фишер является чрезвычайно квалифицированным хакером. Не так давно он взял на себя ответственность за взлом итальянской компании Hacking Team, ставший одним из самых громких событий в мире кибербезопасности в минувшем году. Hacking Team специализировалась на разработке ПО для удаленного наблюдения за компьютерами, включая и инструменты эксплуатации уязвимостей нулевого дня. В результате взлома в сеть утекли не только данные о клиентах компании, но и описания уязвимостей и методов их эксплуатации, которые тут же были взяты на вооружение киберпреступниками. Эксперты, оценивая представленные Фишером доказательства того, что за взломом стоял именно он, называют его «настоящим ниндзя» среди хакеров.

Пикантность нынешней ситуации придает то, что Финеас Фишер не скрывает: средства, которые он пожертвовал на нужды Сирийского Курдистана, получены именно за счет хакерских атак. Считать ли хакера новым Робин Гудом каждый волен решить для себя сам.

Новая разработка объединит в себе технологию метамоделирования компании BAE Systems, которая упрощает процесс обмена данными аналитики киберугроз, технологию автоматизации Fujitsu для эффективного реагирования на кибератаки и наработки обеих компаний в области противодействия информационным атакам, которые разрабатываются с 2015 года. Система поддерживает функцию создания и защищенной передачи данных с результатами анализа. Таким образом, организации могут обмениваться необходимой информацией для создания более полного представления о состоянии информационной безопасности предприятия.

Система аналитики киберугроз, разработанная совместно с BAE Systems, предлагает следующие преимущества.

1. Безопасный и простой обмен информацией о результатах анализа киберугроз

При обмене информацией о результатах анализа киберугроз между различными компаниями действуют соответствующие правила, которые основываются на базе политики обеспечения информационной безопасности каждого конкретного участника процесса обмена данными. Информация, которая может быть передана другой стороне, извлекается из внутренней системы анализа киберугроз и пересылается по электронной почте или другим способом. В каждой компании используются свои методы извлечения данных, что создает сложности при соблюдении политик обмена данными. Кроме того, необходимость преобразования и хранения данных, отправленных по электронной почте, в формате, который может использоваться системой, приводит к тому, что обмен происходит неактивно.

Новая система предоставляет функцию передачи и получения результатов анализа киберугроз в формате, установленном OASIS CTI Technical Committee2, и функцию извлечения данных в соответствии с политиками обмена конфиденциальными сведениями.

2. Возможность создания и использования расширенных функций анализа киберугроз

1) Система оценки схожести образцов кода для поиска похожего вредоносного ПО.

Система определяет уровень сходства вредоносного кода на основе структуры исполнительных файлов ПО и характеристик их поведения. Это дает возможность легко и просто определять взаимосвязи между схожими кибератаками.

2) Графический анализ и редактирование информации о результатах анализа киберугроз.

Система включает функцию отображения общего описания составляющих элементов кибератак и методов борьбы с ними и представляет схему взаимодействия между этими элементами. За счет выделения кибератак с элементами, идентичными или похожими на элементы изначальной атаки, и отображения их рядом в качестве связанных элементов, система позволяет визуально изучить связи между различными попыткам нарушения информационной безопасности. Путем корреляции нескольких атак специалисты получают возможность легко и просто определить их отдельные элементы, включая информацию об атакующей стороне, что раньше было весьма затруднительно.

3) Функция автоматизации для эффективного и углубленного анализа.

В системе предусмотрена функция, которая предлагает методы анализа и реагирования, которые подходят лучшим образом. Решение принимается на основе вредоносного кода и IP-адресов. Это позволяет быстро и просто реагировать на интернет-атаки.

3. Тесное сотрудничество с BAE Systems

Американские военно-промышленные компании имеют большой опыт защиты своих данных от кибератак. Анализируя попытки взлома, они накопили достаточно знаний и создали методики для противодействия попыткам нарушения информационной безопасности. В частности, компания BAE Systems на протяжении многих лет использует глобальный центр безопасности (Global SOC)3 и разработала эффективные методики для надежной защиты с использованием минимального количества человеческих ресурсов.

Новая система позволит даже начинающим специалистам в области противодействия кибератакам оперативно выполнять анализ угроз на профессиональном уровне и предлагать эффективные меры по борьбе с ними. В дальнейшем система будет использоваться и дорабатываться в лаборатории Fujitsu Advanced Artifact Analysis Laboratory4, которая занимается анализом безопасности для группы компаний Fujitsu Group. Fujitsu планирует начать коммерческое использование новой разработки в 2016 финансовом году.

Как считают в LinkedIn, новый набор данных, который сейчас предлагается на продажу, был похищен в результате того же взлома 2012 г. «У нас нет никаких указаний на то, что это результат новой утечки», – говорится в блоге. Таким образом, компания признала, что четыре года назад ущерб был сильно недооценен, а множество учетных данных ее пользователей уже давно скомпрометировано.

Расследование, проведенное после утечки 2012 г. (оно обошлось компании примерно в $1 млн), выявило 6,5 млн пострадавших пользователей. Впрочем, как отмечают обозреватели, LinkedIn никогда не называла их точное число, но известно, что база из 6,5 млн паролей была выставлена на российском хакерском форуме (и они были достаточно быстро расшифрованы). Очевидно, в компании, в поисках компромисса между безопасностью и удобством пользователей, решили сбросить только эти пароли, а для остальных пользователей (всего их тогда насчитывалось 161 млн) ограничились рекомендацией сделать это самостоятельно.

Сейчас, по информации веб-сайта о технологиях Motherboard, некий хакер с ником Peace пытается продать новую базу через полулегальные интернет-ресурсы (Dark Web) за $2200 (в биткоинах): хакер утверждает, что у него есть данные 167 млн пользователей LinkedIn, включая адреса и зашифрованные пароли 117 млн эккаунтов. Это довольно высокий процент для соцсети, которая сейчас насчитывает 433 млн участников. По сведениям источников Motherboard, украденные данные присутствуют на нелегальной торговой площадке The Real Deal и в хакерском поисковике LeakedSource. Пароли в этой базе, как известно Motherboard, в некоторой степени защищены, но не «присолены» (т.е. в них отсутствует дополнительный уровень защиты, достигаемый путем добавления случайных цифр), и 90% их удалось расшифровать за 72 часа. Отметим, что если эти пароли были украдены еще в 2012 г., то они действительно должны быть хуже защищены, поскольку LinkedIn начала применять усиленное шифрование данных только после взлома.

Расследования утечек не всегда дают реальную картину, говорит Чарльз Кармакал из компании FireEye, и нет ничего необычного в том, что компании неправильно оценивают объем ущерба от взлома. Бывает так, что хакеры ликвидируют все следы своего проникновения. «Мы видим множество организаций, которые теряют терабайты данных и не замечают этого», – уверяет он. Как бы то ни было, считают эксперты, это удар по репутации LinkedIn, и теперь ей придется принимать серьезные меры для усиления защиты, не считаясь с тем, удобно это пользователям или нет.

Как подчеркивается в обращении LinkedIn, компания серьезно относится к вопросам безопасности участников социальной сети: в последние годы все пароли в базе защищены путем хэширования и «присаливания» (salted), кроме того, применяется двухфакторная аутентификация. Сейчас LinkedIn начала отменять действие паролей всех учетных записей, созданных до утечки 2012 г., если их пароли не были позже обновлены. Участники сети получат извещение о том, что им следует заменить пароль, и в любом случае им лучше это сделать, не дожидаясь специального уведомления. Компания также будет использовать автоматизированные средства контроля, позволяющие обнаружить и блокировать любую подозрительную активность в сети.

Эксперты признаются, что пока не могут объяснить эти результаты. Они ожидали традиционного всплеска фишинговых атак в декабре, который связан с активизацией пользователей (и мошенников) накануне рождественских и новогодних каникул.

Однако за этим пиком обычно следовал спад. Ничего подобного в новом году не произошло. В первом квартале 2015 года был выявлен 289371 фишинговый сайт. Причем почти половина из них (123555) были обнаружены в марте. Для сравнения: в ноябре прошлого года эксперты APWG обнаружили лишь 44575 фишинговых сайтов.

Выросло и число фишинговых компаний – массовых рассылок сообщений электронной почты, содержащих ссылки на фальсифицированные страницы. В январе число таких выявленных компаний составляло порядка 100 тысяч, а в феврале и марте – по 230 тысяч. Специалисты APWG отмечают, что большая часть фишинговых сайтов размещаются на серверах в США.

Каждая масштабная утечка данных в сеть подтверждает, что огромное число пользователей с прискорбным постоянством продолжают довольствоваться именно такими комбинациями, защищая свои учетные записи – что, разумеется, сильно облегчает жизнь хакеров.

«Мы используем информацию об утечках данных для того, чтобы уберечь пользователя от выбора уязвимых паролей и тем предотвратить возможность атак», – отметил Алекс Вейнерт. Новшество уже действует в Microsoft Account Service и Azure Active Directory.

Что касается российских властей, то, по словам представителя пресс-службы Минкомсвязи, сейчас этот вопрос активно обсуждается министерством с отраслевым сообществом. Примечательно то, что в случае привлечения хакеров, их услуги будут оплачиваться не из федерального бюджета. Будет использована система грантов для частных лиц и организаций.

Отметим, что реестр российского ПО является частью отраслевого плана импортозамещения. По данным на 23 мая в нем значилось уже более 950 наименований.

Сейчас власти рассматривают возможность введения административных мер для российских чиновников, которые продолжают закупать иностранное ПО. Несмотря на все действия властей, направленные на снижение использования зарубежного софта, местные чиновники продолжают закупать иностранное ПО. В итоге, "нарушителей" предлагается наказывать специальным штрафом, размер которого еще предстоит обсудить.

Форум шёл два дня и проводился одновременно на двух этажах. Параллельно были организованы выступления в пяти залах, многочисленные соревнования и конкурсы. Даже за полчаса до их начала порой было физически не подойти к выбранной локации. Люди сидели на полу между рядов и стояли плотной стеной ещё на дальних подступах в коридоре. Поэтому часто приходилось проникать через заднюю дверь, применять социальный инжиниринг, а то и просто снимать поверх голов, когда периметр надёжно охранялся.

Поговорка «в тесноте, да не в обиде» оказалась здесь весьма точной. С докладами и практическими демонстрациями обычно выступали сами исследователи, разработавшие методики реверс-инжиниринга закрытых систем, способы перехвата управления чего угодно, а также обнаружившие любопытные уязвимости, написавшие эксплоиты, фреймворки, защитные утилиты и прочий специфический софт.

Многие посетители подключались к общедоступным сетям сразу после подробного доклада о том, какие они могут представлять угрозы.

Особенно забавно было наблюдать, что на хакерскую тусовку некоторые пришли с ноутбуками, на которых были настроены админские расшары и открыты все порты. Поначалу я решил, что это honeypots, но мёд в них был какой-то неправильный.

Просто сканируя сети файловым менеджером со смартфона можно было найти много любопытного, но всё же самое интересное происходило в оффлайне. Прямо в холле напротив стойки регистрации отгородили место для конкурса CAR4ALL. В ходе него предлагалось взломать автомобиль BMW.

Как и большинство современных машин, BMW M5 – это целая локальная сеть на колёсах. Бортовой компьютер и множество микроконтроллеров объединены в ней между собой, а также со всевозможными датчиками и актуаторами по шине CAN, доступной через диагностический интерфейс. С помощью утилиты CANToolz можно получить дамп передаваемых по шине данных, выделить из них управляющие команды и отправить их как будто со штатных органов управления.

В ходе демонстрации метода с ноутбука заводили двигатель машины, разблокировали двери, опускали стёкла, включали фары и продолжали издеваться не столько над машиной, сколько над потерявшим управление водителем. Подробнее о конкурсе и возможностях утилиты смотрите в блоге разработчика CANToolz Алексея Синцова.

Общая информативность докладов на PHDays была высокой, хотя на их полную эксклюзивность рассчитывать не приходилось. Многие частично повторяли свои презентации с пятой конференции ZeroNights. Например, Эмиль Олейников вновь выступал с известной презентацией как автор отечественной разработки EAST Framework – основы для пентеста промышленных и медицинских систем.

Этот фреймворк интересен в первую очередь своими русскими корнями и лёгкостью использования. Он написан на Python и является кроссплатформенным. При его создании был сделан акцент на блочной архитектуре и простоте добавления своих модулей. В отличие от популярных аналогов зарубежного происхождения (Metasploit, CoreImpact, Canvas), EAST даёт возможность использовать полностью доверенный и относительно легко верифицируемый код, проще добывать и писать собственные эксплоит-паки.

Крупные компании всегда ищут новые таланты, и атмосфера форума для этого подходила как нельзя кстати. Молодых исследователей всегда выдают их вопросы и неподдельная заинтересованность, но ничто не говорит об их уровне так как демонстрация практических навыков.

Поэтому параллельно с выступлениями проходили многочисленные конкурсы по взлому. В конгресс-зале один из них был как раз посвящён промышленным системам (SCADA / АСУ ТП). Показать свои навыки предлагалось на разных макетах. Например, на стендах EAST4SCADA и CIA:Blackout очень наглядно воссоздавались объекты городской инфраструктуры. Весь хард был игрушечными, а вот софт – настоящим. По заданию атаковать нужно было электростанцию и другие ключевые объекты.

Пока все системы защиты были активны и настроены на максимально жёсткие правила, конкурсантам не удавалось прорваться дальше DMZ. Возможно, при запасе в несколько дней они и сумели бы найти обходные пути, но долговременные атаки выходили за рамки конкурса. Поэтому организаторы пошли навстречу и смоделировали более реалистичный сценарий – с админом-оптимистом и не самыми безопасными настройками.

После частичного отключения модулей защиты одному из участников конкурса Critical Infrastructure Attack: Blackout удалось войти в корпоративную сеть, а через неё попасть в технологическую подсеть АСУ ТП. Просканировав её, он обнаружил терминал удалённого управления трансформатором электростанции с открытым портом TCP 102.

Сначала с помощью стандартного MMS-клиента на него была отправлена команда отключения оборудования и произошёл кратковременный blackout. Затем семнадцатилетний учащийся десятого класса по схожему сценарию атаки обошёл защиту протоколов управления на модели подстанции высокого (500 кВ) напряжения. Он спровоцировал на ней короткое замыкание, отдав команду отключить блокировку и опустить заземляющие ножи. Для этого он воспользовался уязвимостью SCADA-систем Siemens через доступный в интернете инженерный софт.

Из-за возгорания подстанция вышла из строя. На ГЭС автоматике пришлось отключить генераторы и произвести аварийный сброс воды. Вскоре после серии НСД макет города стал похож на съёмочную площадку фильма-катастрофы. Он оказался обесточен и затоплен.

«Сегодня уровень защищенности промышленных протоколов недостаточно высок. Поэтому злоумышленник, которому удастся получить доступ к оборудованию электрической подстанции, может нанести крайне серьезный ущерб, даже не обладая высокой квалификацией», – отмечает эксперт Positive Technologies Илья Карпов.

В перерывах между докладами и конкурсами можно было сходить в обычный бар или найти робота-бармена, который наливал нанопорцию пунша за каждую серию правильных ответов. Вопросы были простыми, а правильный ответ легко угадывался среди шуточных. Однако, чтобы наполнить таким образом хотя бы половину стакана, требовалось проявить изрядное терпение… или взломать робота вне конкурса.

Другой робот на форуме был деревянным. Он изображал гуманоидный гибрид марсохода и скворечника, раздавая визитки и демонстрируя разные эмоции. В основном он сердился, когда кто-то всерьёз воспринимал его предложение положить руку ему в рот для предсказания будущего. Жаль, что в него не уместились ни сканер отпечатков, ни шредер.

На второй день форума мне удалось побеседовать с Даном Корецким и узнать подробности о представленном им методе атаки на устройства с ОС Android. Впрочем, это уже совсем другая история.

По данным Managed Security Services, не менее 30 крупных компаний столкнулись с подобными ситуациями в прошлом году, а сумма «гонораров» за рассказ об уязвимостях доходила до 30 тысяч долларов.

Как отмечает исследователь IBM Джон Кун преступники пытаются представить свои действия как исключительно благородные. Они, якобы, предлагают бизнесу заплатить за укрепление своей кибербезопасности вместо того, чтобы продавать похищенные данные или уничтожать их.

Однако действия хакеров являются в любом случае незаконными и уголовно наказуемыми. Самое же главное состоит в том, что платить, строго говоря, не за что. Ни в одном из расследованных специалистами IBM подобных случаев не были задействованы уязвимости нулевого дня.

Зато очень широко использовались атаки с внедрением SQL-кода, эксплуатирующие давно известные уязвимости, которые IT-специалисты соответствующих компаний попросту не удосужились ликвидировать, своевременно обновив ПО.

По словам Румянцевой, на работоспособности сайта атаки не сказались.

Камеры «Ростелекома» установлены в более чем 59 тысячах аудиторий, они транслируют происходящее на экзаменах в режиме реального времени. В этом году их число увеличилось в 2,5 раза по сравнению с 2015 годом.

В правительственных материалах, подготовленных к совещанию, отмечается нарастающая угроза со стороны криминальных структур онлайновым технологиям совершения финансовых операций.

В прошлом году Центральный банк РФ создал специальный центр, который должен координировать все работы, направленные на противодействие хакерским атакам. Центр работает во взаимодействии с соответствующими структурами ФСБ и МВД.

Хакерские атаки на российские банки наносят им ущерб, исчисляемый миллиардами рублей. На днях подразделениями ФСБ и МВД была пресечена деятельность группы киберпреступников, которые похитили с банковских счетов 1,7 млрд. рублей.

Службы безопасности крупнейших банков также активно включены в работу по предотвращению и отражению хакерских атак на банковские сети. Так, службой кибербезопасности Сбербанка была отражена атака на ряд его структурных подразделений. Банк ВТБ оказывал содействие в недавней операции ФСБ и МВД.