Новая германская гастроль российских хакеров

Новость о том, что предположительно российские хакеры атаковали два министерства Германии, остается в СМИ одной из главных. По данным на пятницу, 2 марта, известно о внедрении неизвестных кибершпионов в министерство иностранных дел и Минобороны. При этом пострадала правительственная сеть Бонн - Берлин, которая считается хорошо защищенной. Взлом был совершен в конце 2016 года, обнаружен в конце 2017-го, локализован, но пока не ликвидирован. Сообщается, что обнаружить проблему Германии помогла спецслужба партнерского государства.

Новые подозрения

Приоритетной остается версия о российских хакерах. Вначале предполагалось, что речь идет о группе, известной под названиями APT28, Fancy Bear или Sofacy Group. Это одна из двух групп (вторую называют APT29), которые спецслужбы и эксперты в США обвиняют во взломе сети руководства Демократической партии перед выборами президента 2016 года.

По новым данным СМИ, структуры правительства ФРГ взломали хакеры из другого коллектива. Сначала его называли Snake, теперь - Turla, и его тоже связывают с российскими спецслужбами. Но и хакеры из APT28 не раз засветились в Германии. Как пишет в пятницу сайт Spiegel Online, помимо прочего эта группа в 2016 году взломала Фонд "Наука и политика" (SWP), который консультирует правительство. На их счету якобы и взлом Международного паралимпийского комитета, штаб-квартира которого расположена в Бонне.

Россия последовательно отрицает причастность государства к хакерским атакам, но президент ранее не исключил, что ими из патриотических соображений могут заниматься отдельные граждане. "Хакеры - люди свободные, как художники", - сказал Владимир Путин.       

Что такое APT

APT - английская аббревиатура Advanced Persistent Threat, что можно перевести как "продвинутая, длительная угроза". Так называют хакерские атаки на критические и чувствительные цели, например правительства.

Согласно оценкам Федерального ведомства по охране конституции, деятельность группы APT28 прослеживается "как минимум с 2004 года". По данным других источников - с 2007 года. Американские компании по кибербезопасности, CrowdStrike и FireEye, знакомы с этой группой по расследованиям, заказанным их клиентами, среди которых крупные концерны из аэрокосмической области, обороны и энергетики, а также правительства.  Обе фирмы полагают, что APT28 связана с российской военной разведкой - ГРУ МО РФ.

Дмитрий Гальперович, член совета директоров компании CrowdStrike, в июне 2016 года описывал обе группы, APT28 и APT29, как "одного из лучших противников" среди государственных, преступных и террористических хакерских групп, с которыми его компании ежедневно приходится иметь дело. По его словам, их методы работы разведки "превосходны", а "операционная безопасность не имеет равных". Вывод - "оба противника занимаются масштабным политическим и экономическим шпионажем в пользу правительства РФ".

От Грузии до Германии

Бенджамин Рид, менеджер по анализу шпионажа компании FireEye, говорит, что его фирма отслеживает APT28 около пяти лет. По его словам, есть несколько аспектов, указывающих на российский след. "Мы считаем, что они получают государственную поддержку, потому что создание их шпионских программ требует значительных ресурсов, - говорит Рид. - Кроме того, на это указывает выбор целей - МИДы, министерства обороны, НАТО, ОБСЕ. В ранних версиях вирусов мы обнаружили следы русского языка, поэтому можно предположить, что их авторы были русскими. Наконец, их условия работы в основном совпадают по времени с Москвой".

В опубликованном на сайте фирмы докладе FireEye перечисляет случаи атак группы APT28: МВД и МО Грузии, правительства стран Евросоюза, а также структуры по всему миру: от Армении и Узбекистана до Японии, Мексики и Канады. Германия попала под удар в 2015 году, когда хакеры из группы APT28 похитили информацию из внутренней сети бундестага. По данным Федерального ведомства по охране конституции, весной 2017 года они же атаковали политические фонды, близкие к правящим в ФРГ партиям.

Как это делается

По данным американских компаний по кибербезопасности, хакерские группы обладают широким набором инструментов, среди которых - шпионские программы для разных операционных систем, в том числе Linux, OSX, iOS, Android и Windows. "Часто они используют так называемый фишинг, отправляя электронное письмо с прикрепленным шпионским файлом", - говорит Бенджамин Рид из FireEye. - Такие письма содержат темы, интересные для жертвы, например, торговое соглашение". По словам Рида, после установки на компьютер жертвы программа незаметно и методично ищет нужную информацию, отправляя ее хакерам.

В докладе FireEye описана атака на МВД Грузии в 2013 году. Хакеры из APT28 замаскировали шпионскую программу под документ в формате Excel, содержащий список автомобильных номеров. Затем программа пыталась установить контакт с внутренним почтовым сервером министерства, чтобы использовать его для отправки данных через менее защищенный канал. При этом в заглавии на грузинском языке речь шла об автономерах. 

Уловимые, но с трудом

Вольфганг Кляйнвехтер (Wolfgang Kleinwächter) отмечает, что, несмотря на якобы российский след, о котором пишут СМИ Германии, доказать его будет сложно. "Любой может создать сеть ботов и сделать так, будто это кто-то другой", - говорит немецкий эксперт по интернету, бывший профессор университета в датском Орхусе. Кляйнвехтер отмечает, что, когда в атаке подозревают россиян, китайцев или северокорейцев, этому склонны быстро верить. Но, по его словам, это может быть и кто-то другой.

Даже если предположить, что за атаками в ФРГ стоят россияне, то "они будут это отрицать", как отрицали хакерские атаки в 2007 году в Эстонии, говорит Кляйнвехтер. Эксперт отмечает, что атаковать через интернет относительно легко, а защищаться - "трудно и дорого". По его словам, это "было и остается игрой в кошки-мышки" и напоминает времена холодной войны. 

Смотрите также: