Операция «Аврора»

Операция «Аврора»
Дата июнь–декабрь 2009
Место Интернет
Итог Дипломатический скандал между Китаем и США
Изменения Кража интеллектуальной собственности Google[1]
Противники

 США

 Китай
    Цветы у офиса Google China после сообщений о выходе компании с китайского рынка.

    Операция «Аврора» (англ. Operation Aurora) — условное название продолжительной серии китайских кибератак, начавшихся во второй половине 2009 и предположительно продолжавшихся до февраля 2010 года[2].

    Данные об этих инцидентах были обнародованы корпорацией Google 12 января 2010 года. Как представлялось в начале, суть атак заключалось в выборочном фишинге, направленном на сотрудников корпорации, посредством которого собиралась информация об их сетевой активности и информационных ресурсах[3]. Однако позднее выяснилось, что помимо корпорации Google в ходе этих событий пострадали более 200 крупных американских компаний, у которых исходные коды созданного програмного обеспечения были украдены через Интернет[4].

    Название «Аврора» появилось благодаря имени файла на одном из атакующих компьютеров[5]. Директор Агентства национальной безопасности США К. Александер оценил размах этих событий как «величайшее в человеческой истории перераспределение богатства». Это обвинение прозвучало в контексте приписываемой континентальному Китаю склонности к постоянному киберворовству и кибершпионажу[6][7].

    Общие сведения

    По мнению специалистов компании Symantec, организаторами «Авроры» можно считать некое киберсообщество, которое в американских документах проходит под условным грифом «Элдервуд». Эта группировка, вероятно, имеет какую-то связь с правительством КНР и, скорее всего, причастна к его разведывательным операциям в киберпространстве. Такие выводы были сделаны на основе анализа особенностей активности хакеров, а также используемого ими вредоносного кода, IP-адресов и доменных имён. Название «Элдервуд» появилось благодаря имени одной из переменных в исходном коде, применяемом злоумышленниками[8].

    По заключению специалистов Google, то, что американцы назвали операцией «Аврора», началось с точечного фишинга, посредством которого у сотрудников Google выуживалась информация об их деятельности и о доступных им служебных ресурсах[8].

    В результате «Авроры» хакерам удалось подобраться к хранилищу исходного кода корпорации Google. Это, в свою очередь, дало возможность скрытно модифицировать программное обеспечение на взломанных машинах и манипулировать корпоративными исходниками различными способами, например, шпионя за клиентами или создавая свежие уязвимости в тех сетях, которые доверяли программному обеспечению жертвы. Скомпрометированный код предположительно включал в себя систему «Гайя», предназначенную для тех пользователей, которые подключались к нескольким службам Google, используя ввод единственного пароля[3][8].

    При расследовании выяснилось, что диапазон поражённых объектов оказался настолько широк, что это существенно усложнило достоверное оценивание мотивов и намерений злоумышленников. Вероятнее всего, одной из их приоритетных целей были китайские диссиденты, которые занимались проблематикой гражданских прав и свобод на территории КНР. Одна только возможность удалённого доступа к компьютерам правозащитников скомпрометировала их файлы и коммуникацию посредством Gmail. Был сделан вывод, что достигнутый таким образом уровень информационного доминирования позволил властям КНР поддерживать политическую стабильность внутри своей страны[3].

    Тем не менее, нацеленность на корпоративные цели в различных секторах бизнеса указывает, что, скорее всего, намерения взломщиков не были ограничены внутриполитической повесткой. Среди потерпевших оказалось не менее трёх дюжин крупных американских корпораций, связанных с информационными и аэрокосмическими разработками, например Symantec Corporation, Yahoo, Adobe, Northrop Grumman Corporation и Dow Chemical[3][9]. Помимо них пoстрадал инвестиционный банк «Морган Стэнли»[8], a компания Adobe заявила о краже исходных кодов её разработок и личных данных 38 миллионов её клиентов[7]. Предполагается, что полное количество пострадавших компаний исчисляется тысячами[3][9].

    Публичный резонанс и оценка

    Информационная шумиха вокруг «Авроры» дошла до уровня обсуждений в конгрессе и заявлений главы государственного департамента США[10].

    Технический анализ позволил дать приближённую оценку арсенала эксплойтов, задействованных в операциях APT[9]. Нацеленность злоумышленников на промышленный и финансовый шпионаж позволила сделать вывод, что это способ работы, характерный для китайской стороны. Скорее всего, всплеск киберактивности, связанный с операцией «Аврора», имел какое-то отношение к другой серии кибератак, которая получила название «операция „Шейди Рэт“» (англ. Shady RAT, 2006 год). Изучение IP адресов, вовлечённых в эти инциденты, вывело на диапазоны, связанные с DDoS-атаками против целей в Южной Корее и США летом 2009 года. Отслеживание закономерностей их использования подтвердило предположения, что они осуществлены теми же самыми лицами[3].

    Специалисты утверждают, что, скорее всего, за этой серией событий стоят лучшие университеты КНР в области информационных технологий. Среди главных подозреваемых названы Шанхайский университет транспорта и профессионально-техническое училище Шандунь Ланьсян, несмотря на то, что их руководство всячески отрицает любую вовлечённость в эти кибератаки. Ряд экспертов предполагает, что эти общеобразовательные учреждения связаны с формированиями китайских вооружённых сил, которые специально заточены под задачи ведения стратегического и экономического кибершпионажа, например подразделение 61398[3][11]

    Тем не менее, официальный Пекин отрицал любую причастность китайского государства к кибератакам, объясняя их попытками каких-то студентов повысить свои компьютерные навыки[12].

    Техническая сторона

    Шпионское программное обеспечение, задействованное злоумышленниками, было создано на высоком техническом уровне, а для его скрытного использования применялось шифрование исполняемого кода и другие сложные технологии[13]. В тот момент, когда потенциальная жертва, находящаяся в закрытой корпоративной сети, посещала онлайн-приманку, на её машину подгружался и запускался вредоносный JavaScript-сценарий, который загружал через уязвимость веб-браузера специальное троянское приложение Trojan.Hydraq. Это приложение было способно поражать сразу несколько новейших версий популярного браузера Internet Explorer на персональных компьютерах под управлением операционных систем Windows 7, Windows Vista и Windows XP[8]. Троян сохранял себя на инфицированной машине в папке с именем «Аврора»[13].

    Для проникновения на компьютер жертвы использовалась 0day-уязвимость доступа к памяти вида «использование после освобождения» (англ. use-after-free) браузера Internet Explorer, которая приводила к нарушениям структуры HTML-объектов. Используя этот метод, злоумышенникам удавалось расположить вредоносный код по тем адресам, которые высвобождались объектами при их удалении. Способом атаки на пользовательскую машину стала попутная загрузка (англ. drive-by download), в результате которой машина становилась заражённой[14]. Этот вид атаки позволял игнорировать настройки безопасности веб-браузера, а после проникновения в локальную сеть — обойти протокол безопасности организации и получить доступ к системе[13]. Впоследствии хакеры использовали инструменты удалённого управления для сбора информации о пользователе и о его файлах, не прекращая рассылать сообщения со ссылками на онлайн-приманку[8].

    См. также

    Примечания

    1. ↑ A new approach to China. Google Inc. (12 января 2010). Дата обращения: 17 января 2010. Архивировано 13 января 2010 года.
    2. ↑ Sambaluk, 2019, Operation Aurora, p. 66.
    3. 1 2 3 4 5 6 7 Springer, 2017, Operation Aurora, p. 214—216.
    4. ↑ Johnson, 2012, Information Systems and Technology, p. 120.
    5. ↑ Харрис, 2016, Корпоративная контратака, с. 269.
    6. ↑ Харрис, 2016, Создание киберармии, с. 100.
    7. 1 2 Марков, 2016, с. 70.
    8. 1 2 3 4 5 6 Sambaluk, 2019, Operation Aurora, p. 67.
    9. 1 2 3 Харрис, 2016, Корпоративная контратака, с. 271.
    10. ↑ Agrawal, Campoe, Pierce, 2014, Introduction, p. 9.
    11. ↑ Agrawal, Campoe, Pierce, 2014, Introduction, p. 9, 10.
    12. ↑ Agrawal, Campoe, Pierce, 2014, Introduction, p. 10.
    13. 1 2 3 Ghosh, Turrini, 2010, Malicious Code, p. 46.
    14. ↑ Суд, Энбоди, 2013, с. 41.

    Источники

    • А. С. Марков. Летописи кибервойн и величайшего в истории перераспределения богатства // «Вопросы кибербезопасности» : журн. — 2016. — Т. 14, № 1. — С. 68—74.
    • А. Суд, Р. Энбоди. Адресные кибератаки // «Открытые системы. СУБД» : журн. — 2013. — Т. 190, № 4. — С. 41—45.
    • Ш. Харрис. Кибервойн@ : Пятый театр военных действий. — М. : «Альпина нон-фикшн», 2016. — 390 с. — ББК 65.290с51:68.23-2. — УДК 007:341.326.12. — ISBN 978-5-91671-495-1.
    • Conflict in the 21st Century : The Impact of Cyber Warfare, Social Media, and Technology : [англ.] / N. M. Sambaluk. — ABC-CLIO, 2019. — ISBN 978-1-4408-6000-3.
    • Cybercrimes : A Multidisciplinary Analysis : [англ.] / S. Ghosh, E. Turrini. — Springer, 2010. — ISBN 978-3-642-13546-0.
    • Information Security and IT Risk Management : [англ.] / M. Agrawal, A. Campoe, E. Pierce. — Wiley, 2014. — ISBN 978-1-118-33589-5.
    • Encyclopedia of Cyber Warfare : [англ.] / P. J. Springer. — ABC-CLIO, 2017. — ISBN 978-1-4408-4425-6.
    • Power, national security, and transformational global events : Challenges confronting America, China, and Iran : [англ.] / Thomas A. Johnson. — CRC Press, 2012. — ISBN 9781439884225.
    Эта статья взята у (из) Wikipedia. Текст лицензируется по Creative Commons - Attribution - Sharealike. К медиа файлам могут применятся дополнительные условия.