Эксперт рассказал, как определить происхождение компьютерного вируса

© Александр Гостев, Лаборатория КасперскогоАлександр Гостев — эксперт «Лаборатории Касперского»Эксперт рассказал, как определить происхождение компьютерного вируса© Александр Гостев, Лаборатория Касперского

Эксперт рассказал, как определить происхождение компьютерного вируса© Fotolia / KletrЗамок на двери не спасет: киберугрозы, опасные для каждого из нас Китайские киберпреступники изначально были сфокусированы на атаках против пользователей онлайн-игр и краже данных. Отличительной чертой русскоязычных всегда было изобретение новых технологий, специализация на создании ботнетов, организация краж денег у банков и их клиентов, а также распространение спама и проведение DDoS-атак. Расцвет российского хакерства пришелся на 90е-начало 2000х годов, когда множество хороших молодых программистов не могли найти достойной работы, поэтому и занимались киберпреступлениями. С улучшением экономической ситуации в стране количество киберпреступников снижается,  — это видно на примере и России.Эксперт рассказал, как определить происхождение компьютерного вируса© Fotolia / peterzayda»Лаборатория Касперского» предупредила о росте числа фишинговых атакИногда вирусописатели добавляют в код своих программ скрытые послания. Например, наши американские коллеги как-то обнаружили в коде непонятную им надпись, и когда они показали ее нам, мы обнаружили написанное транслитом оскорбительное послание от русскоязычного хакера. Но подобные находки – редкость, большинство вирусописателей стараются скрыть или замаскировать свою национальную принадлежность.- Существует ли возможность распознать «национальность вируса», то есть, понять происхождение вредоносной программы или ее создателя? — Определить, кто стоит за атаками в киберпространстве, крайне непросто, а намеренное использование группировками ложных меток, призванных сбить исследователей с верного следа, лишь усложняет эту задачу. В целом, определить страну, из которой исходит атака, можно по многим факторам. Прежде всего, это анализ кода – в нем могут содержаться слова, косвенно указывающие на языковую или национальную принадлежность авторов. Но, с нашей точки зрения, одних этих слов недостаточно для обвинительных выводов. Киберпреступники могут намеренно оставлять ложные следы, запутывая тем самым следствие. Кроме того, русский язык, например, является языком общения во многих странах бывшего СССР, особенно в сфере компьютерных технологий. Поэтому делать выводы о «российском» следе в том или ином деле на этой основе — довольно опрометчиво. Аналогичная ситуация и с другими языками.Эксперт рассказал, как определить происхождение компьютерного вируса© Fotolia / DragonImagesСША играют в «злого русского», обвиняя россиян в кибератаках, считают в СФ Отталкиваться от «цели», то есть,  — от того, какие файлы или документы ищут киберпреступники, тоже недостаточно для точной атрибуции. Каждый случай уникален,  — многое можно найти при анализе серверов управления вредоносной программой, IP-адресов, использованных хакерами.  Но, например, в истории с атакой Эксперт рассказал, как определить происхождение компьютерного вируса© «Лаборатория Касперского»Операция «Red October»

К неоднозначным случаям можно отнести случаи с атаками Lazarus: различные исследования деятельности хакерской группы Эксперт рассказал, как определить происхождение компьютерного вируса© AFP 2017 / YonhapХакеров из КНДР заподозрили в создании вируса WannaCryОднако предположение о причастности «северного соседа» основывалось, прежде всего, на возможном мотиве.Некоторые дополнительные улики экспертам «Лаборатории Касперского» удалось установить в ходе расследования инцидента в одном из банков в Юго-Восточной Азии. На одном из взломанных серверов, который Lazarus использовала в качестве командного центра, удалось обнаружить важный артефакт. Первые подключения к серверу осуществлялись через VPN и прокси, и отследить их местонахождение было практически невозможно. Однако был также зафиксирован один запрос от редкого IP-адреса в Северной Корее. По одной из версий, это может указывать на то, что атакующие подключались к серверу с этого адреса из Северной Кореи. Однако нельзя также исключать вероятность, что подключение было «ложным флагом», то есть попыткой намеренно запутать экспертов и пустить их по ложному следу, или же кто-то из жителей Северной Кореи случайно посетил адрес сервера. То есть, окончательных доказательств мы так и не получили.

© РИА Новости / Владимир АстапковичПерейти в фотобанкСотрудница во время работы в компании «Лаборатория Касперского»Эксперт рассказал, как определить происхождение компьютерного вируса© РИА Новости / Владимир АстапковичПерейти в фотобанкСотрудница во время работы в компании «Лаборатория Касперского»

Впрочем, вопрос атрибуции это, прежде всего, задача правоохранительных органов. В 2014 году ФБР обнародовали результаты расследования атаки на Sony Pictures Entertainment и представили доказательства причастности Северной Кореи к этому инциденту. Так что, атрибуция является чрезвычайно сложной задачей. Важно собрать не один и не два фактора, указывающих на причастность хакерской группы определенной национальности или организации к совершению преступления. Это долгий процесс, требующий тесного взаимодействия между компаниями в области безопасности, жертвами и правоохранительными органами разных стран мира, и при этом зачастую не приводящий к результату. Исключения бывают, как правило, только если сами атакующие допускают какие-то грубейшие ошибки. — Существуют ли «внутренние бренды» среди группы создателей вредоносных кодов? Можно ли по почерку узнать не только откуда люди, сделавшие программу, но и к какой группировке они принадлежат? — Можно рассмотреть группировку Sofacy: о ее русскоязычности свидетельствуют и некоторые комментарии в коде (не на русском конечно, а латиницей, транслит), и версии операционной системы, на которой файлы создавались, и часовые пояса. Кроме того, есть ряд дополнительных факторов: пересечение некоторых технологий в коде с другими ранее известными группами, также считающимися русскоязычными (например с Miniduke), использованные при регистрации доменов (еще в 2007 году) данные, некоторые ошибки в написании английских слов, свойственные русскоязычным авторам и т.д. Таким образом, получается целый комплекс улик, каждая из которых по отдельности мало что значит, но сложив их воедино можно получить общую картину.

Источник: ria.ru

Добавить комментарий

*

12 − 6 =