Лунный лабиринт - Moonlight Maze

Лунный лабиринт было проведено правительством США в 1999 году расследование масштабной утечки секретной информации. Это началось в 1996 году и затронуло НАСА, Пентагон, военные подрядчики, гражданские ученые, DOE, и многие другие американские правительственные учреждения.[1] К концу 1999 года оперативная группа «Лунный лабиринт» состояла из сорока специалистов из правоохранительных, военных и правительственных органов.[2] Следователи утверждали, что если вся украденная информация будет распечатана и сложена, она будет в три раза выше монумента Вашингтона (более 550 футов).[3] Правительство России было обвинено в атаках, хотя изначально было мало веских доказательств, подтверждающих обвинения США, помимо российского IP-адреса, который был прослежен до взлома. Moonlight Maze представляет собой один из первых широко известных кибершпионаж походы в мировую историю. Это даже было классифицировано как Расширенная постоянная угроза (очень серьезное обозначение для скрытых угроз компьютерных сетей, как правило, национальных государств или групп, спонсируемых государством) после двух лет постоянных атак. Хотя в течение многих лет Moonlight Maze считался изолированным нападением, несвязанные расследования показали, что субъект угрозы причастные к атаке продолжали проявлять активность и использовали аналогичные методы вплоть до 2016 года.

Способы атаки

Взлом начался с того, что хакеры построили «лазейки», через которые они могли повторно войти в зараженные системы по своему желанию и украсть дополнительные данные; они также оставили после себя инструменты, которые перенаправляют определенный сетевой трафик через Россию. Все, что они использовали во время атак, было получено из общедоступных ресурсов, а не их собственного творчества.[4] В большинстве случаев эксплойты были обнаружены системными администраторами с намерением информировать других об уязвимостях, имеющихся в их собственных системах, но вместо этого ими манипулировали в злонамеренных целях.[4] Хакеры добились успеха, поскольку производители и разработчики программного обеспечения не заботились о том, чтобы в их системах не было недостатков. Они оставляли известные уязвимости неизолированными на длительный период времени, иногда от шести месяцев до года, игнорируя любые патч безопасности циклы. Это произошло потому, что до Moonlight Maze никто не знал об ущербе, который может быть нанесен посредством кибератак, поскольку Интернет был еще относительно новым. В результате они были чрезвычайно уязвимы, и проникновение в них было несложным, что привело к одной из крупнейших утечек секретной информации в истории. Чтобы скрыть свое местоположение и сбить с толку следователей, хакеры ретранслировали свое соединение через различные уязвимые учреждения, такие как университеты, библиотеки и т. Д., Поскольку взломанные ими серверы могли видеть только последнее местоположение, через которое они прошли (называется прокси ).

Результат и влияние

Описывая атаку в своих показаниях перед Конгрессом, Джеймс Адамс, генеральный директор Infrastructure Defense Inc, предупредил, что «информация была отправлена ​​через Интернет в Москву для продажи тому, кто предложит самую высокую цену» и что «ценность этой украденной информации исчисляется десятками долларов. миллионы, возможно, сотни миллионов долларов ».[5] Информация, полученная при взломе, могла включать секретные военно-морские коды и данные о системах наведения ракет, а также другие важные военные данные. Они также украли десятки тысяч файлов, содержащих технические исследования, военные карты, конфигурации войск США, конструкции военной техники, методы шифрования и несекретные, но важные данные, касающиеся военного планирования Пентагона, которые могут быть проданы врагам Соединенных Штатов. Состояния.[6] Эти атаки имели очень серьезные последствия для способности США защищаться. Благодаря информации, полученной в результате атаки, хакеры, возможно, смогли бы вывести из строя системы противоракетной обороны США и нанести невообразимый ущерб.[6] Хуан Андрес Герреро-Сааде, старший научный сотрудник службы безопасности Лаборатория Касперского, хорошо выразился, когда он сказал: «Анализ образцов Лунного лабиринта - это не просто увлекательное археологическое исследование; это также напоминание о том, что хорошо обеспеченные противники никуда не денутся, мы должны защищать системы с соответствующими навыками. . "[3]

Подключение к Turla

Turla русскоязычный субъект угрозы известен своей скрытой эксфильтрация такие приемы, как использование перехваченных спутниковых соединений, затопление правительственных сайтов, скрытый канал бэкдоры, руткиты, и тактика обмана. Корни группы восходят к некогда знаменитому Агент.BTZ, компьютерный вирус, способный копировать себя, а также сканировать и красть данные. Вирус был использован для кратковременного нанесения вреда армии США и был описан высокопоставленным чиновником Пентагона как «самая серьезная брешь в использовании военных компьютеров США за всю историю».[7] Это датирует их появление примерно в 2006–2007 годах, за несколько лет до Agent.BTZ и почти через 10 лет после событий Moonlight Maze. Однако только много лет спустя появилась информация, связывающая Turla с Moonlight Maze. Группа, состоящая из Касперского Герреро-Сааде и Костин Райу, а также Королевский колледж Лондона Томас Рид и Дэнни Мур смогли разыскать вышедшего на пенсию ИТ-администратора, который был владельцем сервера 1998 года, который использовался в качестве прокси для Moonlight Maze.[3] Это был огромный прорыв, учитывая длительный период предполагаемого бездействия (почти 20 лет). Затем они использовали сервер, чтобы шпионить за субъект угрозы, и смогли получить полный журнал кода злоумышленников, с помощью которого после почти года тщательного анализа они смогли найти связь между редкими Linux образцы, используемые как Turla, так и Moonlight Maze (общий код был связан с бэкдором, использовавшимся в LOKI 2, программе информационного туннелирования, выпущенной в 1996 году).

Смотрите также

Рекомендации

  1. ^ "Lodon Times --- Русские взламывают компьютеры МО". greenspun.com. Получено 2019-10-15.
  2. ^ Доман, Крис (22.01.2018). «Первые атаки кибершпионажа: как операция« Лунный лабиринт »вошла в историю». Середина. Получено 2019-10-17.
  3. ^ а б c Команда, SecureWorld News. "Moonlight Maze продолжает жить? Исследователи нашли связь 20-летней давности с текущим APT". www.secureworldexpo.com. Получено 2019-10-17.
  4. ^ а б «Информационная безопасность: эффективное управление исправлениями имеет решающее значение для снижения уязвимости программного обеспечения». www.govinfo.gov. Получено 2019-11-07.
  5. ^ Адамс, Джеймс (2 марта 2000 г.). «Свидетельство Джеймса Адамса, главного исполнительного директора Infrastructure Defense, INC». Федерация американских ученых. Получено 17 октября 2019.
  6. ^ а б Адамс, Джеймс (2001). «Виртуальная защита». Иностранные дела. 80 (3): 98–112. Дои:10.2307/20050154. ISSN  0015-7120. JSTOR  20050154.
  7. ^ «Министерство обороны подтверждает критическую кибератаку». eWEEK. Получено 2019-10-17.