«Трудно найти в тёмной комнате чёрную кошку, особенно, если её там нет»

Народная мудрость, часто приписываемая Конфуцию.

Пять лет наша компания находится под перекрёстным огнём некоторых американских СМИ по теме тайных связей с правительственными организациями и угрозы национальной безопасности. Пять лет расследований, предположений, слухов, манипуляций общеизвестными данными, ссылок на анонимные источники, конспирологии и откровенных фальшивок. В сухом остатке – ноль доказательств и конкретных фактов. Я польщён таким вниманием и благодарен за столь тщательный аудит, который подтвердил нашу прозрачность.

В течение последних месяцев ситуация резко покрепчала и вот уже небольшая российская компания в центре сенатских слушаний, где уважаемые люди выражают недоверие продуктам «Лаборатории». И снова – отсутствие фактов и доказательств, но много пустых предположений. При этом я не вижу заинтересованности в прояснении вопроса: мы предложили любое содействие, вплоть до раскрытия исходных кодов и официального свидетельства перед уважаемым жюри. Но предложение осталось без ответа. Вместо этого в дома к сотрудникам нашего американского офиса приходят агенты спецслужб. Кстати, все сотрудники в порядке, команда от этого только сплотилась, компания оказывает всем желающим юридическую помощь. Скрывать нам нечего и просто рекомендовали рассказывать всё, что знают.

Итак, что же это был за спектакль?

Дальше: Лес рубят, щепки летят…

Иногда верится, что на человечество каким-то образом влияют звезды, солнечная активность и прочие неведомые космические силы. И конкретно сейчас по маршруту Россия-США курсируют какие-то очень уж злые, деструктивные силы, которые погрузили людей в состояние нездоровой подозрительности, снизив способность к разумному сотрудничеству, трезвому мышлению и критическому восприятию действительности.

В Вашингтоне сейчас творится что-то невообразимое. Медийный прессинг заставляет людей при слове «русские!» разбегаться в разные стороны или сразу падать в обморок на месте. За выступление на конференции российской компании бывшего госчиновника могут вызвать на ковёр в сенат (впрочем, других бывших госчиновников за ровно то же самое почему-то не трогают). Скоро так за поездку на такси с русским водителем или случайную встречу в лифте будут вызывать на допрос в Госдеп. Мне как-то казалось, что мир давно ушёл от подобных сценариев, но что происходит сейчас в российско-американских отношениях – это какой-то политический сюрреализм, достойный кисти Босха.

Российские технологии и компании (мы, например) тоже «попали под раздачу» — они автоматически, по умолчанию и без доказательств считаются «рукой Кремля». Но об этом попозже, сейчас же о самом неприятном.

У киберпреступности нет границ. Более того, в последние годы мы наблюдаем разделение труда в международных группировках. Одни создают технологии, другие распространяют вредоносные программы, третьи собирают дань, четвёртые её обналичивают. Причём каждый этап отрабатывается в разных странах, имеющих для того свои преимущества. И, разумеется, всегда есть «мозг», который всем этим управляет.

Бороться с таким монстром можно только если так же преодолеть национальные границы.

Только совместные действия правоохранительных органов разных стран, работающих несмотря ни на что и для единой цели могут привести к успеху. И действительно – за последние годы благодаря этому сотрудничеству за решётку отправились многие кибернегодяи. Именно поэтому мы плотно сотрудничаем с киберполицейскими разных стран, а также международными организациями вроде ИНТЕРПОЛа и Европола. Нет сотрудничества – нет обмена информацией, нет согласованных действий против киберпреступности; как следствие безнаказанности – кибератаки плодятся и множатся, люди страдают, убытки бизнеса растут.

Достигнутый в прошлом уровень взаимодействия между Россией и США был далёк от идеала, но всё с чего-то должно начинаться. На этом фундаменте в будущем можно было бы построить более жизнеспособную и эффективную систему. Я не случайно написал «было бы», потому что сейчас я вижу как этот хрупкий фундамент разваливается. В кибербезопасность пришла геополитика, у которой совсем другие цели, нежели защита пользователей и развитие бизнеса.

Я вижу как схлопываются налаженные связи между странами, наглухо закрываются двери, рвутся контакты, которые обеспечивали совместные кибероперации. Эта заметно как на межгосударственном уровне, так и во взаимодействии с индустрией. При этом «схлопывание» и «закрывание» происходит вне рамок разумного поведения.

Существовавший хрупкий фундамент международного сотрудничества в кибербезопасности строился с начала тысячелетия. Медленно, маленькими шажками, постепенно преодолевая взаимное недоверие и стереотипы. Мне кажется, что сейчас Россия и США откатились назад лет на пятнадцать. И что самое неприятное – неясно когда закончится этот геополитический шторм и сколько времени потребуется на восстановление контактов.

Кто выигрывает от балканизации в кибербезопасности? Это риторический вопрос.

Сегодняшний новостной выпуск в этой традиционной рубрике посвящен одной особенно противной и неприятной проблеме в киберпростанстве. Проблеме гопников шифровальщиков-вымогателей, также известных как ransomware.

Поток неприятных новостей про этот крайне подлый вид криминальной деятельности не просто не иссякает, а как раз наоборот. Причем, надежды на кардинальное улучшение ситуации в ближайшее время немного. Скорее наоборот: победная поступь информатизации и «Интернета вещей» пока что приводит к тому, что количество дырявых устройств и систем, соединенных с Интернетом растёт как на дрожжах. И вот к чему это приводит в нынешней неблагоприятной киберэпидемиологической обстановке:

Как заработать 140 тысяч долларов, наломав дров на миллиард

Дальше: межконтинентальная рансомварь стратегического назначения…

На прошлой неделе мы попали под новую струю новостных «сенсаций». Ссылки на статьи специально не даю, чтобы не кормить троллей, но, уверен, гуглояндексы безошибочно их вам порекомендуют.

Если кратко, то основной «мессадж» такой:

— Русский софт крайне опасен для американских госучреждений.
— Русские — все агенты Кремля и ФСБ.
— У нас нет никаких доказательств (и быть не может — Е.К.), но это правда.

Нам как бы не привыкать. Нас «полоскали» уже и вайреды, и рейтерсы разных мастей и степени желтизны. Круче всех однажды выступил Блумберг, который заявил, что «Касперский парится в бане с русскими шпионами», а также «все топ-менеджеры были уволены и заменены силовиками». Полный параноидальный ахтунг, пароксизм воспалённой мысли на неизведанных веществах.

Все эти потуги объединяют несколько особенностей: отсутствие доказательств, манипуляция общеизвестными фактами для искажения реальной картины, анонимные источники, теория заговора и раскрутка с помощью соцмедийных троллей и ботов, добавляющих в коктейль новые «шокирующие подробности». Каждый раз мы по пунктам разносим в пух и прах всю «доказательную базу», так что со временем эти сюжеты стали напоминать бесплатную рекламу, что, кстати, тоже хороший повод для разоблачающей статьи :) Ну, и каждый раз даже консервативные западные парни удивляются аргументации сюжетов и публично высказывают однозначное несогласие и возмущение.

На этот раз буря в медиа-стакане любопытным образом совпала со слушаниями в Сенате США (смотреть с 42й минуты) об использовании наших продуктов и технологий в американских госучреждениях.

Это какой-то полный абсолютный концентрированный охренец… СССР 2.0. Но, с другой стороны, если наши продукты и технологии вот так серьёзно обсуждают в Сенате США, то, значит, спроектировали, сделали, улучшали, бились и изобретали… Добились и вышли на такой улётный уровень, что… вот :)

Ну, если серьёзно, эта конспирологическая свистопляска вот что напоминает: недобрые старые времена —>

Дальше: жил да был сенатор…

Итак, дамы и господа, скучающие по причине отсутствия новостей о нашем споре с Корпорацией добра и счастья Microsoft – их (новостей) есть у нас! Но для разминки напомню краткое содержание предыдущей серии сериала Санта-Барбара «антимонопольные разборки в софтверном семействе»:

Осенью прошлого года мы подали на Microsoft жалобу в Федеральную антимонопольную службу по факту нарушения законодательства. Прежде всего, как и ожидалось, ответчик всё отрицает. «Не создавали», «не ущемляли», и вообще «не доминируем». Но «факты – вещь упрямая»© и за фасадом официальной позиции Microsoft можно узнать гораздо больше, чем в записях судебных заседаний.

Несмотря на полугодовую тишину в эфире, дело медленно, но верно идёт. Не обращайте внимания на разные слухи — интервью брали в Германии и, видимо, забыли в конце фразы поставить немецкое «нихьт». Отказываться от расследования мы не только не собираемся, но и будем выводить его на международный уровень и бороться до победы.

Лучше послушайте историю от «первого лица» — сейчас я могу рассказать кое-какие подробности, озвучить планы, при этом не нарушив этические и процессуальные нормы. Внимание! Дальше будут очень интересные, но глубокие подробности. Приготовьтесь к «многобукв».

Несмотря на формальную «несознанку», на практике Microsoft сделал несколько важных шагов для исправления ситуации и – ура-ура! – нам очень приятно, что, вероятно, наши действия способствовали этому. Компания заняла гибкую позицию: формальное отрицание (что логично), но конкретные (пусть и небольшие) реальные шаги навстречу пользователям и независимым разработчикам.

Что же это за «важные шаги»? Рассмотрим три наглядных примера.

Пример 1: Очень Тревожное Окно.

Одна из претензий к Microsoft состоит в исправлении такого, вводящего в заблуждение окна:

Спросите: «что это и зачем?».

Дальше: отвечу…

«Тятя, тятя, наши сети притащили…» Да, уж, действительно, регулярно наши сети «притаскивают» на берег какие-нибудь непростые новости, от которых леденеет, седеет и даже иногда вызывает нервный смех и фейспалмы. Ну, что, готовы поулыбаться и пофейспалмить над уловом этой недели? Сегодня блюдо дня — уязвимости и разгильдяйство.

1. Пока гром не грянет, мужик не.

На днях мы опубликовали любопытное исследование, которое наглядно подтверждает, что каждый сам кузнец своего счастья и несчастья тоже. Вот например, такая больная тема, как уязвимости в программном обеспечении. Есть софт, в котором баги найдены, софт, в котором баги найдены и пропатчены и софт, в котором баги ещё не найдены. Т.е. уязвимости есть в каждом софте и никуда от этого не деться, поскольку не существует технологии создания абсолютно идеального программного кода. Errare humanum est (с). Ты видишь суслика? Нет? А он есть… (c)

Но! Как бы быстро и эффективно разработчики не патчили свой софт, в конечном счёте температуру по больнице определяют именно пользователи. Точнее — насколько быстро они устанавливают патчи. И вот здесь, увы, ситуация оказывается очень унылая. Выпускай, не выпускай патчи — пользователю, как показало исследование, это фиолетово :( Да, трудно себе представить, чтобы кому-то собственная безопасность была фиолетова, но это так и, причём, в гигантских масштабах.

Вот, например, уязвимость CVE-2010-2568, которую использовал червь Stuxnet. Эту дыру пропатчили семь лет назад, но, несмотря на это, она до сих пор в топе самых «популярных» векторов кибератак у серьёзных киберкриминальных/шпионских групп:

Дальше: не откладывай на завтра патч, который можно установить сегодня…

Так устроен homo sapiens, что ему постоянно и отчаянно хочется хоть одним глазком заглянуть за горизонт — увидеть какое будущее нам уготовано, как выглядит завтра? Да простится ему сие неразумное любопытство, поскольку homo sapiens «уготавливает» своё будущее сам, каждый божий день, своими собственными делами. Ну, если, конечно, не принимать в расчёт циклы Миланковича и другие силы природы :)

А по-научному заглянуть в будущее можно внимательно проанализировав настоящее. Это, кстати, относится и к кибербудущему, а особенно безопасности этого кибербудущего. Именно таким анализом мы занимаемся каждый год на киберслёте лучших секюрити-умов планеты — Security Analyst Summit (SAS):

Ой, не то. Вот:

Опс, вернее как-то так :)

В общем, каждый год я не перестаю удивляться как оно хорошо получилось и недоумеваю как это можно превзойти. И таки в следующий раз мы превосходим и улучшаем, делаем мероприятие «быстрее, выше, сильнее», привлекая всё больше экспертов по кибербезопасности и наглядно улучшая качество контента в том числе эксклюзивными материалами.

Вот о материалах сейчас и пойдёт речь. Предлагаю топ-5 на мой вкус самых-самых презентаций. Это не значит, что остальные были «соу-соу»: во-первых, все презентации, особенно происходящие в разных залах, посетить невозможно. А во-вторых, на вкус и цвет все фломастеры разные (c)

Ну, поехали!

Дальше: угнать дрон за 11 милисекунд…

Есть такая фича человеческой натуры — докапываться до сути. Кибербезопасность тому не просто не исключение, а даже вдвойне подтверждение этого правила.

У нас тут «суть» — понятие вполне осязаемое и измеримое, влекущее за собой конкретные выводы и действия. Каждую кибератаку можно разобрать «по косточкам», проанализировать и при необходимости «прокачать» защиту. Причём лучше всего это делать проактивно, на чужих ошибках, не дожидаясь, когда грянет гром.

Для решения этой непростой задачи у нас есть корпоративные сервисы. В ассортименте киберхирургического инструментария много всего разного: от тренингов персонала и «сводок с полей» с подробной информацией об обнаруженных атаках до экспертных сервисов для тестирования на проникновение, аудита приложений и расследования инцидентов.

И вот арсенала прибыло! На вахту заступил новый сервис KTL (Kaspersky Threat Lookup) – умный микроскоп для анатомирования подозрительных объектов, выявления источников кибератаки, истории активности, многомерных корреляций и степени опасности для корпоративной инфраструктуры. Настоящий рентген против киберугроз.

На самом деле лайт-версия этого сервиса есть у каждого нашего пользователя. Проверить рейтинг опасности файла можно и в домашних продуктах, но для корпоративного заказчика требуется другая глубина и скрупулёзность анализа угрозы.

Прежде всего KTL даёт возможность проверять не только файлы, но и URL, IP-адреса и домены, анализировать объекты по специфическим признакам целевых атак, поведенческим и статистическим особенностям, WHOIS/DNS данным, атрибутам файлов, цепочкам загрузок и др.

Дальше: поисковик спецназначения…

Что общего между кибербезопасностью и палеонтологией?

Настолько много, что впору открывать новую науку «кибербез-палеонтологию». У нас даже есть отряд кибер-ниндзя (также известный как GReAT — Global Research and Analysis Team), который на ней специализируется. При этом анализ цифровых следов, останков и прочих костей невозможно переоценить. Наоборот — артефакты прошлого дают бесценные данные для изучения кибератак настоящего.

Об одном из таких случаев сейчас и пойдёт рассказ.

Не так давно в глобальном кибер-серпентарии буйным цветом расцвёл новый вид вредоносов под названием Wiper. Эта гадость действует довольно топорно – она полностью уничтожает данные на заражённых компьютерах, не оставляя шанса на их восстановление (если, конечно, нет резервной копии). Пожалуй, наиболее известным представителем этого вида является Shamoon, который в 2012г. уничтожил данные на 30+ тысяч девайсов в нефтяной компании Saudi Aramco. Только представьте себе тридцать тысяч неработающих компьютеров и разнообразных серверов в сети крупнейшего мирового производителя нефти.

С тех пор о Shamoon ничего не было слышно – казалось кибер-негодяи ушли в глубокое подполье. Новая инкарнация зловреда Shamoon 2.0 появилась только в конце 2016г. и всё там же – на Ближнем Востоке. Угрозу отловили, проанализировали, настроили защиту, начали изучать «останки и кости» вокруг и… немного прифигели. На поверхность всплыл принципиально новый «вайпер» — StoneDrill.

StoneDrill основан на своём оригинальном коде, отличном от Shamoon, и использует более продвинутые методы сокрытия в заражённой системе. Что самое неприятное в этой истории – StoneDrill целит за границы региона. На данный момент наши сенсоры нашли две жертвы, одна из которых находится в Европе. Это очень тревожный звонок, который свидетельствует о выходе серьёзного игрока кибервоенной сцены на глобальный уровень. К этому звонку необходимо прислушаться правительственным и коммерческим организациям во всём мире – мы видим, что ближневосточные «вайперы» расширяют свою географию.

Но вернёмся к киберпалеонтологии.

Дальше: неожиданная кульминация!…

Немецкий автопром — он как обычно. Он рулит впереди планеты всей. На днях сей автопром совсем рядом с «Москвой» :) представил первый устойчивый к кибератакам автомобиль!

Почему это очень важная новость?

Устройство современных автомобилей достаточно простое: все элементы управления (руль, педали, кнопки и рычаги разные, даже ручной тормоз) являются лишь «симуляторами», они напрямую не подсоединены к колёсам, тормозным дискам и впрыску горючего в цилиндры двигателя. Вместо этого их положение фиксируется датчиками, переводится в цифру, передаётся по дата-шине в бортовой компьютер, который всё это дело обсчитывает и по той же шине раздаёт команды «авто-периферии»: движку, колёсам, фарам и поворотникам, дворникам и прочим запчастям. Вот так устроен современный автомобиль.

Что это означает с точки зрения кибер-безопасности? Да ничего хорошего! (по приведённой ссылке очень показательная история, не поленитесь, клик туда прямо сейчас — вдруг спасёт вас в будущем?)

Современные автомобили, увы, уязвимы. Они не защищены от кибератак (как и всякие прочие «умные» цифровые гаджеты семейства IoT). Нет, конечно же, там внутри автомобильных «мозгов» встроены многочисленные защиты от взлома. Но против профессионального, изощрённого, целенаправленного хака они, к большому сожалению, бессильны.

Что может произойти, если в автомобиль пролезло злоумышленное кибер-жало неведомого паразита? Да всё что угодно — см. абзац выше про «дата-шину» и «периферию». Надеюсь, объяснять не надо?

«Какой ужас!» — воскликнет впечатлительный читатель, а тем паче читательница. «А то!» — хором ответит IT-секюрити-индустрия. И именно по этой причине появление на улицах городов кибер-неуязвимых автомобилей является, наверное, самым значительным шагом в современной транспортной кибербезопасности. С чем всех вас и поздравляю!

Вот он, красавец… или «она, красавица»? Неважно — это ура! В любом случае:

Дальше: ароматные слухи…