Архив тегов: cyber warfare

Не пугайтесь — это я. Да, в галстуке:

Но, как обычно, галстук на мне висит криво :) И он действительно старый, но почти не ношеный — махровый официоз меня накрывает нечасто, а в остальных случаях я предпочитаю удобную одежду.

25 октября 2025 года. в эфире Ханой, Вьетнам. Именно здесь в туманно-тёплое тропическое субботнее утро случилось историческое событие – подписание Конвенции ООН против киберпреступности. Ура, товарищи!

Дальше: первый за 20 лет…

Меня часто спрашивают, о чём же я рассказываю на всех этих многочисленных конференциях на самых разных континентах и в самых разных частях света?

Большая часть моих выступлений — это не глубокие технические разборы и не анализ конкретных кибератак. Для глубокого нырка в технические аспекты работы решений или в подробности конкретной атаки у нас есть эксперты, выступающие на специализированных мероприятиях и публикующиеся в соответствующих медиа. Я же обычно делаю широкий обзор: рассказываю, что происходит в мире кибербезопасности, про насущные проблемы, и куда всё идёт. Почти всегда у меня есть «база», которую я адаптирую под конкретную аудиторию или событие. Хотя бывает по-разному.

Расскажу, чем делился, например, на нашей конференции в Санкт-Петербурге.

А поскольку конференция называлась «Кибербезопасность будущего», то и рассказывать мне довелось о прогнозах в области кибербеза: что нам грозит, и как мы будем бороться с этими проблемами. Но сперва – краткий исторический обзор ИТ-злодейства «от Адама до Телеграма».

Киберпреступность: с чего всё начиналось?

Но зачем нам необходимо нырять в археологические древности и окаменелости разной вредоносности? Да просто чтобы уметь прогнозировать будущие киберугрозы и понимать, как именно нам придётся с ними сражаться – для этого требуется уверенно помнить события прошлого и анализировать, что и почему происходит здесь и сейчас. При этом предугадывать будущие киберсценарии у нас раньше получалось вполне себе успешно (и об этом немного будет чуть ниже). Поэтому давайте откатим назад на лет 20-25 и вспомним, как компьютерное хулиганство конца XX века превратились в целую отрасль международной преступности и одну из серьёзных проблем для человечества в целом.

Лихие 90-е, а также и 2000-нулевые…

Как вы догадались — моим следующим пунктом назначения был Лондон. Прибыли мы туда сильно раньше начала деловой программы, поэтому решили времени зря не терять и прогуляться по городу. Тем более, что отель был в центре недалеко от Темзы и вообще всё рядом. Пошли гулять по лондонским улочкам… как вдруг ->

Что-то место весьма знакомое… На что же именно среагировал мой внутренний склероз?.. Так это же здание конференц-центра имени Елизаветы Второй —> ровно(!) 10 лет назад (в ноябре 2011) здесь проходила London Cyberspace Conference, куда я прибыл по личному приглашению тогдашнего министра иностранных дел Великобритании (о как…)

Дальше: много воды утекло, но не туда…

Конец августа принёс несколько очень интересных связанных новостей на предмет кибербезопасности мобильных операционок. Точнее об их небезопасности.

Кратко напомню: во-первых, серия дыр в iOS, которые позволяли заражать вредоносами умные Apple-девайсы (зашёл на сайт ⇒ ой), а во-вторых, симметричные атаки тех же хакеров против той же группы жертв, но уже через уязвимости в Android и Windows.

Ситуация, казалось бы, рабочая: идеальных продуктов не бывает, зато бывает жгучее желание определённых лиц, групп лиц и даже государств этой неидеальностью злоупотребить. «Казалось бы» – потому что, на самом деле, этот случай снова возвращает нас к дискуссии о преимуществах-недостатках закрытых платформ вроде iOS. И для начала хочу процитировать вот этот твит, который очень точно характеризует статус кибербезопасности в яблочной экосистеме:

«Итак, кто-то в течение многих лет незаметно заражал айфоны. Почему-то меня это не удивляет. Я всегда говорил, что иллюзия безопасности iOS основана на том, что никто не может исследовать эти девайсы и поэтому у пользователей практически нулевые шансы узнать о заражении»

В данном случае Apple сильно повезло: атаку обнаружили цивилизованные «белые» хакеры из Google, которые приватно передали подробности разработчикам, те пофиксили свой софт и через полгода, когда большинство пользователей обновились, рассказали об произошедшем миру.

Вопрос#1: как быстро компания смогла бы решить проблему, если бы информация ушла в «паблик» до выпуска патча?

Вопрос#2: на сколько месяцев или лет раньше эти дыры нашли бы независимые эксперты, допущенные к нужным диагностическим свойствам операционной системы?

По сути дела, мы наблюдаем «монополию на исследования» в iOS. Поиск уязвимостей и анализ приложений сильно осложнён избыточной закрытостью системы, из-за чего в эфире стоит практически полная тишина, и кажется, что «в Багдаде всё спокойно». Но тишина эта иллюзорная – что там на самом деле творится в этой красивой стеклянной коробочке за 50-100тыс.рублей просто никто не знает! И даже сама Apple…

С одной стороны, такое положение вещей позволяет Apple двигать маркетинговую отстройку о самой безопасной ОС, а с другой сотни миллионов пользователей живут буквально на пороховой бочке. Примерно вот так:

Причём Apple, надо отдать ей должное, действительно вкладывает большие усилия и деньги в повышение безопасности и конфиденциальности своих продуктов и экосистемы в целом. Но никакая, даже самая мощная компания, не сможет сделать больше, чем всё мировое сообщество исследователей кибербезопасности. Самый убийственный аргумент в пользу закрытости iOS для сторонних специализированных средств защиты состоит в том, что «доступ независимых разработчиков к системе = потенциальный вектор атаки». Фигня!

Обнаружение уязвимостей и плохих приложений можно проводить при помощи read-only диагностических технологий, которые смогут выявлять вредоносные аномалии при анализе системных событий. Но нет. Такие приложения жёстко изгоняются из AppStore. Я не вижу другой причины такой позиции, кроме как опасение потерять «монополию на исследования» и маркетинговую отстройку.

Сегодняшний выпуск «ай-да-новостей» (с) — по мотивам только что отгремевшей конференции по кибер-безопасности SAS-2019. Конференции, которую мы проводим ежегодно в разных неожиданных местах, и которая постепенно становится одним из важнейших событий в ландшафтах глобальной кибербезопасности.

Заголовок сегодняшнего выпуска мрачноватый, но начать я хочу с приятной новости, напрямую к SAS-2019 не относящейся. Этакая «рекламная пауза перед главным выпуском новостей». А именно: по версии компании HeadHunter, которая ежегодно представляет «Рейтинг работодателей России», в этом году мы заняли почётное первое место среди работодателей отрасли «IT и интернет» и не менее почётное (а может даже более) 9-е место в общем зачёте Tоп-100 лучших работодателей.

А теперь – главные новости о SAS-2019.

Одной из главных фишек этой конференции являются доклады-расследования. В отличие от других геополиткорректных конференций здесь принципиально публикуются расследования любых киберугроз, вне зависимости от страны их происхождения. Потому что малвара есть малвара и надо защищать пользователей от всей кибернечисти, какой бы «благой» целью она не прикрывалась. И пусть за эту принципиальную позицию анонимные источники врут на нас в некоторых СМИ (действительно, с нами никто не сравнится по числу раскрытых кибершпионских операций). Мы не намерены менять эту позицию в ущерб пользователям.

Our cybersecurity research makes a lot of people unhappy. It’s tough job but somebody got to do it. @craiu at #TheSAS2019 pic.twitter.com/iEPoxZVzhT

— Eugene Kaspersky (@e_kaspersky) April 10, 2019

Так вот: хочу поделиться с вами синопсисом самых крутых расследований наших экспертов, обнародованных на этом мероприятии. Самые яркие, актуальные, местами пугающие и отрезвляющие выступления.

1. TajMahal

Прошлой осенью мы выявили атаку на дипломатическую организацию из Центральной Азии. Сама по себе такая цель киберпреступников не удивительна. Информационными системами различных посольств, консульств и дипмиссий довольно часто интересуются их политические партнёры, недоброжелатели и все остальные, у кого на то есть мозги и средства. Но тут для атаки был построен настоящий TajMahal, а точнее APT-платформа с огромным количеством плагинов (столько в одной APT-платформе мы ещё не находили!) для самых разных сценариев атак с использованием различных инструментов.

Дальше: доппельгангеры атакуют!…

Мальчики и девочки, всем привет!

С вами наша регулярная рубрика «удивительное рядом» или выжимка самых интересных, абсурдных, громких IT-новостей и находок.

Японское правительство планирует взломать 200 млн IoT девайсов граждан. Это не заголовок из научной фантастики. Так японцы готовятся к проведению Олимпиады. Госслужащим законодательно разрешили взламывать гаджеты граждан любимым методом киберпреступников — подбором паролей. Обнаружив девайс со слабым паролем, госслужащие внесут его в специальный список небезопасных гаджетов, который передадут интернет-провайдеру, а владельца попросят сменить пароль. Делают это, чтобы проверить, хорошо ли защищены IoT устройства в стране и предотвратить их использование для атак на олимпийскую инфраструктуру. О методах защиты можно поспорить, но сам факт подготовки очень правильный. Напоминаю, что случилось на последних Играх у их соседей.

Дальше: Ну, тюлень!…

Перефразирую известный философский постулат: «профессия определяет бытие или бытие определяет профессию?». Рассказывают, что заруба по поводу ответа на этот (точнее, оригинальный) вопрос в философских кругах идёт уже полторы сотни лет, а с изобретением интернетов и в широких народных массах, регулярно охватывая неистовым холиваром разные слои сетевого населения в неожиданных концах мира. Я не претендую на поддержку какой-либо стороны, но хочу свидетельствовать личным опытом в пользу дуализма профессии и бытия, которые влияют друг на друга взаимно, многогранно и постоянно.

В конце далёких 80-е компьютерная вирусология возникла как ответ на распространение вредоносных программ. Через 30+ лет вирусология эволюционировала (точнее, слилась в экстазе с другими смежными отраслями) в индустрию кибербезопасности и зачастую диктует развитие бытия IT – в условиях конкуренции выживает технология с лучшей защитой.

За 30 лет как только нас не обзывали: санитары леса, патологоанатомы, бактериологический кордон… ассенизаторами тоже приходилось :) Но лучше всего, имхо, специфику нашей профессии и её связь с бытием на данном этапе характеризует мем «киберпалеонтолог».

Действительно, индустрия научилась бороться с массовыми эпидемиями: проактивно (как мы защитили пользователей от крупнейших эпидемий последних дцати лет Wannacry и ExPetr) или реактивно (при помощи облачного анализа и быстрой рассылки обновлений) — не суть разница. А вот с точечными, целевыми кибератаками пока что не очень: по технической зрелости и ресурсам с ними справляются единицы, а по принципиальной позиции разоблачать всех кибернегодяев вне зависимости от происхождения и целей воля есть, пожалуй, только у нас. И это немудрено – иметь такую волю дорого стОит, это непростая позиция в современном геополитическом шторме, но наш опыт показывает, что это правильная позиция — пользователь голосует за неё кошельком .

Кибершпионская операция – очень долгий, дорогостоящий и высокотехнологический проект. Разумеется, авторы таких операций сильно расстраиваются, когда их палят и есть мнение, что они пытаются устранить неугодных разработчиков разными грязными методами через манипуляции СМИ.

Но есть и другие мнения «откуда ноги растут», в том числе:

Впрочем, я отвлёкся.

Дальше: аутсорсинг киберпалеонтологических функций…

Сегодня разбираем свежие и знаковые новости кибербезопасности, и на повестке дня у нас угрозы от маленького устройства, с которым многие не расстаются даже в постели.

Каждый второй, если не каждый первый сейчас доверяет ой-как-много своему смартфону — банковские операции, доступ к важным рабочим и личным документам, переписку в мессенджерах порой с теми деталями, которые не очень-то хочется надо кому-то ещё показывать. Да вы сами всё знаете! Но как в старой поговорке – пока гром не грянет, мужик не перекрестится.

В конце августа наблюдался резкий рост распространения андройдного троянца Asacub, который бил по известной человеческой слабости – любопытству. Троян рассылал смс-ки типа: «Серёжа, и тебе не стыдно после этого?! (ссылка)» или «Серёга, тебе пришло MMS-сообщение от Васи: (ссылка)». Серёга чесал репу, удивлялся, что ж там за фото, кликал по ссылке, загружал приложение, а дальше невольно, веером заражал всю свою записную книжку, обращаясь к новым жертвам по имени записанному в своих же контактах. Хитрая малвара может ещё, например, читать входящие смс и отсылать их содержимое злоумышленникам или отправлять сообщения с указанным текстом на указанный номер. А возможность перехватывать и отправлять смс-ки позволяет авторам трояна, в том числе, переводить деньги с банковской карты жертвы, если эта карта привязана к ее номеру телефона. Ну, и счёт за отправку смс по всей адресной книге может быть очень нехилым.

Как себя обезопасить? 1. Не ходить по подозрительным ссылкам; 2. Внимательно проверять, какие права запрашивает скаченное приложение; 3. Ну, и самый очевидный и простой шаг — установить надёжную защиту для смартфона.

Картинки к этому выпуску не простые, а специально для нас нарисованные Васей Ложкиным, чьё творчество я давно люблю. Наслаждайтесь!

А вот ссылочка специально для тех, кто прочитал про Asacub и подумал: «Хорошо, что у меня айфон»:

Дальше: и ещё одна…

За последние несколько лет я много всякого разного начитался в американской прессе и вышедшая в прошлый четверг статья Wall Street Journal поначалу показалась очередной конспирологической кляузой.  Согласно анонимным источникам, несколько лет назад русские госхакеры, якобы, при помощи взлома продуктов вашего покорного слуги похитили с домашнего компьютера сотрудника АНБ секретную документацию. Наш формальный комментарий этой истории тут.

Однако, если отбросить шелуху про «русских хакеров Кремля», то в этой истории проступают очертания другого вероятного сценария, названного в статье «агрессивной борьбой с киберугрозами». Что же на самом деле могло произойти?

Итак, читаем статью ещё раз.

В далёком 2015-м году некий сотрудник АНБ, разработчик американских кибершпионских операций, решил поработать на дому и для этого скопировал на домашний компьютер секретную документацию. Для безопасности домашнего компьютера он справедливо выбрал лучший антивирус (догадайтесь какой), а для пущей надёжности (всё правильно сделал) включил защиту из облака (KSN). Вот в таком ландшафте он продолжил допиливать гос-вредоноса.

Ещё раз.

Разработчик шпионского софта трудился над проектом у себя дома, имея весь необходимый для этого инструментарий и документацию, защищая себя от мирового компьютерного зловредства нашим продуктом с подключением в облако.

Что должно произойти дальше?

Правильно: гос-вредонос должен быть распознан как подозрительный и отослан в облако для дальнейшего анализа. Это стандартный процесс обработки новых зловредов – и не только у нас. Все наши коллеги-конкуренты используют подобную логику в том или ином виде. Практика доказала, что это очень эффективное средство для борьбы с кибер-угрозами.

Что же происходит с данными в облаке? В 99,99% случаев анализом подозрительных объектов занимаются технологии машинного обучения, зловреды отправляются на детект и в архив, остальное – в мусор. Прочее уходит на «ручную обработку» вирусным аналитикам, у которых жёсткая инструкция: если к нам помимо малвары попадут какие-либо конфиденциальные данные, то они будут категорически уничтожены вне зависимости от их происхождения. Здесь всё чисто.

Далее – как я оцениваю вероятность взлома наших продуктов русскими гос-хакерами?

Теоретическая возможность есть (программы пишутся людьми, а людям свойственно ошибаться), но её практическую реализацию я оцениваю как нулевую. В том же году, когда случилась описанная WSJ история, мы выпасли в своей сети атаку неизвестной кибервоенщины – Duqu2. По этой причине мы провели тщательный аудит исходных кодов, обновлений и других технологий и не нашли никаких признаков стороннего проникновения. Впрочем, мы очень серьёзно относимся к любым сведениям о возможных уязвимостях продуктов и поэтому аудит повторим.

Вывод:

Если история с обнаружением госвредоноса на домашнем компьютере сотрудника АНБ действительно имела место быть, то это, дамы и господа, предмет для гордости. Проактивно задетектить неизвестную кибервоенную малвару – это очень круто! Это лучшее доказательство превосходства наших технологий и подтверждение принципа защищать от любой киберугрозы, вне зависимости от её происхождения и целей. Даже если это кому-то не нравится.

Ну, за Агрессивный™ детект зловредов!

Сегодняшний новостной выпуск в этой традиционной рубрике посвящен одной особенно противной и неприятной проблеме в киберпростанстве. Проблеме гопников шифровальщиков-вымогателей, также известных как ransomware.

Поток неприятных новостей про этот крайне подлый вид криминальной деятельности не просто не иссякает, а как раз наоборот. Причем, надежды на кардинальное улучшение ситуации в ближайшее время немного. Скорее наоборот: победная поступь информатизации и «Интернета вещей» пока что приводит к тому, что количество дырявых устройств и систем, соединенных с Интернетом растёт как на дрожжах. И вот к чему это приводит в нынешней неблагоприятной киберэпидемиологической обстановке:

Как заработать 140 тысяч долларов, наломав дров на миллиард

Дальше: межконтинентальная рансомварь стратегического назначения…