Киберпреступность и киберконфликты : Китай

Основные статьи:

• Китай

• Киберпреступность в мире

Промышленный шпионаж со стороны Китая

Основная статья: Промышленный шпионаж со стороны Китая

2023

Крупнейшая в мире кредитная организация ICBC атакована вирусом-вымогателем. Торги американскими казначейскими бумагами остановлены

9 ноября 2023 года американское подразделение Промышленно-торгового банка Китая (ICBC) подверглось мощной кибератаке с использованием программы-вымогателя. В результате вторжения были нарушены торги казначейскими облигациями США. Подробнее здесь.

В китайских телевизорах нашли вирусы, устанавливаемые на заводе

4 октября 2023 года фирма Human Security сообщила о выявлении масштабной киберпреступной кампании под названием Badbox, исходящей из Китая. Через интернет продаются различные устройства под управлением Android, в прошивке которых изначально содержится вредоносный код. В результате, пользователи, сами того не подозревая, могут быть вовлечены в деятельность ботнета. Подробнее здесь.

США и Тайвань объединяются для защиты от кибератак Китая

Законодатели Конгресса США представили законопроект, который потребует от Пентагона значительно расширить сотрудничество в области кибербезопасности с Тайванем для защиты острова от киберугроз со стороны Китая. Об этом стало известно 23 апреля 2023 года. Подробнее здесь.

Неизученный фреймворк MgBot используется Китаем в кампаниях шпионажа в Африке

Специалисты Symantec сообщили, что связанная с Китаем группировка Daggerfly с ноября 2022 года атакует телекоммуникационные компании в Африке с целью сбора разведывательных данных. Об этом стало известно 21 апреля 2023 года.

Кампания Daggerfly (Bronze Highland, Evasive Panda) использует ранее незадокументированные плагины из модульной вредоносной среды MgBot. Злоумышленники также использовали загрузчик PlugX и злоупотребляли легитимным ПО для удаленного подключения к рабочему столу AnyDesk.«Группа Астра» в свободном доступе опубликовала курс по российской службе каталога ALD Pro для обучения администраторов 4.3 т

В обнаруженных цепочках атак Daggerfly проводит LotL-атаку (Living off the Land), используя средство BITSAdmin и PowerShell для доставки полезной нагрузки следующего этапа, в том числе законный исполняемый файл AnyDesk и утилиту для сбора учетных данных.

Затем киберпреступник устанавливает постоянство в системе жертвы, создавая локальную учетную запись и развертывая фреймворк MgBot. MgBot — активно поддерживаемая модульная структура, которая включает в себя EXE-дроппер, DLL-загрузчик и подключаемые плагины.

Многофункциональные плагины MgBot могут предоставить злоумышленникам значительный объем информации о скомпрометированной машине. Модули выполняют следующие действия:

• сбор данных браузера;
• регистрация нажатий клавиш (кейлоггинг);
• захват снимков экрана;
• запись звука;
• перечисление каталогов Active Directory (Active Directory Enumeration).

Все перечисленные возможности позволяют хакерам собрать значительный объем информации с компьютеров-жертв. Функции плагинов также показывают, что основной целью злоумышленников в этой кампании является сбор данных, — заявили в Symantec[1].

Утечка 10 Гбайт данных, базу продают за $150 тыс.

Некий пользователь Breach Forums выставил на продажу данные китайской военной разведки и секретные документы тайваньских спецслужб суммарным объёмом 10 Гбайт. За эти сведения он хочет получить $150 тыс., о чём стало известно в середине января 2023 года. Подробнее здесь.

2022

Китай обвинил хакеров АНБ в краже космических данных из университета

В начале сентября 2022 года Китайский национальный центр реагирования на компьютерные вирусы опубликовал доклад, в котором заявил, что Агентство национальной безопасности США осуществило атаки на Северо-Западный политехнический университет в Сиане. Внимания хакеров привлекли программы в сферах аэронавтике и космических исследованиях. Подробнее здесь.

Китайские хакеры атаковали российские оборонные предприятия

Китайскоязычная кибергруппа атакует оборонные предприятия и госорганы в России, странах Восточной Европы и Афганистане. Об этом 8 августа 2022 года сообщила «Лаборатория Касперского». Подробнее здесь.

В даркнете продают данные 1 млрд китайцев

В начале июля 2022 года неизвестные выставили в даркнете на продажу базу, которая предположительно содержит информацию о миллиарде граждан Китая за 10 ВТС, что более $190 тыс. Подробнее здесь

Китайские кибершпионы распространяют вредоносное ПО через антивирусы

25 мая 2022 года стало известно, что деятельность китайских хакеров из Moshen Dragon была проанализирована компанией SentinelOne, специализирующейся на безопасности конечных точек. Специалисты сравнили методы атак злоумышленников и обнаружили совпадения с методами группировок RedFoxtrot и Nomad Panda.

SentinelOne еще в начале мая сообщила об использовании хакерами антивирусов для боковой загрузки вредоносных DLL и доставки вредоносного ПО в системы организаций, большая часть которых находилась в Центральной Азии.

«Хакеры Moshen Dragon регулярно пользовались антивирусами для перехвата поиска DLL. Перехваченная DLL использовалась для расшифровки и загрузки конечной полезной нагрузки, хранящейся в той же папке, но в другом файле», - пояснили специалисты SentinelOne.

SentinelOne назвала целями атак злоумышленников продукты Symantec, Trend Micro, Bitdefender, McAfee и Kaspersky. Но только Trend Micro обнаружила и исправила уязвимость, 19 мая развернув обновление безопасности через систему ActiveUpdate. Эксперты компании в своем отчете заявили, что не обнаружили свидетельств использования уязвимости против своих коммерческих и бизнес-продуктов.

Ранее стало известно про атаки Moshen Dragon на телекоммуникационный сектор Центральной Азии. Хакеры загружали в системы жертв вредоносное ПО ShadowsPad и PlugX, а также использовали бэкдор Gunters.^[2]

Китай инициировал цикл хакерских атак на российские органы власти

4 мая 2022 года стало известно о том, что Китай пошел против России и инициировал цикл хакерских атак на российские органы власти, сообщают аналитики команды Google Threat Analysis Group (TAG). Согласно их отчету, активнее других российские компьютерные сети атакует группировка Curious Gorge. Подробнее здесь.

Китайские хакеры атаковали украинские сайты в целях кибершпионажа

23 февраля 2022 года украинские сайты были атакованы хакерами, предположительно связанными с Китаем. Об этом стало известно 8 апреля 2022 года. Как сообщил представитель западной разведки, целью киберпреступников был шпионаж. Подробнее здесь.

Китайская группировка Scarab атаковала компании на Украине

Китайская группировка Scarab атаковала компании на Украине. Об этом стало известно 28 марта 2022 года. Подробнее здесь.

Китай обвинил США во взломе компьютеров для организации кибератак на Россию и Украину

Китай подвергается непрерывным кибератакам с февраля, в ходе которых интернет-адреса в США использовались для захвата контроля над китайскими компьютерами, направленными против Белоруссии, России и Украины. Об этом стало известно 12 марта 2022 года.

Мониторинг CNCERT/CC показал, что с конца февраля интернет Китая постоянно сталкивался с кибератаками из-за рубежа. Зарубежные группы атаковали китайских пользователей, взяв под контроль компьютеры в стране, чтобы осуществить кибератаки на Россию, Украину и Белоруссию, — цитирует издание. — После анализа, большинство адресов для этих атак исходили из Соединенных Штатов.Ннекоторые адреса были из других стран, таких как Германия и Нидерланды.

Кибератаки были основным источником напряженности между Соединенными Штатами и их союзниками и Китаем, поскольку первые обвинили Китай в проведении глобальной кампании кибершпионажа.

В начале «спецоперации» на Украине Национальный координационный центр по компьютерным инцидентам заявил, что уровень угрозы кибератак на российские ресурсы критический и рекомендует принять меры по повышению защищённости информационных ресурсов^[3].

2021

Три китайские APT-группировки атаковали крупные телекоммуникационные компании

3 августа 2021 года стало известно о том, что команда исследователей в области кибербезопасности Cybereason Nocturnus обнаружила три вредоносные кампании по кибершпионажу, направленные на взлом сетей крупных телекоммуникационных компаний. Предположительно, атаки осуществляются в интересах Китая. Подробнее здесь.

Китайские правительственные хакеры атаковали российский госсектор

Китайские правительственные хакеры атаковали российские компании. Об этом стало известно 3 августа 2021 года. Подробнее здесь.

Китай создает центр кибербезопасности, чтобы готовить военных хакеров

30 июля 2021 года появилась информация о том, что Китай занялся созданием Национального центра кибербезопасности (National Cybersecurity Center, NCC). Инвестиции в этот крупный проект не раскрываются. Подробнее здесь.

Китай выделил $40 млрд на киберзащиту страны

В начале июля 2021 года Министерство промышленности и информационных технологий КНР сообщило, что разработало проект трехлетнего плана действий по развитию сектора кибербезопасности страны. Проект ориентирован на нормативное урегулирование хранения, передачи и конфиденциальности персональных данных. В министерстве ожидают, что к 2023 году объем сектора кибербезопасности в экономике страны превысит $38,6 млрд, а совокупный годовой темп роста составит свыше 15%.

В документе ведомства указано, что доля инвестиций в сетевую безопасность в ключевых отраслях, в том числе в телекоммуникациях, составляет 10% от инвестиций в ИТ. Предприятиям ключевых отраслей промышленности власти рекомендуют увеличить размер инвестиций в защиту сетевой инфраструктуры и содействовать развертыванию и применению технологий, решений и услуг сетевой безопасности, а малым и средним предприятиям - значительно повысить свои возможности в области сетевой безопасности.

В проекте говорится о том, что к 2023 году планируется сформировать ряд ведущих предприятий с эксплуатационными преимуществами и преимуществами сетевой безопасности, а также ряд малых и средних предприятий для новых направлений, таких как интернет вещей (IoT), промышленный интернет вещей, интернет транспортных средств, «умный город».

Китай выстраивал почти с нуля правовые механизмы в сфере кибербезопасности с 2017 года и сейчас находится на поздней стадии их создания, - отметил аналитик EqualOcean Иван Платонов. - Поскольку в сентябре вступает в силу Закон о безопасности данных, крайне важно разработать комплексную стратегию, которая подтолкнет предприятия страны к увеличению своих расходов на безопасность данных.

Платонов также отметил, что к июлю 2021 года на Китай приходится лишь около 1% мировых расходов на услуги по кибербезопасности. В связи с быстрым ростом облачной/SaaS-индустрии инвестиции в кибербезопасность становятся все более важными для страны.^[4]

По своим возможностям в киберпространстве Китай отстает от США на 10 лет

Согласно исследованию^[5] Международного института стратегических исследований (International Institute for Strategic Studies, IISS), по возможностям в киберпространстве Китай не сможет догнать США в ближайшие десять лет. Киберсила Поднебесной подрывается проблемами с безопасностью и недостаточным анализом полученных разведданных^[6].

Исследователи составили рейтинг стран по их возможностям в киберпространстве, начиная от уровня их цифровой экономики и зрелости их функций разведки и безопасности и заканчивая уровнем интеграции киберобъектов с военными операциями.

Китай, как и Россия (Киберпреступность и киберконфликты : Россия), доказал свою квалификацию в проведении наступательных киберопераций (операций кибершпионажа, кражи интеллектуальной собственности и кампаний дезинформации) против США и их союзников. Тем не менее, по данным IISS, возможности обеих стран сдерживаются сравнительно низким уровнем кибербезопасности по сравнению с их противниками. В связи с этим рейтинг возглавили только США, а Китай, Россия, Великобритания, Австралия, Канада, Франция и Израиль были признаны странами второго эшелона. В список стран третьего эшелона вошли Индия, Индонезия, Япония, Малайзия, КНДР, Иран и Вьетнам.

Согласно отчету, внимание Пекина к «безопасности контента» (ограничению политически подрывной информации в китайском сегменте интернета) могло снизить его внимание к контролю над физическими сетями, по которым он передается. IISS также предположил, что анализ разведданных Китая «менее зрелый», по сравнению с разведывательным альянсом Five Eyes, куда входят США, Великобритания, Канада, Австралия и Новая Зеландия, поскольку Пекин руководствовался идеологией и «все больше запутывался в политических целях» лидеров коммунистической партии.

Народно-освободительная армия Китая может стоять за атакой на японское космическое агентство

Народно-освободительная армия Китая подозревается в кибератаках на сотни целей в Японии, в том числе на космическое агентство и оборонные предприятия^[7].

В 2016 году Японское агентство аэрокосмических исследований (JAXA) подверглось кибератаке. Как сообщает японская национальная телерадиокомпания NHK, полиции Токио удалось установить личность гражданина КНР, арендовавшего на территории Японии несколько серверов, предположительно использовавшихся в атаках. К настоящему времени подозреваемый уже покинул пределы страны, но несмотря на это, во вторник, 20 апреля, его дело было передано в прокуратуру.

Мужчина в возрасте 30 с небольшим лет является компьютерным инженером и членом Коммунистической партии Китая. По версии следствия, он пять раз арендовал серверы в Японии под вымышленными именами. ID серверов и учетные данные мужчина передавал китайской хакерской группировке, известной как Tick.

Еще один гражданин КНР также арендовал несколько серверов в Японии под вымышленными именами. Предполагается, что мужчина действовал по приказу Бюро 61419 – структуры внутри Народно-освободительной армии Китая, занимающейся осуществлением кибератак.

Согласно версии полиции Токио, Народно-освободительная армия Китая заказала у Tick серию кибератак на японские организации, жертвами которых стали два десятка компаний и исследовательских институтов.

По словам представителей JAXA, неизвестные действительно получили несанкционированный доступ к сетям космического агентства, но никакого ущерба (например, утечки данных) не причинили.

Как сообщил ИБ-эксперт Ивай Хироки, Tick является одной из частных хакерских группировок, работающих на Народно-освободительную армию и спецслужбы Китая. Группировка начала свою деятельность в начале 2000-х годов и специализируется на сложных и хорошо продуманных атаках на аэрокосмические исследовательские организации.

Китайские кибершпионы похищают данные о 5G по всему миру

Китайские киберпреступники с прошлой осени начали атаковать телекоммуникационные компании в Азии, Европе и США с целью кражи информации о 5G^[8].

Как сообщили в марте 2021 года^[9] специалисты компании McAfee, кибершпионы пытаются обманом заманить сотрудников телекоммуникационной компании на вредоносный сайт, замаскированный под страницу с вакансиями в компании Huawei. Фишинговый сайт просит пользователей установить обновление программного обеспечения Flash, размещенное на вредоносном сайте. Вредоносный файл загружает и устанавливает бэкдор на .NET, который будет связываться с удаленной инфраструктурой злоумышленников через маяк Cobalt Strike.

По словам экспертов, с помощью фишинговых атак кибершпионы пытаются закрепиться во внутренних сетях телекоммуникационных компаний. Специалисты зафиксировали атаки против телекоммуникационных компаний в Юго-Восточной Азии, Европе и США, однако группировка также проявляет «большой интерес к телекоммуникационным компаниям в Германии, Вьетнаме и Индии».

Использованные в данной кампании методы, тактики и процедуры специалисты связали с китайскими группировками Red Delta и Mustang Panda. Хотя эксперты предполагают, что Red Delta и Mustang Panda могут быть одной и той же группировкой, в настоящее время у них нет дополнительных свидетельств.

«Мы предполагаем, что мотивация этой конкретной кампании связана с запретом китайских технологий при глобальном развертывании 5G», — отметили специалисты.

Некоторые страны, на которые нацелена группа Mustang Panda, уже сделали публичные заявления о своем намерении запретить или ограничить участие Huawei в развертывании национальных сетей 5G, например, США, Испания и Италия. Однако атаки наблюдались и в странах, где Huawei уже подписала аналогичные контракты.

2020

Тайвань обвинил Пекин в кибератаках на госорганы

Хакерские группировки, предположительно поддерживаемые правительством Китая, осуществляют кибератаки с целью проникновения в сети правительственных ведомств Тайваня и кражи конфиденциальной информации граждан в рамках непрекращающихся попыток воздействия на демократическое общество. Об этом в августе заявил замглавы подразделения по кибербезопасности Бюро расследований Тайваня Лю Чиа-цзунь^[10].

По словам чиновника, хакеры «уже долгое время» взламывают системы тайваньских компаний, предоставляющих информационные услуги госорганам, в попытках получить государственную информацию и персональные данные граждан.

За атаками стоят четыре группировки - Blacktech, Taidoor, MustangPanda и APT40. Благодаря тому, что хакеры тщательно скрывают следы своей деятельности, специалистам пока не удалось определить, какие данные были украдены, за исключением одного случая, когда в руки злоумышленников попали порядка 6 тыс. правительственных электронных писем, отметил Лю.

Он также добавил, что с 2018 года Тайвань провел расследование примерно 10 дел, связанных с кибератаками со стороны китайских хакеров. По оценкам главы Департамента кибербезопасности страны Цзянь Хун-вея, китайские власти осуществляют на Тайвань порядка 30 млн кибератак в месяц.

США не хотят прокладывать кабель связи с Китаем из-за угрозы кибершпионажа

22 июня 2020 года стало известно о том, что США не хотят прокладывать кабель связи с Китаем из-за угрозы кибершпионажа. Кабель якобы позволит китайским разведслужбам получить доступ к американским данным. Подробнее здесь.

КНР обновит правила кибербезопасности для критической инфраструктуры

С 1 июня 2020 года в Китае вступит в силу обновленная система проверки кибербезопасности, призванная усилить национальную кибербезопасность страны. Правила коснутся как китайских, так и зарубежных поставщиков сетевых продуктов и услуг для стратегических отраслей, таких как связь, радио и телевидение, энергетика, финансы, перевозки, железная дорога и гражданская авиация. Об этом стало известно 29 апреля 2020 года.

Администрация киберпространства КНР совместно с 11 профильными ведомствами опубликовала документ под названием «Меры по проверке кибербезопасности» 27 апреля. Как сообщает издание China Daily, в нем прописаны обязательства по соблюдению кибербезопасности в соответствии с «Законом о кибербезопасности», действующем в Китае с 1 июня 2017 года.

Внедрение данной системы проверки поможет устранить потенциальные риски, обеспечить общественную безопасность и безопасность национального киберпространства, а также поспособствует здоровому и упорядоченному развитию информационной индустрии, считают авторы документа.

Согласно правилам, операторы критически важной информационной инфраструктуры, закупающие сетевые продукты и услуги (если эти продукты и услуги могут повлиять на национальную безопасность), должны проходить проверку национальной безопасности.

Документ также обязывает операторов проводить оценку потенциальных киберрисков, связанных с закупаемыми ими продуктами и услугами. В случае обнаружения потенциальных угроз, таких как незаконный контроль и повреждение ключевой ИТ-инфраструктуры, утечка, потеря и повреждение ключевых данных, операторы обязаны обратиться в бюро по проверке кибербезопасности для проведения дальнейшей проверки.

«Закон о кибербезопасности КНР» – основной нормативно-правовой акт, регулирующий сферу интернет-безопасности КНР. Документ регламентирует действия поставщиков сетевых продуктов и услуг по сбору, хранению и обработке пользовательских данных, определяет порядок и специфику обеспечения безопасности информационной инфраструктуры в стратегически важных отраслях^[11].

ЦРУ заподозрили в 11-летнем кибершпионаже против Китая

Китайская ИБ-компания Qihoo 360 опубликовала отчет, в котором связала Центральное разведывательное управление США (ЦРУ) с долгосрочной кампанией по кибершпионажу, направленной на китайские промышленные и правительственные организации. Об этом стало известно 4 марта 2020 года. По словам исследователей, кампания продолжалась в период с сентября 2008 года по июнь 2019 года, и большинство целей были расположены в Пекине, Гуандуне и Чжэцзяне. Подробнее здесь.

2019

Китай вновь использует для DDoS-атак «Великую пушку»

По данным аналитиков AT&T Cybersecurity, китайские власти вновь активировали «Великую пушку» (Great Cannon) — мощный инструмент для DDoS-атак, который в последний раз использовался два года назад^[12][13]. Подробнее смотреть здесь.

За атаками на парламент Австралии стоит Китай?

Осенью 2019 года австралийской разведке удалось установить, что за кибератаками на парламент страны и три крупнейшие политические партии в преддверии майских выборов стоит Китай. Об этом информагентству Reuters сообщили как минимум пять осведомленных источников, пожелавших сохранить анонимность. По словам источников, в марте нынешнего года австралийское разведывательное управление Australian Signals Directorate установило, что вышеупомянутые кибератаки были осуществлены Министерством государственной безопасности КНР. Австралийские власти подготовили соответствующий отчет, включающий сведения, добытые Министерством иностранных дел Австралии, однако они намерены держать его в тайне во избежание ухудшения торгово-экономических отношений между двумя государствами.

Австралийское правительство не выдвигало никаких обвинений в сторону Китая, а офис премьер-министра Скотта Моррисона отказался отвечать на вопросы Reuters. В свою очередь, Министерство иностранных дел КНР опровергает любые обвинения в киберпреступной деятельности, отмечая, что интернет кишит всевозможными теориями, которые невозможно доказать.

Китайские хакеры взломали HPE, IBM и еще шесть крупнейших ИТ-провайдеров мира

Хакеры, которые работают на китайское Министерство государственной безопасности, взломали сети восьми крупнейших провайдеров технологических сервисов, пишет в июне 2019 года Reuters. Их целью была кража коммерческих секретов клиентов этих компаний, сообщает источник агентства, знакомый с ситуацией. Данная хакерская кампания получила название Cloud Hopper^[14].

Хакерам удалось скомпрометировать данные как минимум восьми провайдеров: Hewlett Packard Enterprise (HPE), IBM, Fujitsu, Tata Consultancy Services, NTT Data, Dimension Data, Computer Sciences Corporation и DXC Technology (ранее Computer Sciences). О Cloud Hopper было известно и ранее, но в числе жертв до сегодняшнего дня назывались только HPE и IBM.

Reuters удалось также определить, какие компании были клиентами этих провайдеров. В список вошли шведский телекоммуникационный гигант Ericsson, американская судостроительная компания Huntington Ingalls Industries и система бронирования для путешественников Sabre.

По словам Роберта Ханнигана (Robert Hannigan), бывшего директора Центра правительственной связи Великобритании и нынешнего председателя ИБ-фирмы BlueVoyant, эффект серии атак Cloud Hopper был разрушительным. Китайское правительство отрицает свою причастность.

Перехват вредоносного кода АНБ США

10 мая 2019 года стало известно, что агентам китайской киберразведки удалось перехватить вредоносный код АНБ и использовать его против стран - союзников США.

Исходя из времени, когда произошли эти атаки, и подсказки, выявленные в компьютерном коде, исследователи Symantec сделали вывод, что китайские киберспециалисты не крали хакерские инструменты АНБ, а в буквальном смысле перехватили их во время атаки на собственные системы.

В своей публикации Symantec не называет Китай прямо, вместо этого используются обозначения «группировка Buckeye» и APT3. Однако в Минюст США, и других организациях, занимающихся вопросом кибербезопасности обозначают таким образом структуру, выступающую в роли подрядчика для Министерства государственной безопасности КНР, штаб-квартира которой находится в Гуанчжоу. В 2017 г. Министерство юстиции США выдвинуло обвинение против трёх китайских хакеров, который были названы членами Buckeye и APT3.

Для АНБ в Symantec также используют условное обозначение: Equation Group. Так в начале 2015 г. «Лаборатория Касперского (Kaspersky)» назвала создателей фреймворка для разработки кибероружия. В мировой индустрии кибербезопасности сложился устойчивый консенсус, согласно которому Equation - это группа киберэкспертов на службе у Агентства национальной безопасности США.

В августе 2016 г. неизвестная группировка Shadow Brokers начала публиковать эксплойты и другие вредоносные инструменты, принадлежащие Equation Group, то ли украденные, то ли «слитые» инсайдером. Все эти эксплойты попали в общий доступ в апреле 2017 г. и с тех пор несколько раз были использованы различными киберпреступниками (достаточно вспомнить глобальную эпидемию шифровальщика WannaCry).

Между тем, по данным Symantec, модифицированные версии двух инструментов из этого набора - в частности, Eternal Synergy и Double Pulsar - ещё в марте 2016 г. были использованы APT3 в их атаках. Таким образом, к китайским хакерам эти инструменты попали до их «утечки»».

Эксперты Symantec указывают, что с помощью этих инструментов были атакованы коммерческие и научные структуры в пяти странах - Бельгии, Люксембурге, Вьетнаме, Филиппинах и Гонконге. Минимум одна атака была направлена на крупную телекоммуникационную сеть; в результате атакующие могли получить доступ к сотням тысяч или даже миллионам приватных сообщений.

В компании отметили, что впервые видят, как чужой вредоносный код оказывается перехвачен «на лету» и обращён на союзников его предположительных создателей. При этом APT3 не атаковало с помощью указанных эксплойтов инфраструктуру на территории США, вероятно, предполагая наличие защитных средств и не желая выдавать наличие у них возможности использовать эти эксплойты. Притом, что ранее APT3 неоднократно совершала атаки на инфраструктуру США, используя иные средства, и порой весьма успешно.

Утечка эксплойтов Equation имела весьма далеко идущие последствия для АНБ: весь накопленный за долгие годы арсенал пришлось немедленно представить Microsoft, чтобы та выпустила исправления для уязвимостей, ранее использовавшихся Equation. АНБ также пришлось свернуть несколько ключевых антитеррористических программ.

Мало того, «слитые» инструменты, быстро оказались в распоряжении Северной Кореи и России. С этим связаны нашумевшие атаки на транспортную корпорацию Maersk, на британскую систему здравоохранения и гражданскую инфраструктуру Украины.

Однако главный вывод из этой ситуации, состоит в том, что спецслужбы США продемонстрировали, причем не в первый раз, неспособность надёжно хранить своё кибероружие. В разведывательных кругах США снова встал вопрос, есть ли смысл в разработке кибероружия, если невозможно предотвратить его попадание в руки недругов.

Информация о существовани Stuxnet и кибероружия как такового в 2011 г. выплыла наружу только потому, что из-за ошибки в коде этот «боевой червь» вышел за периметр целевой области применения. Кибероружие - «обоюдоострый меч», и, как доказывает эта история, никто не застрахован от того, что оно не будет использовано против его же разработчиков. Хуже всего, однако, то, что при его деструктивном потенциале, сравнимым разве что с ОМП, до сих пор не существует никаких официальных международных договорённостей, регулирующих его применение. Ничего хорошего миру это не сулит. Михаил Зайцев, эксперт по информационной безопасности компании SEQ (ранее SEC Consult Services)

По данным Symantec, после выдвинутых Минюстом США обвинений против предполагаемых членов Buckeye и APT3 в 2017 г., группировка свела свою активность на нет. Однако атаки с применением тех же модифицированных инструментов продолжались до сентября 2018 г^[15].

2018

NYT: Китайские кибершпионы три года перехватывали дипломатическую переписку стран ЕС

Кибершпионы проникли в сеть дипломатических коммуникаций Евросоюза и в течение трех лет перехватывали тысячи телеграмм, касающихся различных вопросов, в том числе беспокойства о непредсказуемых действиях администрации президента США Дональда Трампа, попытках противостояния РФ и Китаю и рисках, связанных с возобновлением ядерной программы Ирана, сообщило издание The New York Times^[16].

В распоряжении газеты оказались 1 100 конфиденциальных документов, включая меморандумы бесед с лидерами Саудовской Аравии, Израиля и других стран, сообщения европейских дипломатов о действиях России, отчеты о частных переговорах с главой КНР Си Цзиньпинем и беседах с американскими чиновниками о встрече президентов США и РФ Дональда Трампа и Владимира Путина на саммите в Хельсинки в июле 2018 года.

Судя по использованным техникам, ко взлому может быть причастно элитное хакерское подразделение Народно-освободительной армии Китая, считают эксперты ИБ-компании Area 1, обнаружившие утечку данных. По их словам, атакующие с помощью фишинга проникли в национальные системы Кипра и украли пароли, которые позволили им получить доступ ко всей базе данных ЕС. Далее они копировали телеграммы из защищенных сетей и размещали на созданном ими доступном сайте.

По данным издания, кроме систем ЕС, злоумышленники также скомпрометировали сети ООН, Американской федерации труда и Конгресса производственных профсоюзов (American Federation of Labor and Congress of Industrial Organizations, AFL-CIO) и министерств финансов и иностранных дел в странах по всему миру. В общей сложности киберпреступники атаковали более сотни организаций и институтов, однако многие из них не подозревали о взломе вплоть до недавнего времени.

Агентство национальной безопасности все еще изучает «европейский архив». Специалисты неоднократно предупреждали ЕС об использовании устаревших систем и рисках хакерских атак со стороны Китая, Ирана и других стран. Однако в ответ на предупреждения чиновники обычно пожимали плечами, пишет издание.

Как подчеркнули европейские чиновники, конфиденциальные материалы и сообщения с грифом «секретно» и «совершенно секретно» обрабатываются иным способом, чем документы, которые удалось перехватить киберпреступникам. Они также отметили, что для конфиденциальной дипломатической корреспонденции разрабатывается сеть EC3IS, а для коммуникаций в столицах, таких как Москва и Пекин, для делегаций стран-членов ЕС предусмотрена другая сеть – Zeus.

Китайские «стандарты кибербезопасности» направлены на борьбу с конкурентами

Правительство КНР использует 300 так называемых «национальных стандартов кибербезопасности», чтобы не дать иностранным технологическим компаниям попасть на китайских рынок. Такие выводы содержатся в отчете американского Центра стратегических и международных исследований (The Center for Strategic and International Studies, CSIS)^[17].

Вышеупомянутые стандарты представляют собой документы, разработанные Национальным техническим комитетом КНР по стандартизации в области информационной безопасности. В них содержатся различные рекомендации по проектированию и функционалу целого ряда продуктов с точки зрения кибербезопасности. Рекомендации касаются таких продуктов, как маршрутизаторы, межсетевые экраны и даже программное обеспечение.

Некоторые стандарты описывают методы предоставления правительству доступа к конфиденциальным данным китайских граждан, обрабатываемым определенными сервисами или устройствами. Одни стандарты касаются допустимых алгоритмов шифрования, тогда как другие описывают требования к технологиям передачи данных за пределами страны.

По уверению китайских властей, в настоящее время стандарты носят лишь рекомендательный характер. Тем не менее, согласно отчету CSIS, многие из них являются обязательными для выполнения китайскими компаниями. Более того, китайские компании не могут закупать продукцию у вендоров, не сертифицированных согласно определенным стандартам, так как в результате полученный продукт будет не соответствовать рекомендациям. Это существенно затруднят попытки иностранных производителей попасть на китайский рынок, уверены эксперты.

«Для того чтобы соответствовать некоторым стандартам, иностранным фирмам придется перепроектировать свою продукцию специально для китайского рынка из-за несоответствия этих стандартов с международным», - пишут эксперты CSIS.

Китайские хакеры атаковали космические спутники

20 июня 2018 года производитель антивирусов Symantec сообщил о масштабной кибератаке, которую организовали китайские хакеры на космические, оборонные и телекоммуникационные комплексы США и Азии. 

По данным экспертов, за кибернападениями на компании-операторов спутников, а также ряд телекоммуникационных предприятий и оборонных подрядчиков стоит группировка под названием Thrip. Она преследовала цель по шпионажу и перехвату данных из гражданских и военных каналов связи. 

Отмечается, что в результате кибератак их организаторам удалось внедрить вирусы в компьютеры, используемых для управления космическими спутниками. В результате взломщики получили возможность изменять геопозицию спутников на орбите и мешать передаче информации на землю.

Глава Symantec Грег Кларк говорит, что преступники применяли стандартные инструменты операционной системы, из-за чего жертвы даже не заметили никаких аномалий. Хакеры действовали крайне осторожно, проникали в сети и были раскрыты только при помощи искусственного интеллекта, способного идентифицировать и отследить их действия, добавил он.

Нарушение работы спутников может привести к проблемам в функционировании гражданских и военных объектов, — заявил технический директор Symantec Викрам Такур (Vikram Thakur).

По его словам, проблема касается всех людей. Спутники чрезвычайно важны для нормальной работы мобильных устройств, а также для определения геолокации во множестве сфер жизни.

Symantec направила данные об кибератаке в ФБР и министерство внутренней безопасности США. О произошедшем также были уведомлены компетентные органы ряда азиатских стран, пострадавших от действий хакеров.

По сообщению Symantec, к 20 июня 2018 года взломанные сети удалось защитить от дальнейшего проникновения хакеров.^[18]

США закрывают рынок от смартфонов Huawei

Инициативная группа законодателей заподозрила китайские смартфоны Huawei Mate 10 в возможности вести слежку за пользователями, сообщает в начале 2018 года издание The Wall Street Journal. Группа направила письмо в Федеральную комиссию по связи США, в котором выразила опасения в том, что Huawei якобы сотрудничает с некоей телекомпанией и китайскими спецслужбами, а также обвинила китайского производителя в игнорировании прав на интеллектуальную собственность.

В этой связи один из крупнейших американских операторов мобильной связи AT&T отказался от продаж смартфонов Huawei Mate 10. По информации различных СМИ, сделка сорвалась из-за давления комиссии по связи США. Как намекнули авторы письма, сделка с AT&T может упрочить позиции Huawei на рынке США и в конечном счете открыть возможность использования смартфонов компании американскими чиновниками.

2017

Власти Индии посоветовали военным удалить с телефонов китайские приложения из-за риска слежки

Как стало известно 11 Декабря, Министерство обороны Индии порекомендовало войскам, размещенным на индийско-китайской границе, удалять разработанные в Китае приложения со своих смартфонов.

Согласно рекомендациям, китайские приложения передают данные пользователя на расположенные в Китае серверы и китайское правительство может использовать собранную информацию для определения местоположения индийских войск.

Минобороны также составило список, включающий 42 рекомендованных к удалению приложений для Android и iOS. В список вошли несколько популярных приложений, таких как Weibo, Wechat, UC Browser и CM Browser.

Ранее индийские власти запретили использование китайского оборудования от компаний Huawei и ZTE в приграничном регионе. Несмотря на напряженность между двумя странами, в Индии нет общего запрета на китайскую продукцию. Любые запреты на китайские товары применяются только в демаркационной зоне на индийско-китайской границе.

В Китае одобрили план создания первого интернет-суда

Как стало известно 28 июля, в Китае в ходе 36-й сессии Центрального комитета Коммунистической партии Китая по всестороннему углублению реформ был одобрен план по созданию первого в стране интернет-суда, передает CCTV.^[19]

В интернет-суде, который появится в городе Ханчжоу провинции Чжэцзян, будут рассматривать исключительно дела, связанные с киберпреступлениями, в том числе дела о заключенных онлайн долговых контрактах, о нарушении авторских прав в интернете, о случаях мошенничества в онлайн-торговле и др.

Предполагается, что все судебные процедуры, начиная с подачи иска, будут проводиться на сайте суда. Слушания будут также транслироваться в режиме реального времени.

Дата начала работы интернет-суда не называется.

Как отмечается, судебная система города Ханчжоу уже ведет множество дел по киберпреступлениям, и их число продолжает расти. Так, в 2013 году суд рассматривал порядка 600 таких дел, а в 2016 году их число превысило 10 тысяч.

2016

Zecurion: Китай на втором месте по финансированию кибервойск

Россия может входить в топ-5 стран с наиболее развитыми кибервойсками — специализированными подразделениями по кибербезопасности для военных или разведывательных целей. Об этом свидетельствуют данные исследования Zecurion Analytics, которые приводит «Коммерсантъ»^[20][21].

Так, согласно данным исследования, самыми развитыми кибервойсками в мире в настоящее время обладают США. По мнению аналитиков, государственное финансирование этого направления в Штатах может составлять около $7 млрд в год, а численность хакеров, сотрудничающих с государством, — 9 тыс. человек.

На второе место в Zecurion поставили Китай, где финансирование данного направления может составлять $1,5 млрд в год, а киберармия оценивается как самая многочисленная, до 20 тыс. человек.

Точные цифры в компании раскрыть отказались, однако, по оценке собеседника издания на рынке информационной безопасности, расходы России на кибервойска составляют около $300 млн в год, а численность российских спецподразделений составляет примерно 1 тыс. человек.

Тройку стран, где наиболее развиты спецподразделения по кибербезопасности, замыкает Великобритания, выделяющая кибервойскам, состоящим из 2 тыс. человек, $450 млн в год. На четвертом месте Южная Корея с бюджетом $400 млн в год и составом в 700 хакеров.

Китай пригрозил применять военную силу ради своей кибербезопасности

Китай намерен принять все необходимые меры для обеспечения своей информационной безопасности, не исключая применения военной силы. Об этом на пресс-конференции в Пекине заявил Глава бюро кибербезопасности Управления киберпространства КНР Чжао Цзэлян (Zhao Zeliang)^[22].

Он также призвал к созданию «безопасного и контролируемого» интернета и представил план по аудиту всех «ключевых информационных продуктов и услуг», поставляемых на территорию страны иностранными компаниями. Продажа таких продуктов будет возможна только после комплексной проверки. Разработки, ориентированные на государственные организации и промышленные комплексы, будут проверять с двойным усердием.

Фактор международных отношений

За время президентства нынешнего главы государства Си Цзиньпиня (Xi Jinping) тема кибербезопасности стала существенным фактором международных отношений. Китай регулярно обвиняют в осуществлении целенаправленных кибератак против других стран, в то же время достоянием общественности стала информация о кибершпионских операциях США. В адрес России также слышатся многочисленные обвинения в проведении кибератак.

Известно, что в составе Народно-освободительной армии КНР существуют как минимум два подразделения, отвечающих за проведение военных и разведывательных операций в области компьютерных сетей, - подразделения 61398 («2-е бюро») и 61046 («8-е бюро»). Считается, что первая из этих групп специализируется на кибершпионаже против США и Канады, а второе - против стран Европы.

В КНР принят новый закон о кибербезопасности

В Китае постоянным комитетом Всекитайского собрания народных представителей был принят новый закон о кибербезопасности, согласно которому хранение персональных данных граждан должно осуществляться теперь только на территории страны.

В целях обеспечения кибербезопасности правоохранительные органы Китая также получили возможность законодательно блокировать счета зарубежных компаний и организаций, которые подозреваются в дестабилизации информационной структуры КНР.

Многие международные эксперты полагают, что таким образом правительство КНР скорее защищает свой рынок ИТ-услуг, так как граждане республики будут опасаться использовать зарубежный софт и гаджеты.

Смотрите также Закон о персональных данных №152-ФЗ в России.

Шпионаж китайских хакеров

В мае 2016 г. ИБ-компания Symantec сообщила, что отследила взлом ряда индийских ресурсов, осуществленный китайской группой кибершпионов Suckfly. В число ресурсов попали системы центрального правительства и крупных финансовых институций^[23].

Утечка данных началась в апреле 2014 г. и продолжалась весь 2015 г. Целью шпионажа Symantec считает подрыв экономической инфраструктуры Индии. В своей работе Suckfly использует шпионское ПО, безопасность которого удостоверяют украденные цифровые сертификаты. Также группа применяет вредоносное ПО Backdoor.Nidoran.

Неделю спустя Kaspersky Lab заявила, что отследила вторжение китайскоговорящей группы кибершпионов Danti в системы центрального правительства Индии по дипломатическим каналам. В ходе атаки использовалась незарегистрированная уязвимость CVE-2015-2545.

Оба случая не получили широкого освещения в Индии, атакованные организации не дали комментариев. Отсутствие какой-либо серьезной реакции на кибератаки со стороны индийского правительства делает страну уязвимой для дальнейших нападений, пишет ресурс The Wire.

Официальное создание киберармии

1 января 2016 года в Китае вступила в силу военная реформа, в рамках которой было создано три новых рода войск. Один из них среди прочего занялся вопросами национальной кибербезопасности.

Согласно сообщению Центрального военного совета КНР, в составе Народно-освободительной армии Китая появились ведомство армейского командования, ракетные войска и войска стратегической поддержки. Последние, в частности, будут отвечать за безопасность цифрового пространства. Более подробная информация о деятельности кибергруппы не раскрывается.

По словам председателя КНР и главы Центрального военного совета Си Цзиньпина (Xi Jinping), проведенные преобразования должны способствовать «реализации китайской мечты об укреплении армии» в современных условиях.

«Это стратегическая мера по формированию современной военной системы с учетом китайских особенностей. Этот шаг станет переломным моментом в модернизации китайской военной системы», — заявил китайский лидер во время церемонии передачи знамен командирам новоиспеченных родов войск.

Целью новой военной реформы является оптимизация структуры обороны страны, укрепление политической системы и гражданско-военной интеграции. Кроме этого, внимание уделено строительству современной военной системы с пониманием китайской специфики, способной побеждать в современных информационных войнах.

К началу 2016 года армия Китая является самой многочисленной в мире, а по размеру военных расходов страна уступает лишь США. Общая численность вооруженных сил КНР оценивается примерно в 2,3 млн человек против 5 млн к началу 80-х годов XX века. Большая часть сокращений коснулось сухопутных войск. ^[24]

2015: Кибервойска Китая не только защищаются

19 марта 2015 года из официальной военной энциклопедии Народно-освободительной армии Китая стало известно о существовании в Китае кибервойск, боевая задача которых не только защита, но и нападение на сети иностранных государств. Ранее Пекин категорически опровергал информацию о своём участии в кибератаках^[25].

В составе вооруженных сил Китая действуют спецподразделения, осуществляющие кибератаки на вычислительные сети иностранных государств, сказано в последнем издании энциклопедии «Наука военной стратегии» (The Science of Military Strategy), выпущенном Народно-освободительной армией Китая на родном языке и представляющим собой «лучшее пособие по китайской военной машине».

По сообщению издания The Daily Beast, со ссылкой на энциклопедию, в Китае действуют два подразделения хакеров. Одно из них при вооруженных силах, второе — в составе разведывательных служб.

Помимо этого, работают некие неправительственные «внешние группировки». Они могут быть организованы и мобилизованы по необходимости, приводит The Daily Beast выдержки из энциклопедии.

«Мы впервые узнали об этом. Они впервые сказали нам буквально следующее: «Да, мы располагаем силами, проводящими атаки в киберпространстве. И мы имеем целых два подразделения, работа которых этому посвящена», — поведал Джо Макрейнольдс (Joe McReynolds), аналитик Центра исследований и анализа разведки в компании Defense Group, изданию The Daily Beast, пояснив, что одно из них, согласно энциклопедии, действует при структурах, аналогичных американским ЦРУ и ФБР.

Пекин всегда официально опровергал участие китайских властей в атаках на компьютерные сети иностранных государств. Притом, что последнее издание «Науки военной стратегии» вышло в декабре 2013 года. «Похоже, они понимали, что мы никак не сможем это доказать, поэтому продолжали настаивать на том, что не промышляют кибератаками», — предположил эксперт.

По словам Макрейнольдса, в полном виде книга попала в руки американских военных экспертов не сразу, а лишь летом 2014 года. Потребовались еще несколько месяцев на перевод с китайского языка.

США не первый год занимаются сбором доказательств о причастности официального Пекина к некоторым атакам на их компьютерные сети. В прошлом году Министерство юстиции США сделало беспрецедентный шаг: оно предъявило обвинения пяти китайским военным, которые, по данным американской разведки, занимаются дипломатическим и промышленным шпионажем посредством взлома сетей американских органов власти и предприятий.

В 2010 году в США создано кибернетическое командование. Американские власти уверяют, что оно занимается исключительно обороной сетей. Это утверждение также поставлено под сомнение. В том же 2010 году, как установили эксперты, спецслужбы США провели ряд атак на иранские ядерные объекты для вывода их из строя.

2013: За массированными кибератаками на США стоит китайская организация

Фирма Mandiant опубликовала в начале 2013 года отчет, из которого следует, что сотни кибератак на США за последние годы - дело рук организации, находящейся в Китае. Атаки носят массированный характер: украдены сотни терабайт данных как минимум из 141 организации.

Преступники крадут интеллектуальную собственность, но могут скрытно присутствовать на компьютере в течение года, осуществляя слежку, пишет Mandiant, имеющая специальную группу по анализу кибератак. Фирма полагает, что обнаружила достаточные свидетельства, чтобы связать эти атаки с одной из 20 организаций киберпреступников, работающих под прикрытием китайского правительства.

Mandiant проанализировала деятельность группы APT1 и документировала факты осуществленных ею взломов на протяжении семи лет. В своем отчете, озаглавленном «APT1: один из аванпостов кибершпионажа Китая», фирма пишет, что имеет неопровержимые доказательства, указывающие на местонахождение этой группы в Шанхае, но деятельность, непосредственно наблюдавшаяся специалистами Mandiant, составляет лишь малую часть ее кибершпионажа.

«Детали, которые мы проанализировали в ходе сотен проверок, убеждают нас, что группы, осуществляющие эту деятельность, расположены главным образом в Китае и что правительство этой страны прекрасно о них знает, - пишет фирма в своем отчете. - Наши наблюдения свидетельствуют, что по количеству украденной информации это одна из самых `плодовитых` групп кибершпионажа».

Тактика китайских киберпреступников разнообразна и включает «социальную инженерию», «жёсткий» фишинг (spearphishing), инструменты дистанционного доступа и более 40 семейств вредоносного ПО.

В своем отчете Mandiant перечислила тысячи признаков атак, включая доменные имена и IP-адреса, которые могут указывать на то, что это дело рук APT1. К отчету прилагаются цифровые сертификаты и видеофайлы, демонстрирующие реальные действия взломщиков. Прилагается также бесплатная утилита для выявления инфицированных систем.

Киберпреступники держали под «наблюдением» компании из 20 основных отраслей, пишет Mandiant. Периодически в течение нескольких месяцев или лет они посещали такую «вскрытую» сеть, выкрадывая технические планы, сведения о проприетарных технологических процессах, результаты испытаний, бизнес-планы, информацию о ценах, соглашения о партнерстве, сообщения электронной почты и списки контактов руководителей этих организаций. Как минимум одна организация находилась под такой «опекой» почти пять лет, прежде чем это было обнаружено.

Лишь за один месяц 2011 г. группа APT1 проникла в сети 17 организаций, 87% «наблюдаемых» организаций находятся в странах английского языка, пишет Mandiant.

Фирма полагает, что группу APT1 спонсирует китайское правительство. Эксперты проследили атаки вплоть до четырех крупных сетей в Шанхае и выявили значительную по ресурсам инфраструктуру, командные серверы, инструментарий и тактику.

Масштаб инфраструктуры, на которую опираются киберпреступники, впечатляет: 937 командных серверов, размещенных на 849 отчетливых IP-адресах в 13 странах. Для управления инфицированными системами группа использовала удаленный десктоп за границей. Mandiant полагает, что за этими атаками могут стоять сотни людей.

«Учитывая масштаб, продолжительность и тип преступной деятельности, операторы APT1 должны были опираться на прямую поддержку лингвистов, специалистов по open-source, создателей вредоносного ПО и экспертов отрасли, транслирующих задания от заказчиков к исполнителям, а также людей, которые затем передают украденную информацию заказчикам, - говорится в отчете. - Группа APT1 должна также иметь значительный штат ИТ-персонала, занятый закупкой и обслуживанием компьютерного оборудования, и людей, которые занимаются финансами, логистикой и административно-хозяйственной работой».

Смотрите также

Примечания