Кибершпионаж

Практика кибершпионажа зародилась уже в 1996 году, когда началось массовое подключение государственных и корпоративных систем к интернету. С этого времени зафиксировано множество подобных инцидентов^[4][5][6].

Кибершпионаж обычно подразумевает доступ к секретной и конфиденциальной информации либо контроль над отдельными компьютерами и целыми сетями ради стратегического преимущества, проведения психологических, политических или физических акций саботажа и подрывной деятельности^[7]. С развитием социальных сетей кибершпионаж охватывает также анализ публичной активности в соцсетях^[8].

Операции подобного рода, как и обычный шпионаж, зачастую незаконны в стране-жертве, но поддерживаются на государственном уровне со стороны страны-агрессора. Этическая оценка вопроса также может различаться в зависимости от взглядов и отношения к вовлечённым государствам^[7].

Средства кибершпионажа разрабатываются как государственными структурами, так и частными компаниями практически для всех операционных систем персональных компьютеров и смартфонов: Windows, macOS, Linux, iOS, Android, BlackBerry и других^[9]. Крупнейшими производителями коммерческих (COTS) решений для киберслежки являются Gamma Group (Великобритания)^[10] и Hacking Team (Италия)^[11]. Среди других компаний — Endgame, Inc., Netragard (США), Vupen (Франция), многие из которых предоставляют комплекты эксплойтов типа zero-day^[12]. Государственные спецслужбы часто разрабатывают собственные инструменты, такие как Stuxnet, однако для успешного внедрения постоянно нуждаются в новых zero-day-уязвимостях, стоимость которых может достигать сотен тысяч долларов^[13].

К типичным функциям систем кибершпионажа относятся:

• Сканирование данных: анализ локальных и сетевых хранилищ, копирование файлов (документов, электронных таблиц, проектных файлов и системных файлов, например «passwd»).
• Определение местоположения: использование GPS, Wi-Fi, сетевой информации и других датчиков для отслеживания положения устройства.
• Подслушивание: активация микрофона устройства для записи звука, а также перехват аудиопотоков.
• Скрытые частные сети: обход корпоративных средств защиты благодаря подключению устройства к альтернативным открытым сетям.
• Использование камер: скрытый запуск камер для фотосъёмки и записи видео.
• Логгирование нажатий: регистрация всех нажатий клавиш, движений мыши и кликов, дополненная скриншотами, для кражи паролей и другой конфиденциальной информации.
• Скриншоты: периодическая съёмка экрана с целью получения чувствительной информации, которая не сохраняется на устройстве.
• Шифрование: сбор и передача зашифрованных данных для предотвращения их перехвата посторонними.
• Обход шифрования: поскольку вредоносное ПО работает с теми же правами, что и пользователь, оно способно перехватить данные до их шифрования — например, обе стороны защищённого звонка Skype^[14].
• Эксуфильтрация: незаметная передача собранных данных, часто с маскировкой трафика под обычные HTTPS-сессии; для утечек иногда используют USB-накопители^[15].
• Самораспространение: заражённые агенты способны копировать себя на другие носители или в сетевые ресурсы для дальнейшего распространения.
• Манипуляция файлами: вредоносное ПО может удалять следы присутствия из журналов, загружать обновления или изменять пользовательские данные, а также помещать фальшивые «улики» или вмешиваться в подсчёт голосов при электронном голосовании.
• Комбинированные правила: сложные комплексы позволяют сочетать несколько функций для целенаправленного и персонализированного сбора данных (например, активация прослушки только в определённых координатах).
• Компрометация мобильных устройств: современные смартфоны столь же уязвимы для кибершпионажа, как и компьютеры, и могут утекать чрезвычайно чувствительную информацию о разговоре и местоположении. Известны случаи, когда злоумышленники, отслеживая GPS-координаты жертвы, связывались с её окружением для дискредитации.

Существуют распространённые способы инфицирования или получения доступа к целевой системе:

• Инъекционный прокси (англ. Injection Proxy) — размещается на стороне интернет-провайдера и внедряет вредоносный код в загружаемые на устройство файлы^[16].
• Атаки типа spear phishing: жертве отправляется индивидуализированное письмо, содержащее вредоносное приложение или ссылку на сайт с эксплойтом^[17].
• Тайное проникновение (англ. Surreptitious Entry): непосредственный взлом офиса или жилища жертвы с физической установкой вредоносного ПО^[18].
• Межсетевые анализаторы (англ. Upstream monitor, англ. sniffer): размещённые у провайдера устройства, перехватывающие трафик (например, Carnivore ФБР). Применимость технологий ограничивается массовым переходом к шифрованию трафика.
• Беспроводное вторжение: специализированные переносные системы, маскирующиеся под Wi-Fi или 3G базовую станцию для захвата трафика жертвы.
• USB-накопитель с предустановленным вредоносным ПО, физически внедряемый на месте.

Программные агенты кибершпионажа обычно устанавливаются с помощью эксплойтов zero-day при открытии заражённых USB-устройств, вложений в электронные письма или вредоносных сайтов^[19][20]. Известны случаи, когда правительственные операции использовали официальные сертификаты операционных систем вместо хакерских уязвимостей. Например, в операции Flame сертификат Microsoft, использованный для подписания вредоносного ПО, оказался поддельным^[21]; некоторые эксперты считают, что сертификат мог быть получен с помощью HUMINT-операций^[22].

• Stuxnet
• Flame
• Duqu
• Bundestrojaner
• Rocra^[23][24]
• Operation High Roller^[25]
• Cozy Bear^[26][27]