Шпионский ярлык: история трояна Stuxnet. Федеральная служба опасности

«Не знаю, каким оружием будут сражаться в третьей мировой войне, но в четвертой в ход пойдут камни и дубинки»
Альберт Эйнштейн

В конце сентября стало известно, что вирус Stuxnet нанес серьезный урон иранской ядерной программе. Используя уязвимости операционной системы и пресловутый «человеческий фактор», Stuxnet успешно поразил 1368 из 5000 центрифуг на заводе по обогащению урана в Натанзе, а также сорвал сроки запуска ядерной АЭС в Бушере. Заказчик – неизвестен. Исполнитель – нерадивый сотрудник Siemens, вставивший инфицированный флэш-накопитель в рабочую станцию. Ущерб, нанесенный ядерным объектам Ирана, сопоставим с ущербом от атаки израильских ВВС.
Мир заговорил о войнах нового поколения. Кибернетические атаки могут стать идеальными инструментами следующих войн – они стремительны, эффективны в своей разрушительности и, как правило, анонимны. Сегодня государства в спешном порядке договариваются о совместной стратегии противостояния кибернетическим угрозам. Что будет завтра? К сожалению, наиболее реалистичным ответом на этот вопрос до сих пор остается невеселый афоризм Эйнштейна.

Иран беспомощен перед техно-угрозой

Передовицы мировой прессы заполонили мрачные пророчества о наступлении эры технологических войн. Над разгадкой Stuxnet – вируса, поразившего ядерные объекты Ирана – бьются эксперты самых разных направлений: от IT-безопасности до лингвистики и антропологии. Stuxnet был обнаружен антивирусными лабораториями достаточно давно, однако об истинных масштабах заражения мир узнал в конце сентября, когда стало известно о задержке запуска первой в Иране Бушерской АЭС. Несмотря на то, что Али Акбар Салехи (Ali Akbar Salehi) , глава Организации по атомной энергии Ирана, заявил, что задержка с пуском АЭС никак не связана с деятельностью вируса, Марк Фитцпатрик (Mark Fitzpatrick) , сотрудник Международного института стратегических исследований отметил, что это звучит «не очень серьезно», а Иран cклонен замалчивать реальные проблемы на АЭС. Спустя некоторое время «проговорился» Махмуд Джафари (Mahmoud Jafari), менеджер отдела проектов станции в Бушере. По его словам, Stuxnet «поразил несколько компьютеров, но не нанес какой-либо ущерб основной операционной системе станции». Sapienti sat. Ядерные объекты Ирана в Натанзе также пострадали весьма серьезно: 1368 из 5000 центрифуг были выведены из строя в результате действий Stuxnet. Когда Махмуда Ахмадинеджада после сессии Генассамблеи ООН прямо спросили о технологических проблемах с ядерной программой, он лишь пожал плечами и ничего не ответил. Отметим, что по данным New York Times, ущерб от действий вируса в Иране сравним, разве что, с атакой израильских ВВС.

Автора! Автора!

По вполне понятным причинам разработчики Stuxnet предпочитают держаться в тени, однако совершенно очевидно, что сложность вируса можно назвать беспрецедентной. Создание подобного проекта требует огромных интеллектуальных и финансовых инвестиций, а значит, под силу лишь структурам масштаба государственных. Все эксперты сходятся во мнении, что вирус не является плодом усилий «группы энтузиастов». Лоран Эсло, руководитель отдела систем безопасности Symantec предполагает, что над созданием Stuxnet работали, как минимум, от шести до десяти человек на протяжении шести-девяти месяцев. Франк Ригер (Frank Rieger), технический директор GSMK поддерживает своего коллегу - по его словам, вирус создавала команда из десяти опытных программистов, а разработка заняла около полугода. Ригер называет и ориентировочную сумму создания Stuxnet: она составляет не менее $3 млн. О военных целях вируса говорит Евгений Касперский, генеральный директор «Лаборатории Касперского»: «Stuxnet не крадет деньги, не шлет спам и не ворует конфиденциальную информацию. Этот зловред создан, чтобы контролировать производственные процессы, в буквальном смысле управлять огромными производственными мощностями. В недалеком прошлом мы боролись с кибер-преступниками и интернет-хулиганами, теперь, боюсь, наступает время кибертерроризма, кибероружия и кибервойн». Тильман Вернер (Tillmann Werner), участник содружества специалистов в области интернет-безопасности Honeynet Project , уверен: хакеры-одиночки на такое не способны. «Stuxnet настолько совершенен с технической точки зрения, что следует исходить из того, что в разработке вредоносной программы принимали участие специалисты из госструктур, или что они, по крайней мере, оказывали какую-то помощь в ее создании», - утверждает Вернер.

В процессе анализа Stuxnet некоторые СМИ сделали вывод, что за созданием вируса стоит Израиль. Первым заговорил о причастности Израиля к атаке на Иран Джон Марков (John Markoff) , журналист New York Times, сообщив, что аналитики особо отметили название одного из фрагментов кода «myrtus» («мирт»). В переводе на иврит, «мирт» звучит как «адас», что, в свою очередь, созвучно с именем «Адасса», принадлежащем Эстер (Эсфирь) – героине еврейской истории, спасшей свой народ от уничтожения в Персидской империи. Проводя аналогию с древней Персией, на территории которой расположен современный Иран, некоторые аналитики полагают, что Израиль оставил «визитную карточку» в коде вируса. Впрочем, по мнению целого ряда экспертов, эта версия не выдерживает никакой критики и напоминает сюжет дешевого детектива – слишком уж примитивный «почерк», как для проекта такого масштаба.

Вместе с тем следует подчеркнуть, что еще прошлым летом (напомним, распространение Stuxnet началось в 2009 г.) ресурс WikiLeaks сообщил о серьезной ядерной аварии в Натанзе. Вскоре после этого стало известно, что глава Организации по атомной энергии Ирана Голам Реза Агазаде (Gholam Reza Aghazadeh) ушел в отставку без объяснения причин. Примерно в это же время в СМИ появились высказывания израильских политиков и военных о возможном противостоянии с Ираном на технологическом фронте. Кроме того, Израиль скорректировал прогнозируемую дату получения Ираном атомной бомбы, отодвинув ее на 2014 год, а полномочия Меира Дагана (Meir Dagan) , главы «Моссада», были продлены ради его участия в неназванных «важных проектах».

Человеческий фактор

Примечательна история первичного заражения, положившая начало распространению вируса. Очевидно, что системы автоматизированного управления подобного уровня не подключены к Сети. Эксперт из Киберцентра НАТО в Эстонии Кеннет Гирс (Kenneth Geers) на одной из конференций о безопасности высказал предположение, что успех атаки Stuxnet зависел исключительно от контактов с нужными с людьми и… элементарных USB-накопителей. «Можно заплатить кому-то, кто запустит трояна в закрытую систему, или подменить флешку, которая предназначалась только для внутреннего пользования», - размышляет Гирс. – «Достаточно вставить в стандартный USB-разъем компьютера инфицированную флешку, и Stuxnet тут же автоматически перескакивает на операционную систему, и никакие антивирусные программы и прочие меры защиты ей не помеха». И действительно, «слабым звеном» оказался человеческий фактор – Stuxnet был занесен в систему посредством обычного USB-накопителя, который по неосторожности вставил в рабочую станцию нерадивый сотрудник. Примечательно, что после заявлений министра разведки Ирана Гейдара Мослехи (Heydar Moslehi) о задержании «ядерных шпионов» (ими оказались совершенно непричастные российские техники), руководство Siemens признало, что вирус занесли сотрудники компании, подчеркнув непреднамеренный характер заражения. Следует отметить, что Stuxnet поражает лишь конкретный тип контроллеров Siemens, а именно SIMATIC S7, который, по сведениям МАГАТЭ, используется Ираном.

Кибервойна. Поле битвы – Земля?

На конференции Virus Bulletin 2010, проходившей в Ванкувере (Канада), внимание публики привлек краткий доклад Лайама О Мерчу (Liam O Murchu) , одного из ведущих экспертов Symantec по IT-безопасности. Аналитик провел эксперимент, разъясняющий опасность кибер-угрозы лучше сотен формальных отчетов. О Мерчу установил на сцене воздушный насос, работающий под управлением операционной системы производства Siemens, инфицировал контролирующую насос рабочую станцию вирусом Stuxnet и запустил процесс в действие. Насос быстро надул воздушный шар, но процесс не остановился – шар надувался до тех пор, пока не лопнул. «Представьте, что это не воздушный шар, а иранская атомная электростанция», - сказал эксперт, поставив точку в вопросе о «серьезности» кибервойн.

Коллеги О Мерчу полностью разделяют его опасения. Исследователь Trend Micro Поль Фергюсон (Paul Ferguson) заявил, что с созданием Stuxnet в мире появилось полноценное кибер-оружие, которое выходит за рамки традиционных деструктивных схем (кража номеров кредитных карт и т.д.) и способно привести к серьезным авариям на очень опасных промышленных объектах. Фергюсон подчеркивает, что сейчас аналитики будут «буквально запугивать правительство для того, чтобы то начало принимать серьезные меры безопасности».

И действительно, глава только что созданного Киберштаба США при Пентагоне, генерал Кит Александер (Keith Alexander) , выступая в Конгрессе, публично заявил, что за последние несколько лет угроза кибервойны растет стремительными темпами. Александер напомнил о двух кибер-атаках на целые государства – на Эстонию (в 2007 г., после демонтажа «Бронзового солдата») и на Грузию (в 2008 г., во время войны с Россией).

Президент Эстонии Тоомас Хендрик Ильвес (Toomas Hendrik Ilves) в интервью Berliner Zeitung поднимает вопрос о кибернетических угрозах на самом высоком уровне. Эстонский президент подчеркивает: решение НАТО разместить Центр кибербезопасности именно в Таллине (напомним, он открылся в мае 2008 года) связано с тем, что Эстония является одной из наиболее компьютеризированных стран в Европе, а также первым государством, подвергшимся полномасштабной кибератаке в 2007 году. После атаки, парализовавшей инфраструктуру целой страны, министр обороны Эстонии Яак Аавиксоо (Jaak Aaviksoo) даже потребовал от НАТО приравнять эти киберналеты к военным акциям. Схожие тезисы сегодня высказывает и президент: «Вирус Stuxnet продемонстрировал, насколько серьезно мы должны относиться к кибербезопасности, поскольку при помощи подобных продуктов может быть разрушена жизненно важная инфраструктура. В случае с Ираном вирус был, похоже, нацелен против ядерной программы, однако аналогичные вирусы могут разрушить нашу экономику, которая управляется при помощи компьютеров. Это должно обсуждаться в НАТО: если ракета разрушает электростанцию, в силу вступает параграф 5. Но как действовать в случае атаки компьютерных вирусов?» - спрашивает Тоомас Хендрик Ильвес. Предложение президента находится в русле нынешних тенденций: «Как ЕС, так и НАТО должны разработать единую политику, включая правовые нормы, которые станут основой для коллективной защиты против угрозы в киберпространстве», - считает глава государства.

С Тоомасом Хендриком Ильвесом полностью соглашается первый заместитель министра обороны США Уильям Линн (William J. Lynn) . В интервью «Радио Свобода» Линн попробовал ответить на поднятый Ильвесом вопрос: «Если удар затронул существенные элементы нашей экономики, мы, вероятно, должны считать его нападением. Но если результатом взлома было похищение данных, то это, возможно, не нападение. Между этими двумя крайностями множество других вариантов. Чтобы внятно сформулировать политическую линию, мы должны решить, где пролегает граница между взломом и нападением или между шпионажем и кражей данных. Полагаю, и в правительстве, и вне его идет дискуссия на эту тему, и я не думаю, что дискуссия эта уже исчерпана».

Кроме того, ключевым моментом выступления Уильяма Линна стало публичное оглашение пяти принципов, на которых зиждется новая стратегия кибербезопасности Соединенных Штатов. Цитируем замминистра обороны США без купюр:
«Первый из этих принципов заключается в том, что мы должны признать киберпространство тем, чем оно уже стало – новой зоной военных действий. Точно так же, как сушу, море, воздушное и космическое пространство, мы должны рассматривать киберпространство как сферу наших действий, которую мы будем защищать и на которую распространим свою военную доктрину. Вот что побудило нас создать объединенное Киберкомандование в составе Стратегического командования.

Второй принцип, о котором я уже упоминал - оборона должна быть активной. Она должна включать две общепринятые линии пассивной обороны – собственно, это обычная гигиена: вовремя ставить заплаты, обновлять свои антивирусные программы, совершенствовать средства защиты. Нужна также вторая линия обороны, которую применяют частные компании: детекторы вторжения, программы мониторинга безопасности. Все эти средства, вероятно, помогут вам отразить примерно 80 процентов нападений. Оставшиеся 20 процентов – это очень грубая оценка – изощренные атаки, которые невозможно предотвратить или остановить посредством латания дыр. Необходим гораздо более активный арсенал. Нужны инструменты, которые способны определять и блокировать вредоносный код. Нужны программы, которые будут выявлять и преследовать внутри вашей собственной сети вторгшиеся в нее зловредные элементы. Когда вы нашли их, вы должны иметь возможность заблокировать их общение с внешней сетью. Иными словами, это больше похоже на маневренную войну, чем на линию Мажино.

Третий принцип стратегии кибербезопасности – это защита гражданской инфраструктуры.

Четвертый – США и их союзники должны принять меры коллективной обороны. На предстоящем саммите НАТО в Лиссабоне будут приняты важные решения на этот счет.

Наконец, пятый принцип – США должны оставаться на передовых рубежах в разработке программного продукта».

Весьма примечательна реакция Дмитрия Рогозина , постоянного представителя России при НАТО, на происходящие в Альянсе процессы. Судя по всему, Россия крайне обеспокоена предстоящим саммитом НАТО в Лиссабоне, который состоится 20 ноября, ведь именно на нем планируется прояснить дилемму, считается ли атака на военные и правительственные компьютерные сети члена НАТО поводом для того, чтобы задействовать 5-ю статью Вашингтонского договора и ответить коллективным военным ударом. Рогозин в характерном для себя стиле пишет: «Мы, наконец, узнаем, допустимо ли для НАТО ударить по квартирам хакеров ядреной бомбой или предполагается, что кибервойна все-таки не выйдет за пределы киберпространства. В последнем сценарии у меня есть большие основания усомниться. Буквально на наших глазах в западной периодике разворачивается грандиозный скандал в связи с распространением компьютерного червя под названием Stuxnet. Я привык к чтению и отправке SMS на латинице, поэтому сразу прочел название вируса как русский глагол формы будущего времени: «стухнет». Будьте уверены, стухнет или отвалится что-нибудь у кого-нибудь обязательно, причем у тех, кто этот вирус запустил. Как известно, кто посеет ветер, тот пожнет бурю». Не решаясь комментировать литературно-творческие изыскания г-на Рогозина, отметим, что в двух крупнейших хакерских атаках на целые государства (Эстонию и Грузию) обвиняли именно Россию – возможно, именно этим вызвана столь бурная реакция впечатлительного полпреда.

Таким образом, на фоне истерии, спровоцированной Stuxnet, ряд государств заявили о необходимости формирования совместной политики по предотвращению кибератак. Приведет ли это к желаемому результату, даже если предположить, что будет выработан (и подписан) некий документ, регламентирующий использование деструктивных технологий? IT Business week это представляется крайне сомнительным, уж слишком велики соблазны, предлагаемые высокими технологиями: анонимность, безопасность (для атакующего), беспрецедентное соотношение «стоимость/эффективность». А значит, Stuxnet был только первой ласточкой эпохи техно-социальной революции, которая началась совсем не так, как мечталось.

Теги:

• вирус
• Stuxnet
• Иран

Добавить метки

Я профессиональный программист и по образованию физик, так что все что изложено в этой статье не домыслы, я все это могу сделать сам, своими собственными ручонками. Да и информации по теме располагаю гораздо большей, чем могу изложить на этой, не профильной для меня информационной площадке.
Так что если будете возражать на форуме, подумайте кому вы возражаете.
Это Вам не « с перевала», где я смотрюсь дилетантом, в этой теме я профессионал, так что внимайте с уважением.

Начнем с столетней давности

В 1905 году при прохождении воинской колонны по «Египетскому» мосту в Петербурге произошло его обрушение из-за сильной как тогда говорили «раскачки». Сейчас бы мы сказали из-за резонанса.

Основная версия заключается в том, что конструкция моста не выдержала слишком ритмичных колебаний от слаженного шага военных, отчего в ней произошел резонанс. Эта версия была включена в школьную программу по физике в качестве наглядного примера резонанса.

Кроме того, была введена новая военная команда «идти не в ногу», она даётся строевой колонне перед выходом на любой мост.

История поучительна и в том плане, что столкнувшись с неизвестным явлением военные оперативно в нем разобрались и приняли адекватные меры к его предотвращению в будущем.

Нам бы сейчас такую вдумчивость и оперативность.

Авария на Саяно-Шушенской ГЭС

В современной России, через сто лет произошла аналогичная катастрофа. В результате аварии энергоагрегата №2 Саяно-шушенской ГЭС 17 августа 2009года произошло разрушение машинного зала и полная остановка работы ГЭС, авария унесла 75 человеческих жизней (на мосту ни один человек не погиб).

Официально причина аварии в акте комиссии по расследованию обстоятельств аварии сформулирована так:

Вследствие многократного возникновения дополнительных нагрузок переменного характера на гидроагрегат, связанных с переходами через не рекомендованную зону, образовались и развились усталостные повреждения узлов крепления гидроагрегата, в том числе крышки турбины. Вызванные динамическими нагрузками разрушения шпилек привели к срыву крышки турбины и разгерметизации водоподводящего тракта гидроагрегата.

Если переводить на понятный язык, то энергоагрегат (гидравлическая турбина соединенная с электрогенератором), разрушился из-за длительной работы в областях нагрузки на которых присутствуют резонансы электромеханической системы.

Сто лет тому назад, специалисты разобрались с ситуацией и сделали выводы, которым все следуют до сих пор, команду «расстроить шаг» никто и никогда уже не отменит.

А вот в нынешнее время с причинами не разобрались, и выводов не сделали.

Область резонансов в документе обтекаемо называется «не рекомендованной зоной». Чиновникам не хватило смелости даже назвать все своими именами, не то что сделать выводы. События между тем развивались далее.

Вирус Stuxnet

Stuxnet стал первым компьютерным вирусом, нанесшим вред физическим объектам. Из-за него в 2010 году вышли из строя многие центрифуги на ядерных объектах Ирана. Кибернападение на иранский завод по обогащению урана в Нетензе задержало развитие ядерной программы Ирана на несколько лет.

Военные аналитики признают, что Stuxnet стал новой вехой в развитии кибероружия. Из виртуального пространства оно перешло в реальность, так как атака подобного вируса поражает не информационные а физические, реально существующие объекты.

Разрушение центрифуг вирусом Stuxnet производилось методом резонанса электромеханической конструкции центрифуги. Объясню на пальцах, газовая центрифуга имеет быстровращающийся вал (20-50 тысяч оборотов в минуту), который крутит электромотор. Электромотором управляет контроллер, если этот контроллер перепрограммировать так, чтобы он периодически изменял частоту вращения вала центрифуги (у профессионалов называется «биения частоты»), то при определенных частотах «биения» система войдет в резонанс и подшипники оси вала и сам корпус центрифуги разрушится.

Причем это будет выглядеть как обычная поломка не связанная с работой электроники и программ контроллера управления электромотором. Сначала будет повышаться вибрация, затем начинают откручиваться гайки крепления корпусных деталей, затем разбиваются подшипники и система в конце концов клинит и теряет герметичность.

Вирус Stuxnet, попадая на объект именно это и делал, перепрограммировал контроллер управления электромотором Simatic S7 таким образом, чтобы он выдавал напряжение с частотой биений, кратной резонансным частотам вращающегося вала центрифуги.

Процесс нарастания амплитуды резонанса может длиться часами, если не днями, поэтому для обслуживающего персонала это выглядело как дефект конструкции самой центрифуги.

Иранцы так и не поняли, что их центрифуги разрушал вирус до тех пор, пока программисты из Белоруссии не обнаружили сам вирус и не разобрались с его функциональной нагрузкой. Только после этого вирус Stuxnet обрел мировую известность и Иран признал, что его ядерный объект целенаправленно атаковался на протяжении как минимум года именно этим кибероружием.

Что случилось на Саяно-шушенской ГЭС

Авария на втором гидроагрегате Саяно-шушенской ГЭС произошла из-за резонанса, как это было в начале двадцатого века Петербурге, как это было годом позже в Иране. И более того, можно утверждать что в резонанс оборудование было введено преднамеренно, используя методы реализованные в вирусе Stuxnet.

Дело в том, что в момент аварии агрегатом управляла автоматика. Ручное управление для выдачи постоянной мощности было отключено и агрегат работал в режиме компенсаций пульсаций нагрузки в энергосистемы западной Сибири.

При вводе в эксплуатацию оборудования проверяются резонансные частоты и в актах приемки указываются режимы в которых запрещается эксплуатация оборудования.

Украинские специалисты в марте 2009 года сняли эти важнейшие параметры с второго агрегата (во время планового ремонта) куда и в какие руки эти данные попали неизвестно, но предположить можно.

Имея эти данные совсем не тяжело раскачать систему агрегата через микроконтроллер управления ГРАРМ так, чтобы она постепенно, за несколько часов, вогнала в зону резонанса турбоагрегат с электрогенератором на одном валу.

После чего на корпусе начали от вибраций отворачиваться шпильки удерживающие крышку турбины, что и послужило непосредственной причиной катастрофы.

Работой турбины и генератора в автоматическом режиме управляет специальная система, называется системой группового регулирования активной и реактивной мощности (ГРАРМ).

Электронная часть шкафа управления ГРАРМ выполнена на основе PC-совместимой микроЭВМ фирмы Fastwell

Эта система была активирована в момент аварии на втором агрегате. Система была смонтирована и запущена в эксплуатацию в начале 2009 года, незадолго до аварии. Разработана и смонтирована данная система фирмой «ПромАвтоматика» на базе импортного оборудования.

Естественно ни о какой Информационной безопасности тогда не думали, эта система имела прямой выход в Интернет, резонансные частоты агрегата были известны.

Дальнейшее я думаю объяснять не надо, случилось то, что случилось…

Коллеги из Израиля и США успешно опробовали кибероружие для разрушения инфраструктурных объектов на практике, после этого конечно нужно создавать специальный род войск для его использования, что США и сделали в том же 2009 году организовав Киберкомандование со штатом сотрудников (бойцов) в 10 000 человек.

Кибероружие

Компьютерные вирусы в третьем тысячелетии стали тоже оружием и получили название «Кибероружие», более того во многих странах это оружие выделяется в отдельный род войск, обобщенным названием которого с легкой руки американцев стало название «Киберкомандование».

Командующий этими вооруженными силами получил совсем фантастическое название, не поверите, в США его называют – «КиберЦарь», да именно русское слово используется для официального названия американского командующего.

Это оружие уже применялось в необъявленной войне США и Израиля против Ирана, Скорее всего оно применялось и в России, на Саяно-Шушенской ГЭС, есть его след и в аварии на Индийском проекте передачи в лизинг атомных подводных лодок.

Там снова засветилась та же питерская фирма, она была разработчиком оборудования пожаротушения, которое в результате самопроизвольного срабатывания привело к гибели людей на ходовых испытаниях…. но это отдельная тема.

класс уязвимостей, который называется 0day. 0day- термин, который обозначает уязвимости (иногда и сами зловредные программы), против которых защитные механизмы антивирусов и других программ для защиты компьютера бессильны. Такое понятие появилось потому, что злоумышленники, которые обнаружили уязвимость в программе или операционной системе, проводят свою атаку сразу же не позднее первого ("нулевого дня") дня информированности разработчика об обнаруженной ошибке. Естественно, это означает, что разработчик не успевает вовремя исправить уязвимость , что распространяет сложные эпидемии зловредных программ, которые не поддаются своевременному лечению. На данный момент различные злоумышленники фокусируют свое внимание именно в нахождении таких уязвимостей. Прежде всего, они обращают внимание на такое программное обеспечение , которое получило широкое распространение. Заражая такое программное обеспечение зловредным кодом, злоумышленник гарантировано получит максимальную отдачу от своих действий. При этом антивирусные программы будут бессильны, так как они не смогут определить зловредный код, который находится в популярной программе. Одним из таких примеров был назван пример выше, когда вирус поражал служебные файлы Delphi и тем самым внедрял свой код в различные программы, которые были откомпилированы в этом компиляторе. Так как такие программы были широкого использования, большое количество пользователей было заражено. Все это дало понять злоумышленникам, что такие атаки являются достаточно эффективными и их можно использовать и в дальнейшем. Впрочем, нахождение 0day уязвимости - это достаточно трудоемкий процесс. Для того, чтобы найти такую уязвимость , злоумышленники прибегают к различным стрессовым тестам программного обеспечения, разбору кода на части, а также поиску в программном коде разработчика различных ошибок. Но если эти действия приносят успех, и уязвимость будет найдена, то можно считать, что злоумышленники обязательно ею воспользуются. На сегодняшний день самой известной вредоносной программой, использующей 0day уязвимость в программном обеспечении, является червь Stuxnet, который был обнаружен летом 2010 года. Stuxnet использовал ранее неизвестную уязвимость операционных систем семейства Windows , связанную с алгоритмом обработки ярлыков. Следует отметить, что помимо 0day уязвимости, Stuxnet использовал еще три, ранее известные, уязвимости. Уязвимости "нулевого дня" также позволяют злоумышленникам создавать вредоносные программы, которые могут обходить защиту антивирусов, что также является опасным для обычного пользователя. Кроме такого рода уязвимостей (0day), существуют также и вполне обычные уязвимости, которыми постоянно пользуется злоумышленник . Другой опасной разновидностью уязвимостей являются уязвимости, которые используют Ring 0 операционной системы. Ring 0 используется для написания различных системных драйверов. Это специальный уровень, из которого можно осуществить полный контроль над операционной системой. Злоумышленник в этом случае уподобляется программисту, который пишет драйвер для операционной системы, ведь в этом случае написание зловредной программы и драйвера является идентичным случаем. Злоумышленник с помощью системных функций и вызовов пытается придать своей зловредной программе функции прохождения в Ring 0.

Опасность кражи персональных данных с мобильных телефонов

Если подобное сказали буквально лет 7 назад, то тогда, скорее всего, такому факту просто не поверили бы. Сейчас же опасность кражи персональных данных пользователей мобильных телефонов крайне высока. Существует большое множество зловредных программ, которые занимаются именно кражей персональных данных с мобильных телефонов пользователей. А еще совсем недавно никто и не мог предположить, что мобильные платформы заинтересуют злоумышленников. История вирусов начинается с 2004 когда. Именно этот год считается точкой отсчета для мобильных вирусов. При этом вирус , созданный в этом году, был подобран под систему Symbian. Он являлся демонстрацией самой возможности существования вирусов на платформе операционной системы Symbian. Авторы такого рода разработок, движимые любознательностью и стремлением поспособствовать укреплению безопасности атакованной ими системы, обычно не заинтересованы в их распространении или злоумышленном использовании. Действительно, оригинальный экземпляр вируса Worm .SymbOS.Cabir был разослан в антивирусные компании по поручению самого автора, однако позже исходные коды червя появились в интернете, что повлекло за собой создание большого количества новых модификаций данной вредоносной программы. Фактически, после публикации исходных кодов Cabir начал самостоятельно "бродить" по мобильным телефонам во всем мире. Это доставило неприятности обычным пользователям смартфонов, но эпидемии по сути не произошло, так как у антивирусных компаний тоже были исходные коды этого вируса и именно тогда начались первые выпуски антивирусов под мобильные платформы. Впоследствии стали распространяться различные сборки этого вируса, которые, впрочем, не приносили огромного вреда. Далее последовал первый бэкдор (зловредная программа , которая открывает доступ в систему извне). Ее функционал позволяет передавать в обе стороны файлы и выводить на экран текстовые сообщения. Когда зараженное устройство подключается к интернету, бэкдор отсылает его IP-адрес по электронной почте своему хозяину. Впоследствии появилась еще одна зловредная программа для мобильных платформ. Программа представляет собой SIS- файл - приложение -инсталлятор для платформы Symbian. Ее запуск и установка в систему приводят к подмене иконок (AIF-файлов) стандартных приложений операционной системы на иконку с изображением черепа. Одновременно, в систему, поверх оригинальных, устанавливаются новые приложения. Переписанные приложения перестают функционировать. Все это было подхвачено различными любителями в написании зловредных программ, которые начали плодить всевозможные модификации на старые вирусы, а также пытаться создавать свои собственные. Впрочем, на тот момент все зловредные программы под мобильные платформы были достаточно примитивными и не могли сравниться со своими аналогами зловредных программ на компьютере. Достаточно много шума наделала программа под названием Trojan.SymbOS Lockhunt. Эта программа являлась трояном. Он эксплуатирует "доверчивость" (отсутствие проверок целостности файлов). После запуска, вирус создает в системной директории /system/apps/ папку с неблагозвучным с точки зрения русского языка названием gavno, внутри которой размещаются файл gavno. app и сопутствующие ему gavno.rsc и gavno_caption.rsc. При этом во всех файлах вместо соответствующей их форматам служебной информации и кода содержится обычный текст. Операционная система , исходя только из расширения файла gavno. app , считает его исполняемым - и зависает, пытаясь запустить " приложение " после перезагрузки. Включение смартфона становится невозможным. После этих вирусов, в основном, идут однотипные вирусы, которые могут передавать сами себя посредством различных технологий.

Сама уязвимость мобильных платформ достаточно высокая, так как нет таких средств, которые надежно бы защищали мобильные платформы. К тому же необходимо учитывать и то, что современные мобильные платформы уже вплотную подбираются к обычным операционным системам, а значит и алгоритмы воздействия на них остаются похожими. Кроме того, у мобильных платформ есть два достаточно специфических метода передачи данных, которых нет у компьютеров - это технология Bluetooth и MMS . Bluetooth - технология беспроводной передачи данных, разработанная в 1998 г. На сегодняшний день она широко используется для обмена данными между различными устройствами: телефонами и гарнитурами к ним, карманными и настольными компьютерами и другой техникой. Bluetooth-связь обычно работает на расстоянии до 10-20 м, не прерывается физическими препятствиями (стенами) и обеспечивает теоретическую скорость передачи данных до 721 Кбит/сек. ММS - относительно старая технология, призванная расширить функционал SMS возможностями передачи картинок, мелодий и видео. В отличие от сервиса

Название угрозы

Имя исполняемого файла:

Тип угрозы:

Поражаемые ОС:

Stuxnet Virus

(random).exe

Win32 (Windows XP, Windows Vista, Windows Seven, Windows 8)

Метод заражения Stuxnet Virus

Stuxnet Virus копирует свои файл(ы) на ваш жёсткий диск. Типичное имя файла (random).exe . Потом он создаёт ключ автозагрузки в реестре с именем Stuxnet Virus и значением (random).exe . Вы также можете найти его в списке процессов с именем (random).exe или Stuxnet Virus .

Если у вас есть дополнительные вопросы касательно Stuxnet Virus, пожалуйста, заполните и мы вскоре свяжемся с вами.

Скачать утилиту для удаления

Скачайте эту программу и удалите Stuxnet Virus and (random).exe (закачка начнется автоматически):

* SpyHunter был разработан американской компанией EnigmaSoftware и способен удалить удалить Stuxnet Virus в автоматическом режиме. Программа тестировалась на Windows XP, Windows Vista, Windows 7 и Windows 8.

Функции

Программа способна защищать файлы и настройки от вредоносного кода.

Программа может исправить проблемы с браузером и защищает настройки браузера.

Удаление гарантированно - если не справился SpyHunter предоставляется бесплатная поддержка.

Антивирусная поддержка в режиме 24/7 входит в комплект поставки.

Скачайте утилиту для удаления Stuxnet Virus от российской компании Security Stronghold

Если вы не уверены какие файлы удалять, используйте нашу программу Утилиту для удаления Stuxnet Virus .. Утилита для удаления Stuxnet Virus найдет и полностью удалит Stuxnet Virus и все проблемы связанные с вирусом Stuxnet Virus. Быстрая, легкая в использовании утилита для удаления Stuxnet Virus защитит ваш компьютер от угрозы Stuxnet Virus которая вредит вашему компьютеру и нарушает вашу частную жизнь. Утилита для удаления Stuxnet Virus сканирует ваши жесткие диски и реестр и удаляет любое проявление Stuxnet Virus. Обычное антивирусное ПО бессильно против вредоносных таких программ, как Stuxnet Virus. Скачать эту упрощенное средство удаления специально разработанное для решения проблем с Stuxnet Virus и (random).exe (закачка начнется автоматически):

Функции

Удаляет все файлы, созданные Stuxnet Virus.

Удаляет все записи реестра, созданные Stuxnet Virus.

Программа может исправить проблемы с браузером.

Иммунизирует систему.

Удаление гарантированно - если Утилита не справилась предоставляется бесплатная поддержка.

Антивирусная поддержка в режиме 24/7 через систему GoToAssist входит в комплект поставки.

Наша служба поддержки готова решить вашу проблему с Stuxnet Virus и удалить Stuxnet Virus прямо сейчас!

Оставьте подробное описание вашей проблемы с Stuxnet Virus в разделе . Наша служба поддержки свяжется с вами и предоставит вам пошаговое решение проблемы с Stuxnet Virus. Пожалуйста, опишите вашу проблему как можно точнее. Это поможет нам предоставит вам наиболее эффективный метод удаления Stuxnet Virus.

Как удалить Stuxnet Virus вручную

Эта проблема может быть решена вручную, путём удаления ключей реестра и файлов связанных с Stuxnet Virus, удалением его из списка автозагрузки и де-регистрацией всех связанных DLL файлов. Кроме того, отсутствующие DLL файлы должны быть восстановлены из дистрибутива ОС если они были повреждены Stuxnet Virus .

Чтобы избавиться от Stuxnet Virus , вам необходимо:

1. Завершить следующие процессы и удалить соответствующие файлы:

Предупреждение: вам необходимо удалить только файлы, контольные суммы которых, находятся в списке вредоносных. В вашей системе могут быть нужные файлы с такими же именами. Мы рекомендуем использовать для безопасного решения проблемы.

2. Удалите следующие папки:

3. Удалите следующие ключи и\или значения ключей реестра:

Предупреждение: Если указаны значения ключей реестра, вы должны удалить только указанные значения и оставить сами ключи нетронутыми. Мы рекомендуем использовать для безопасного решения проблемы.

4. Сбросить настройки браузеров

Stuxnet Virus иногда может влиять на настройки вашего браузера, например подменять поиск и домашнюю страницу. Мы рекомендуем вам использовать бесплатную функцию "Сбросить настройки браузеров" в "Инструментах" в программе для сброса настроек всех браузеров разом. Учтите, что перед этим вам надо удалить все файлы, папки и ключи реестра принадлежащие Stuxnet Virus. Для сброса настроек браузеров вручную используйте данную инструкцию:

Для Internet Explorer

Если вы используете Windows XP, кликните Пуск , и Открыть . Введите следующее в поле Открыть без кавычек и нажмите Enter : "inetcpl.cpl".

Если вы используете Windows 7 или Windows Vista, кликните Пуск . Введите следующее в поле Искать без кавычек и нажмите Enter : "inetcpl.cpl".

Выберите вкладку Дополнительно

Под Сброс параметров браузера Internet Explorer , кликните Сброс . И нажмите Сброс ещё раз в открывшемся окне.

Выберите галочку Удалить личные настройки для удаления истории, восстановления поиска и домашней страницы.

После того как Internet Explorer завершит сброс, кликните Закрыть в диалоговом окне.

Предупреждение: Сбросить настройки браузеров в Инструменты

Для Google Chrome

Найдите папку установки Google Chrome по адресу: C:\Users\"имя пользователя"\AppData\Local\Google\Chrome\Application\User Data .

В папке User Data , найдите файл Default и переименуйте его в DefaultBackup .

Запустите Google Chrome и будет создан новый файл Default .

Настройки Google Chrome сброшены

Предупреждение: В случае если это не сработает используйте бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Stronghold AntiMalware.

Для Mozilla Firefox

Откройте Firefox

В меню выберите Помощь > Информация для решения проблем .

Кликните кнопку Сбросить Firefox .

После того, как Firefox завершит, он покажет окно и создаст папку на рабочем столе. Нажмите Завершить .

Предупреждение: Так вы потеряте выши пароли! Рекомендуем использовать бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Stronghold AntiMalware.

Как Лаборатория Касперского расшифровала вредоносную программу, заблокировавшую программное обеспечение иранской системы управления обогащением ядерного топлива.

Компьютерные кабели вьются по полу. Загадочные блок-схемы нарисованы на различных досках, развешанных по стенам. В зале стоит муляж Бэтмана в натуральную величину. Этот офис может показаться ничем не отличающимся от любого другого рабочего места компьютерщика (geeky workplace), но на самом деле это передний край борьбы, а точнее кибервойны (cyberwar), в которой большинство сражений разыгрываются не в далёких джунглях или пустынях, а в пригородных офисных парках, подобных этому.

В качестве старшего научного сотрудника (senior researcher) Лаборатории Касперского, ведущей компании по компьютерной безопасности, базирующейся в Москве, Ройл Шувенберг (Roel Schouwenberg) проводит свои дни (и многие ночи) здесь, в американской штаб-квартире Лаборатории в городке Уоберн (Woburn) штата Массачусетс, сражаясь с самым коварным цифровым оружием, способным нарушить водоснабжение, нанести урон электростанциям, банкам и самой инфраструктуре, которые когда-то казались неуязвимыми для атак.

Стремительное признание таких угроз началось в июне 2010 года с обнаружением Стакснет (Stuxnet) , 500-килобайтного компьютерного червя, заразившего программное обеспечение по меньшей мере 14 промышленных объектов в Иране (4/5) , в том числе и завод по обогащению урана. Хотя компьютерный вирус зависит от невольной жертвы его установки, червь (worm) распространяется сам по себе и часто через компьютерную сеть.

Этот червь был беспрецедентно мастерски выполненным вредоносным кусочком кода, который атаковал в три этапа. Сначала он нацеливался на компьютеры и сети Microsoft Windows, неоднократно выполняя своё самовоспроизводство. Затем он искал программное обеспечение Siemens Step7, которое также работает на Windows-платформе и используется для программирования промышленных систем управления, которые управляют оборудованием, таким как центрифуги. Наконец, он компрометировал программируемые логические контроллеры. Авторы червя могли таким образом шпионить за промышленными системами и даже вызывать ускоренное вращение центрифуг с целью их разрушения, причём незаметно для человека-оператора на заводе. (Иран пока не подтвердил сообщения о том, что Stuxnet уничтожил некоторые из его центрифуг).

Как работает Stuxnet:

1. заражение системы через USB-флеш-накопитель,


2. поиск целевого программного обеспечения и оборудования от Siemens,


3. обновление вируса через Интернет; однако, если система не является целью, вирус ничего не делает,


4. компрометация,


5. захват управления,


6. дезинформация и вывод из строя оборудования.

Stuxnet может скрытно распространяться между компьютерами с ОС Windows, даже теми, которые не подключены к Интернету. Если работник, вставляет USB-флеш-накопитель в заражённую машину, то Stuxnet автоматически копируется на неё, а затем копируется на другие машины, однажды прочитавшие эту флешку. Отсюда любой сотрудник, ничего не подозревая, может заразить машину таким образом, что позволит «червям» распространиться по локальной сети. Эксперты опасаются, что эта вредоносная программа, возможно, «одичала и гуляет» по всему миру.

В октябре 2012 года американский министр обороны Панетта (Leon Panetta) предупреждал , что США уязвимы для «кибернетического Пёрл-Харбора» («cyber Pearl Harbor»), и возможны сходы под откос поездов, заражение воды и сбои в сетях электроэнергетики. В следующем месяце корпорация «Шеврон» (Chevron) подтвердила это предположение, став первой американской корпорацией признавшей, что Stuxnet проник на все её компьютеры.

Хотя авторы Stuxnet так и не были официально установлены, размер и сложность червя привели экспертов к убеждению, что он мог быть создан только при спонсорской поддержке государства. И, несмотря на секретность, утечка информации в прессе (leaks to the press) от официальных лиц в США и Израиле позволяет с уверенностью предположить, что эти две страны замешаны. С момента обнаружения Stuxnet Шувенберг и другие специалисты по компьютерной безопасности борются с рядом других боевых (weaponized) вирусов, такими как «Дюку» (Duqu), «Флейм» (Flame, англ. - пламя) и «Гаусс» (Gauss). Натиск вредоносных программ не показывает никаких признаков ослабления.

Это знаменует собой поворотный момент в геополитических конфликтах, когда апокалиптические сценарии, лишь однажды показанные в таких фильмах, как «Крепкий орешек - 4.0» («Жить свободно или умереть, сражаясь») (Live Free or Die Hard), в итоге становятся правдоподобными. «Художественный вымысел вдруг стал реальностью», - говорит Шувенберг (Schouwenberg). Но герой борьбы против зла не Брюс Уиллис, он 27-летний парень с потрёпанной прической «конский хвост» (ponytail). Этот Шувенберг говорит мне: «Мы здесь для того, чтобы спасти мир! Вопрос заключается лишь в том, есть ли в Лаборатории Касперского всё то, что нужно?»

На фотографии, выполненной Йелленом (David Yellen) и названной «Киберсыщик» (Cybersleuth), изображён Ройл Шувенберг (Roel Schouwenberg) из Лаборатории Касперского, который помог в расшифровке Stuxnet и ему подобных интернет-червей, самых сложных из когда-либо обнаруженных.

Вирусы не всегда были злыми. В 1990-х годах, когда Шувенберг был простым задиристым подростком (just a geeky teen), жившим в Нидерландах, а вредоносные программы (malware) обычно создавались хулиганами и хакерами (pranksters and hackers), т. е. людьми, желающими лишь вызвать сбой компьютера или изобразить каракули-граффити на вашей домашней странице AOL.

После обнаружения вирусов на своём собственном компьютере 14-летний Шувенберг связался с Лабораторией Касперского, одной из ведущих антивирусных компаний. Такие компании оцениваются в частности тем, как много вирусов они обнаружили первыми, и Kaspersky считается одной из лучших, хотя о её успехе ведутся споры. Некоторые обвиняют её в связях с российским правительством, но компания эти обвинения отрицает.

Через несколько лет после первого столкновения с вирусами Шувенберг по электронной почте спросил основателя компании Евгения Касперского, надо ли ему изучать математику в колледже, если он хочет стать специалистом по компьютерной безопасности. Касперский ответил тем, что предложил ему 17-летнему парню работу, которую тот взял. Проведя четыре года в компании в Нидерландах, он отправился в Бостон. Там Шувенберг узнал, что инженеру нужны специфические навыки для борьбы с вредоносными программами, потому что для анализа, а по существу обратного проектирования (reverse engineering) большинства вирусов, написанных для Windows, требуется знание языка ассемблера для процессоров Intel x86.

В течение следующего десятилетия Шувенберг стал свидетелем самых значительных изменений, происходящих когда-либо в отрасли. Ручное обнаружение вирусов уступило место автоматизированным методам, способным выявлять даже по 250 000 новых вредоносных файлов каждый день. Прежде всего банки столкнулись с самыми серьёзными угрозами, а призрак межгосударственных кибервойн (state-against-state cyberwars) всё ещё казался далёким. «Всё это было не просто разговорами», - говорит Омарчу (Liam O"Murchu), аналитик компании по компьютерной безопасности Symantec Corp. из Маунтин-Вью (Mountain View), штат Калифорния.

Всё изменилось в июне 2010 года, когда одна белорусская фирма по обнаружению вредоносных программ получила запрос от клиента на выявление причин самопроизвольной перезагрузки его компьютеров. Вредоносное программное обеспечение (malware) было подписано цифровым сертификатом, имитирующим его поступление из надёжной компании. Эта особенность привлекла внимание антивирусного сообщества, чьи программы автоматизированного обнаружения не могли справляться с такой угрозой. Это было первой пристрелкой Stuxnet в «дикой природе» (in the wild).

Опасность, которую представляют поддельные электронные подписи, была так страшна, что компьютерные специалисты по безопасности начали потихоньку обмениваться своими выводами и по электронной почте и на приватных онлайн-форумах. Такое положение дел не является необычным. (that’s not unusual). «Обмен информацией в компьютерной индустрии безопасности может быть классифицирован как чрезвычайная ситуация», - добавляет Хиппонен (Mikko H. Hypponen), главный научный сотрудник (chief research officer) фирмы по безопасности (security firm) F-Secure из Хельсинки, Финляндия. «Я не мог и подумать ни о каких других ИТ-секторах, где существует такое широкое сотрудничество между конкурентами». Тем не менее, компании конкурируют, например, в том, чтобы стать первыми при выявлении ключевых особенностей кибероружия (cyberweapon), а затем заработать на благодарном общественном мнении в качестве результата.

Прежде чем все узнали, на что был нацелен Stuxnet, исследователи Лаборатории Касперского и других компаний по безопасности выполнили обратный инжиниринг кода, «подобрали ключи», выявили истоки и направление распространения вируса, в том числе общее количество инфекций и их долю в Иране, а также ссылки на промышленные программы Siemens, используемые на объектах энергетики.

Шувенберг был больше всего впечатлён тем, что Stuxnet совершил не одно, а целых четыре проявления изощрённости (feat) «нулевого дня» (zero-day), т. е. взломов (haks), использующих уязвимости ранее неизвестных «сообществу белых шляп» (white-hat community), «белых хакеров». «Это не только новаторский приём, все они красиво дополняют друг друга, - говорит он. - Уязвимость LNK (файл ярлыка в Microsoft Windows) используется для распространения через USB-флеш-накопители (USB sticks). Уязвимость диспетчера очереди общей печати используется для распространения в сетях с общими принтерами, которые широко распространены в сетях с общим доступом, подключённых к Интернету (Internet Connection Sharing). Две другие уязвимости связаны с операциями, предназначенными для получения привилегий системного уровня, даже когда компьютеры полностью изолированы. Это выполнено просто блестяще».

Шувенберг и его коллеги из Лаборатории Касперского вскоре пришли к выводу, что код был довольно сложным и не мог быть разработан группой «чёрных хакеров» (black-hat hackers). Шувенберг считает, что команде из 10 человек понадобилось бы не менее двух-трёх лет, для того чтобы его создать. Вопрос состоял в том, кто же возьмёт ответственность за всё это?

Очень скоро стало ясно из самого кода, а также из рабочих отчётов, что Stuxnet был специально разработан для разрушения систем Siemens, работающих на иранских центрифугах по ядерной программе обогащения урана. Аналитики Лаборатории Касперского позднее поняли, что финансовая выгода не являлась целью. Это была политически мотивированная атака. «Тогда не было никаких сомнений в том, что спонсирование разработки вируса осуществлялось государством», - говорит Шувенберг. Это явление застало врасплох специалистов по компьютерной безопасности. «Мы все тут являемся инженерами, мы смотрим на код, - говорит Омарчу (O"Murchu) из Symantec. - Но это была первая реальная угроза, с которой мы столкнулись, ведущая к реальным политическим последствиям. Это было нечто, по поводу чего мы должны были прийти к какому-то согласию и общему мнению».

Краткая история вредоносных программ (malware)

1971. Экспериментальная самовоспроизводящаяся вирусная программа Creeper была написана Томасом (Bob Thomas) из компании Bolt, Beranek and Newman. Вирус заразил компьютеры DEC PDP-10 под управлением операционной системы Tenex. Creeper получил доступ через сеть ARPANET, предшественницу Интернета, и скопировал себя на удалённой системе, выдав там сообщение «Я рептилия (creeper), поймай меня, если сможешь!» Позже была создана программа Reeper («Жнец») для удаления Creeper.

1981. Вирус Elk Cloner, написанный для системы Apple II Скрентой (Richard Skrenta), привёл к первой крупномасштабной компьютерной вирусной эпидемии в истории.

1986. Вирус для загрузочного сектора Brain (он же пакистанский грипп, Pakistani flu), первый вирус для IBM PC-совместимых компьютеров, вышел на свободу и вызвал эпидемию. Он был создан в Лахоре, Пакистан, 19-летним Баситом Фарук Алви (Basit Farooq Alvi) и его братом Амджадом Фарук Алви (Amjad Farooq Alvi).

1988. Червь Morris, созданный Моррисом (Robert Tappan Morris), заражал машины DEC VAX и Sun под управлением BSD Unix, подключённых к Интернету. Он стал первым червём, широко распространившимся «в дикой природе» («in the wild»).

1992. Вирус Michelangelo, опасность которого была раздута специалистом по компьютерной безопасности Макафи (John McAfee), предсказавшим, что 6 марта вирус уничтожит информацию на миллионах компьютеров, однако фактический ущерб был минимальным.

2003. Червь SQL Slammer или так называемый червь Sapphire атаковал уязвимости в Microsoft SQL-сервере и Microsoft SQL Server Data Engine и стал самым быстрым в распространении червём всех времён, он врезался в Интернет в течение 15 минут после высвобождения (release).

2010. Обнаружен червь Стакснет (Stuxnet). Это первый известный червь, атакующий SCADA-системы, т. е. автоматизированные системы управления технологическими процессами (АСУ ТП).

2011. Обнаружен червь Дюку (Duqu). В отличие от близкого к нему Stuxnet он был предназначен только для сбора информации, а не для вмешательства в производственные процессы.

2012. Обнаружен Flame, используемый для кибершпионажа в Иране и других странах Ближнего Востока.

В мае 2012 года Лаборатория Касперского получила запрос от Международного союза по электросвязи (International Telecommunication Union), учреждения ООН, которое управляет информационными и коммуникационными технологиями, на исследование фрагмента вредоносной программы, которая подозревалась в уничтожении файлов нефтяных компаний на компьютерах в Иране. В то время Шувенберг и его коллеги уже искали вариации вируса Stuxnet. Они знали, что в сентябре 2011 года венгерские специалисты обнаружили вирус Duqu, который был разработан для кражи информации в промышленных системах управления.

Выполняя просьбу ООН, автоматизированная система Касперского определила ещё один вариант Stuxnet. Сначала Шувенберг и его группа пришли к выводу, что система сделала ошибку, потому что вновь обнаруженный вирус (malware) не показал очевидного сходства со Stuxnet. Однако после погружения в код более глубоко они обнаружили следы другого файла, называемого Flame, который очевидно был начальной итерацией Stuxnet. Сначала Flame и Stuxnet рассматривались как полностью независимые вредоносные программы, но теперь исследователи поняли, что Flame был на самом деле предшественником Stuxnet, который как-то остался незамеченным.

Flame в общей сложности был размером 20 Мбайт, т. е. примерно в 40 раз больше, чем Stuxnet. Специалисты по безопасности поняли, как выразился Шувенберг, что «…опять за этим, скорее всего, стоит государство».

Для анализа Flame специалисты Лаборатории Касперского использовали методику, называемую ими «сточным колодцем» (sinkhole). Она обеспечивает контроль над командно-управляющим сервером домена Flame таким образом, что когда Flame пытается связаться с сервером своей домашней базы, на самом деле вместо этого он отправляет информацию на сервер Касперского. Трудно было определить, кому принадлежат серверы Flame. «Со всеми доступными украденными кредитными картами и интернет-прокси, - говорит Шувенберг, - атакующим действительно очень легко оставаться незамеченными».

В то время как Stuxnet был предназначен для вывода из строя оборудования, целью Flame было просто шпионить за людьми. Распространившись с USB-флешки, он может заражать принтеры, работающие совместно в одной сети. Как только Flame компрометирует машину, он может незаметно по ключевым словам искать секретные pdf-файлы, а затем подготавливать и передавать обобщающую информацию о найденном документе, и всё это не будучи обнаруженным.

«Действительно, разработчики Flame пошли на многое для того, чтобы избежать его обнаружения программами обеспечения безопасности», - говорит Шувенберг. Он приводит пример: Flame не просто передаёт собранную информацию всю сразу на свой командно-управляющий сервер, т. к. сетевые менеджеры могут заметить внезапную утечку. «Данные отправляются мелкими кусочками, для того чтобы достаточно долго избегать снижения пропускной способности», - говорит он.

Наиболее впечатляет то, что Flame может обмениваться данными с любыми Bluetooth-совместимыми устройствами. В самом деле злоумышленники могут украсть информацию или установить другие вредоносные программы не только в пределах стандартного 30-метрового диапазона Bluetooth, но и дальше вовне. «Bluetooth-винтовка» (Bluetooth rifle), направленная антенна, подключённая к компьютеру с Bluetooth-поддержкой, имеет возможность осуществлять передачу данных на дальность до 2 километров.

Но самая тревожная особенность Flame это то, как он впервые проник на компьютеры: через обновление операционной системы Windows 7. Пользователь думает, что он просто загружает законный патч от Microsoft, а на самом деле вместо этого устанавливает Flame. «То, что Flame распространяется через Windows Updates, является более значимым, чем сам Flame», - говорит Шувенберг, который считает, что, возможно, есть только 10 программистов в мире, способных запрограммировать такое поведение. «Это техническая изощрённость (feat), которая весьма изумляет, потому что здесь было взломано шифрование мирового класса, - говорит Хиппонен из компании F-Secure. - Вам обязательно необходимы суперкомпьютеры и множество специалистов для того, чтобы сделать это».

Если правительство США действительно стоит за этим червём, то этот обход шифрования от Microsoft может создать некоторую напряжённость между компанией и её крупнейшим клиентом - федералами. «Я предполагаю, что Microsoft провёл телефонный разговор между Биллом Гейтсом, Стивом Балмером и Бараком Обамой, - говорит Хиппонен, - и мне хотелось бы послушать этот разговор».

Выполняя реверсивный инжиниринг (анализ) вируса Flame, Шувенберг и его команда настроили свою методику на «сходство алгоритмов», позволяющую обнаруживать варианты вирусов, созданные на единой платформе. В июле они обнаружили новый вирус Gauss. Его целью тоже было кибернаблюдение (cybersurveillance).

Перенесённый с одного компьютера на другой USB-флешкой Gauss ворует файлы и собирает пароли, по неизвестным причинам нацеливаясь на учётные данные ливанских банков. Эксперты полагают, что это было сделано или для отслеживания операций, или для выкачивания денег с определённых счетов. «USB-модуль захватывает информацию из системы, шифрует и сохраняет эту информацию на своей USB-флешке, - объясняет Шувенберг. - Затем, когда этот USB-флеш-накопитель вставляется в гаусс-инфицированный компьютер, Gauss захватывает с USB-флешки собранные данные и отправляет их на командно-управляющий сервер (command-and-control server)».

В то время, когда инженеры Лаборатории Касперского обманули вирус Gauss при его общении с его собственными серверами, эти серверы вдруг «упали» (went down). Ведущие инженеры считают, что авторы вредоносной программы сумели быстро замести свои следы. Лаборатория Касперского собрала уже достаточно информации для защиты своих клиентов от Gauss, но в тот момент это было пугающим. «Мы уверены, что сделай мы что-нибудь не так, и хакеры оседлали бы нас»,- говорит Шувенберг.

Последствия применения вирусов Flame и Stuxnet выходят за рамки спонсируемых государством кибератак. «Профессиональные злоумышленники смотрят на то, что делает Stuxnet, и говорят: «Это отличная идея, давайте её копировать»», - говорит Шувенберг.

«В итоге получается так, что национальные государства тратят миллионы долларов на разработку различных видов киберинструментария (cybertools), и это является тенденцией, которая будет только нарастать», - говорит Джеффри Карр, основатель и генеральный директор фирмы по компьютерной безопасности «Тайя Глобал» (Taia Global) из Маклина, штат Вирджиния. Хотя Stuxnet и смог временно замедлить в Иране программу обогащения урана, он не достиг своей конечной цели. «Кто бы ни потратил миллионы долларов на Stuxnet, Flame, Duqu и т. п., всё это деньги, потраченные впустую. Сейчас эти вредоносные программы уже публично доступны и могут быть подвергнуты обратному инжинирингу, т. е. подробному анализу», - говорит Карр.

Хакеры могут просто использовать конкретные компоненты и методики, доступные из Интернета, для своих атак. Преступники могут использовать кибершпионаж (cyber espionage), например, для того чтобы украсть данные о клиентах из банка или просто посеять хаос, являющийся частью более сложной проделки (prank). «Очень много разговоров ведётся о государствах, пытающихся атаковать нас, но мы находимся в ситуации, когда мы уязвимы для армии 14-летних подростков с двухнедельной подготовкой», - говорит Шувенберг.

Уязвимость является большой проблемой, особенно для промышленных компьютеров. Всё, что нужно для того чтобы найти путь, например, к системам водоснабжения США, - это возможность поиска терминов в Google. «Мы видим, что многие промышленные системы управления, подключены к Интернету, - говорит Шувенберг, - и они не меняют паролей по умолчанию, так что, если вы знаете правильные ключевые слова, вы сможете найти нужные панели управления».

Компании не спешат инвестировать ресурсы, необходимые для обновления систем промышленного управления. Лаборатория Касперского выявила важнейшие инфраструктурные компании, работающие под управлением устаревших 30-летних операционных систем. В Вашингтоне политики призывают к законам, требующим такие компании поддерживать лучшие практики безопасности. Однако принятие одного такого законопроекта о кибербезопасности не увенчалось успехом в августе 2012 года на том основании, что он был бы слишком дорогостоящим для бизнеса. «Чтобы полностью обеспечить необходимую защиту нашей демократии, закон о кибербезопасности должен быть принят конгрессом, - заявил недавно Панетта. - Без него мы уже уязвимы и дальше будем оставаться уязвимыми».

Тем временем, охотники за вирусами из Лаборатории Касперского и других антивирусных компаний будут продолжать борьбу. «Ставки только всё выше, выше и выше, - говорит Шувенберг.- Мне очень любопытно посмотреть на то, что произойдёт через 10 или 20 лет. Как история оценит наши решения, которые мы приняли сейчас?»