FireEye hack стає SolarWinds hack і це лише початок

Російські хакери зламали FireEye та виклали в публічний доступ їх інструменти (більшість яких виявились програмами з відкритим вихідним кодом).

Російські хакери зламали FireEye та виклали в публічний доступ їх інструменти (більшість яких виявились програмами з відкритим вихідним кодом).

Але це лише верхівка айсберга. Причиною зламу могла бути складна кібератака через ланцюг постачання розробника програмного забезпечення SolarWinds. Скоріш за все, так само зламали Держказначейство Сполучених Штатів та низку інших державних установ США та інших країн в Пн. Америці, Європі, Азії та на Бл. Сході.

В неділю SolarWinds опублікував пресреліз, в якому визнав компрометацію Orion, програмної платформи для централізованого моніторингу та управління, яка зазвичай використовується у великих мережах для відстеження всіх ІТ-ресурсів, таких як сервери, робочі станції, мобільні телефони та пристрої IoT. Компанія заявила, що версії оновлення Orion 2019.4 – 2020.2.1, випущені в період з березня 2020 року по червень 2020 року, були заражені шкідливим програмним забезпеченням.

В понеділок SolarWinds відзвітувала про інцидент в американську Комісію з цінних паперів (SEC). Зі звіту стало відомо, що з 300,000 клієнтів компанії лише 33,000 користувалися Оріоном, а з тих 33,000 лише 18,000 встановили заражені оновлення. 

Я не розділяю оптимізм компанії, “лише вісімнадцять тисяч” компаній, які можуть дозволити собі продукцію SolarWinds – це цілком серйозна кількість досить важливих цілей. Події навколо інциденту розгортаються, і він, хоч може й не дотягує до NotPetya за руйнівними наслідками, та цілком може переважити його за масштабом впливу.

Тому користуючись нагодою, передаю вітання українській компанії Linkos Group. Думаю, наступні три роки маркетологи безпекових вендорів лякатимуть клієнтів не Медком, а Соларвіндз.

Всіх зламають, це лише питання часу

Одного з найбільших у світі постачальників послуг та продуктів з кібербезпеки, компанію FireEye, зламали хакери. Нападники були санкціоновані одною з великих держав (останнє речення читається так: “Росіяни”). Ціль атаки – інструментарій компанії (“кіберзброя”) та інформація про клієнтів з державного сектору (яких в компанії багацько). 

Тому якщо хтось вам каже, що він “невразливий”, або забезпечує “абсолютний захист”, або що вам “не варто хвилюватися” і ваші дані “в повній безпеці” – можете бути впевнені, перед вами шарлатан. Люди, які так кажуть, просто не розуміють, про що говорять. Це ходячий ефект Даннінга-Крюґера або гірше – приклад відвертої та лицемірної брехні.

Але є в кібербезпеці й гірші речі. Це коли починають звинувачувати жертву. Типу вона могла захиститися, але не стала, тому сама винна. Це може стосуватися відомої людини, комерційної компанії, державної служби – не важливо. Головне оця тупорила совкова презумпція винуватості жертви з бюджетом. Типу мав усі шанси, але не скористався, лоханувся, сам винен.

Такі закиди можна пробачити наївним дилетантам або аматорам-початківцям. Мамкіному хакеру все одно, кого тролити в інтернеті – ”корупціонера”, “баригу” чи “мегакорпорацію зла”. Зі школотою все зрозуміло, її диванна експертиза нікого не цікавить і ні на що не впливає. Але коли жертву починають блеймити самопроголошені “експерди” з перевіреними акаунтами або з телевізора, таке треба запам’ятовувати. А ще краще записувати.

Зараз лузери та хейтери почнуть вам навішувати макарони за те, що FireEye зажрався, пропустив удар, і так йому і треба. Занотовуйте, хто так робить. Цей список вам знадобиться, потім подякуєте. А всіх, хто натякне чи навіть напряму закине, шо я необ’єктивний, бо в мене в FireEye купа друзів та приятелів, – можете сміливо посунути вгору списку. Це класний тест на вошивість для вашого “лідера думок” від кібербезпеки, не втратьте нагоду ним скористатися.

Витік паролів до Spotify не з Spotify, або знову про двохфакторку

Дослідники Ran Locar та Noam Rotem знайшли базу даних логінів та паролів користувачів Spotify, очевидно зібраних зловмисниками на основі інших колекцій скомпрометованих даних. Ну і звісно ж, ця база не була захищена ¯\_(ツ)_/¯. Spotify вже розпочав скидуватизасвічені паролі.

Використання раніше скомпрометованих паролів – дуже популярна техніка атаки. Вона ефективна завдяки тому, що більшість користувачів використовують ті самі паролі в різних системах. (Переважна більшість користувачів використовують один і той самий пароль в усіх системах). Вразливість такої практики очевидна: якщо пароль вдалося вкрасти в одному місці, його можна використати в багатьох інших. Достатньо дізнатися ім’я користувача, яке, скоріш за все, теж співпадає із вашою основною адресою електронної пошти. Яка, не треба дивуватися, скоріш за все використовувалася як логін до Spotify.

Як захиститися від таких атак? Не рециркулювати паролі. У всіх веб-сайтах пароль має бути унікальним, а отже згенерованим випадково. Для цього треба почати користуватися парольним менеджером – я рекомендую 1Password, але BitWarden або KeePass нічим не гірші. Хороший парольний менеджер дозволяє вам генерувати сильні паролі автоматично, і своєчасно повідомляє про компрометацію систем, в яких ви їх використовуєте, щоб ви могли їх своєчасно змінювати.

Ще один рівень захисту, який потужно підсилить вашу безпеку – це двофакторна автентифікація. Якщо вона у вас ще не ввімкнена в усіх важливих системах, ви заслуговуєте на те, щоб ваш акаунт угнали. Я серйозно, у 2020 році це неприпустима халатність. Це коштує нуль гривень та ніяк не впливає на зручність використання системи, тому єдине виправдання такій поведінці – ваше нестримне бажання стати кібержертвою. Тому встановіть двохетапну перевірку на ваших додатках та вебсайтах просто зараз – колись ви мені за це подякуєте.

Ну і звісно ж, для найважливіших систем, таких як GSuite, AWS або O365, варто використовувати “залізний” другий фактор. Токен від Yubiko коштує до 60 доларів, сподіваюся ви оцінюєте своє цифрове життя в більшу суму.

P.S. Цю та інші новини кібербезпеки ви можете слухати у нашому подкасті No Name Podcast. Також ми записуємо інтерв’ю з успішними спеціалістами з кібербезпеки, а деколи й штатні епізоди на різні безпекові теми. Підписуйтесь на головній сторінці, або ставайте нашими патронами на Патреоні та отримуйте все це на декілька днів раніше.

Мінцифра проведе багбаунті мобільного застосунку Дія

Мінцифра проливає світло на майбутній багбаунті Дії, але не все. Текст повідомлення короткий, я раджу прочитати його повністю, після чого в мене буде кілька коментарів.

По-перше, вкотре бачу, як недолугі піарники Мінцифри використовують расистський термін “білі хакери”. Насправді те, що вони хочуть сказати, називається етичні хакери, або просто хакери. Англійською цей термін звучить як white-hat hackers, але через довжину перекладу та низьку популярність вестернів в Україні, його здебільшого застосовують в оригіналі.

По-друге, зусилля Мінцифри по підсиленню безпеки мобільного додатку, зокрема програма багбаунті, не мають нічого спільного з впевненістю користувачів у захищеності їхніх персональних даних. Громадяни України користуються Дією не тому, що ви її захищаєте, а тому, що ви типу уряд і від вас очікують, що ви будете це робити добре. Чи так це, покаже час.

По-третє, навіть пропускаючи безглуздий та незграбний реверанс в бік морально застарілої КСЗІ, мушу ткнути вас носом в те, що неможливо “успішно пройти пентест”. Пентест це не аудит, в якому вам скажуть, як ви гарно старалися. Пентест це спосіб вимірювання ефективності вашого захисту. І якщо перше вимірювання показує, що ви його “успішно пройшли”, то це означає лише те, що ви обрали не дуже кваліфікованих пентестерів. Про ефективність другого пентесту тоді годі й казати: якщо на меті в компанії стоїть “успішно пройти пентест”, а не виявити та виправити вразливості, то й постачальник послуг пентестів буде підбиратися відповідний.

А тепер увага, це найцікавіше. “Умови прості: за кожен знайдений недолік системи (баг) – хакер отримує винагороду.” Судячи з цього формулювання, Мінцифри планує винагороджувати хакерів за дублікати, тобто вразливості, про які повідомлять декілька дослідників безпеки. Це дуже щедро з боку організаторів, але скоріш за все призведе до того, що бюджет багбаунті буде вичерпано в першу годину.

А, зовсім забув, бюджет. Як ми й підозрювали, мільйон за багу перетворився у загальний призовий фонд в мільйон гривень, що на думку Мінцфири складає 35 тисяч доларів. Добре, що з конвертацією валют у міністерстві все добре. Але чисто з досвіду: 35 кусків за додаток, який обробляє (ну або буде обробляти) дані більшості населення чи не найбільшої європейської країни… Ви можете мені не вірити, але це не просто неадекватно, це суттєво нижче значно менш масштабних програм багбаунті, навіть для Українських компаній.

Підіб’ємо підсумки. Поки що можу констатувати у цьому заході лише один позитивний момент: він, здається, таки відбудеться. Не знаю, чим керується Мінцифра на шляху до здійснення мети, але очевидно, що не досвідом учасників або організаторів багбаунті. Формат, бюджет та піар події поки що створюють у мене враження, що все це не більше ніж інфопривід для чергової медіа-перемоги.

Як працює пропаганда à la russe

В цьому пості я ділюся знаннями, отриманими з досліджень дезінформації в інтернеті, і які дозволяють мені виявляти пропаганду в мережі та пояснювати це іншим.

Якщо розумієш як працює російська психологічно-інформаційна диверсійна індустрія, багато речей стають зрозумілими. Нещодавно я спробував пояснити свої висновки в одному ланцюгу твітів, після чого в мене була низка досить цікавих дискусій в різних приватних чатах. Сьогодні я викладаю це на блозі, зокрема для тих, хто “не розуміє” Твіттер.

Приклад Brexit

Почну здалеку – з Брекзиту. Просто щоб вам було зрозуміло наскільки цинічна і безжалісна Москва в трансляції своїх геополітичних інтересів на інші держави.

Брекзит в принципі був провальною ідеєю. Навіть найтупіший беззубий брит розумів, що залишатися в межах ЄС простіше та безпечніше, ніж повертатися на свої хліба. Але на піку кампанії Джонсону підфартило: Асад та Путін з усіх стволів зарядили по мирному населенню в Сирії.

Масштаби пошкоджень нема чого аналізувати – вони були колосальні. Я просто нагадаю, що за наступний рік в одній Німеччині опинилися понад 1 млн сирійських типу біженців. Так, більшість з них були біженцями. Якась частина була трудовими мігрантами. Незначна частина була терористами.

Що на цьому фоні зробила Росія? Запустила фейкову кампанію про згвалтування неповнолітньої сирійськими мігрантами. Такі випадки були реальністю, але цей конкретний був фейком. Однак він спрацював і за ним пішла ціла серія викидів відвертої брехні.

Звісно, менеджери кампанії за Брекзит не могли не скористатись цією нагодою. І зрештою беззубий брит увірував, що покинути завалений біженцями ЄС безпечніше, ніж залишитися. Увага! При цьому в угоді Британії з ЄС є унікальне виключення: політика ЄС щодо біженців її не стосується. Взагалі.

Сподіваюся, тепер вам зрозуміло, як це працює. Росія вивчає сентименти населення країни-супротивника та перетворює їх на зброю. Причому робить це не лише за допомогою “фабрик тролів”, хакерських операцій та зливу конфіденційних даних. Росія, з метою створення інформаційного приводу, не зупиняється перед отруєннями та масовими вбивствами.

Приклад BLM

Переходимо до другого прикладу, афроамериканці в США під час виборів президента 2016 року і під час масових заворушень #BLM.

Як це було. ІРА (Internet Research Agency) – російська фабрика тролів – вивчила афроамериканські настрої перед виборами та відтворила просту як двері тактику “розділяй і властвуй”. Ключ: вагання національної меншини, яка за Обаму голосувала двічі, голосувати за Хіларі чи ні. Як би ви не ставилися до расової нерівності в Штатах, вона існує, і це можна використовувати під час інформаційних кампаній. Чорних американців переконати в тому, що білі демократи не гідні їхніх голосів. Це відіграло вирішальну роль у перемозі Трампа.

Принципи пропаганди

Інтерлюдія: тепер ви маєте розуміти тактику російської пропаганди.

  1. Знайти суспільну проблему, яка існує. Не вигадувати щось нове, а знайти наратив, в якого вже є носії та прихильники.
  2. Кластеризувати суспільство на полюсах ставлення до цієї проблеми. Це нескладно: в сучасному інтернеті щодо будь-якої тези моментально формуються два ворожі табори.
  3. Вкинути характерні для цих конфліктних кластерів тези, які спонукають їх до рішучих дій або бездіяльності: протестів, ігнорування виборів тощо.

Приклад мовного питання

Тепер повернімось до України. Ось вам один з пунктів російського інформаційного впливу. Ви ж помітили, що мовне питання в Україні вічне? Вам може здаватися, що це тому, що Росія мріє викорінити українську мову та культуру, щоб у нас залишилася одна русифікована Малоросія.

Я стверджую що це не має стосунку до планів Росії. Розділення населення України стосовно мовного питання – ключовий фактор успіху російської пропаганди. Поки в нас немає єдності щодо мови та її ролі в суспільстві, пацаки будуть це експлуатувати.

Приклад декомунізації

Ще один важливий приклад: декомунізація. Під словом декомунізація ховається два терміни, а не один. Декомунізація це фактично патріотизація. Бо Московський проспект перейменовують в проспект Степана Бандери. З точки зору української державності в цьому нічого поганого немає. Але з точки зору спротиву російській інформаційній агресії – тут багато поганого. Бо це створює вразливість, через яку російські пропогандони наступні кілька років компостуватимуть мізки російськомовним пенсіонерам. А рішення в проблеми просте: перейменувати Московський в Патона чи Авеню №5.

Це дуже типовий бізнес-кейс, на якому можна напряму застосувати інструмент з кібербезпеки під назвою Моделювання загроз. Якщо коротко, то перед будь-якою дією треба сісти на дупу й акуратно подумати: що ми хочемо зробити? що може піти не так? як ми з цим впораємось? як ми перевіримо, що ми впорались? В цьому конкретному випадку, достатньо обрати нейтральну назву. Вона не буде здійснювати територіальне посилення національного порядку денного (це мінус), але при цьому не буде й створювати підґрунтя для подальшого розхитування політичних обставин (це плюс). В підсумку – ситуація стабільна, російські тролі перемикаються на інший наратив.

Способи протидії

Це просто як двері, якщо подивитися на те, що вони роблять скрізь і завжди. Вони нас роз’єднують і в них для цього є купа приводів та підводок. Треба позбавити їх цих тактичних інструментів і їм доведеться краще готуватися та більше витрачати ресурсів, а ось це і є – безпека.

Повернімося до мови. Радикальне вимагання від усіх громадян розмовляти та писати українською – ще один козир російської пропаганди. Звісно, за такі ідеї можна відхопити звинувачення в підігруванні російській інформаційній агресії, але лише від тих, хто цю агресію не розуміє.

Росія не там, де звучить російська мова. Вона там, де мовне питання політизують та радикалізують, і це дає підстави для російського втручання. Ми повинні виробити імунітет проти пацакських викидів та навчитися показувати середній палець на звинувачення в лояльності до агресора.

Коли заряджений Кремлем лівак звинувачує білого американця в расизмі, він не завжди правий. Коли ватнік звинувачує українця в нацизмі, той має право послати його у дупу. Коли вишиватник звинувачує російськомовного українця у зраді, той має право категорично не погодитись.

Тому що саме розділення по ідеологічному принципу, кластеризація та радикалізація – основні елементи тактики російської інформаційної війни. Трайбалізм та ідеологічна нетерпимість – це вроджена, природна вразливість людського мозку, а отже й соціуму, нації, людства загалом. Людина так влаштована, що ненавидіти групу людей – громадян іншої країни, послідовників іншої релігії, виборців іншої партії – нам набагато легше, ніж конкретних індивідуумів. І вся пропаганда à la russe, хто б її не застосовував, крутиться навколо цих первісних основ соціальної динаміки.

Сподіваюся, цей пост був для вас корисним. Поділіться їм у соцмережах, бо кожен раз, коли українець читає мій блог, десь у Хімках плаче аналітик ГРУ.