Хакеры пытались подставить КНДР во время кибератаки на Олимпиаду в Пхёнчхане - ПОДРОБНОСТИ

13 марта 2018 13:15

"Лаборатория Касперского" выяснила, что за атаками на IT-инфраструктуру Олимпийских игр в Пхёнчхане стояла совсем не та кибергруппировка, на которую указывали все следы.

Как передает Day.Az со ссылкой на издание PC Week/RE, новый метод атрибуции вредоносного ПО позволил экспертам компании определить, что оставленные злоумышленниками метки были ложными и намеренно сбивали исследователей с верного следа.

Червь Olympic Destroyer смог на время парализовать олимпийские IT-системы незадолго до церемонии открытия Игр. Зловред вывел из строя экранные мониторы, Wi-Fi сеть и официальный сайт Олимпиады, из-за чего болельщики не могли распечатать билеты. Кроме того, от Olympic Destroyer пострадало несколько горнолыжных курортов в Южной Корее - из-за кибератак там не работали турникеты и подъёмники.

Однако экспертов по кибербезопасности этот зловред заинтересовал, прежде всего, своим происхождением. Спустя несколько дней после обнаружения Olympic Destroyer разные исследователи утверждали, что за ним стоят атакующие из России, Китая или Северной Кореи. Эксперты "Лаборатории Касперского" поначалу склонялись к последнему варианту, поскольку некоторые части кода этого червя на 100% совпадали с компонентами, использовавшимися известной кибергруппировкой Lazarus, имеющей северокорейское происхождение. Кроме того, в атаках Olympic Destroyer применялись те же техники и процессы, которые ранее встречались в операциях Lazarus.

Однако при расследовании инцидентов непосредственно на месте в Южной Корее аналитики "Лаборатории Касперского" обнаружили ряд несоответствий между Olympic Destroyer и Lazarus. Это заставило их ещё раз более внимательно изучить зловред, в частности те файлы, в которых содержались комбинации некоторых функций среды разработки кода (исследователи считают их своего рода "отпечатками", указывающими на создателей вредоносного ПО). В итоге выяснилось, что те компоненты кода Olympic Destroyer, которые совпадали с кодом ПО Lazarus, на самом деле были искусно подделаны таким образом, чтобы максимально соответствовать особенностям северокорейской группировки.

"Насколько мы знаем, подобного рода доказательства, которые нам удалось собрать, никогда раньше не использовались для атрибуции атак. И всё же злоумышленники решили оставить их, предполагая, что кто-то их найдёт. Скорее всего, они рассчитывали на то, что доказать факт подделки этого артефакта будет очень сложно. Это - как если бы преступник украл чей-то образец ДНК и оставил его на месте преступления вместо собственных следов. Однако мы поняли и доказали, что в случае с Olympic Destroyer обнаруженная "ДНК" была оставлена там намеренно, - поясняет Виталий Камлюк, руководитель исследовательского центра "Лаборатории Касперского" в Азиатско-Тихоокеанском регионе. - Вся эта ситуация демонстрирует, как много усилий атакующие прикладывают, чтобы оставаться неопознанными. Мы всегда говорили, что атрибуция в киберпространстве - крайне сложная вещь, поскольку подделать можно всё что угодно. И Olympic Destroyer - очередное тому подтверждение".

"Однако из этой истории можно сделать ещё один вывод: к вопросам атрибуции нужно подходить крайне серьёзно. В условиях, когда киберпространство стало столь политизированным, неверная атрибуция может повлечь за собой серьёзные последствия. А организаторы атак могут начать манипулировать мнениями в сообществе по кибербезопасности, чтобы повлиять на геополитическую обстановку в мире", - добавил Виталий.

Кто на самом деле стоит за киберинцидентами, случившимися во время последней зимней Олимпиады, достоверно пока неизвестно. Во многом это связано с тем, что этот случай является уникальным примером внедрения ложных меток такой высокой сложности. Однако эксперты "Лаборатории Касперского" выяснили, что атакующие использовали обеспечивающий конфиденциальность сервис NordVPN и хостинг-провайдер MonoVM, которые принимают к оплате биткойны.

Решения "Лаборатории Касперского" успешно детектируют и блокируют вредоносное ПО Olympic Destroyer.

Другие интересные новости читайте на странице Day.Az в Facebook

Самое важное и срочное мы публикуем на странице в Telegram. Подпишись!