- Да, саботаж.
- А есть ли по этому судебная практика, то есть доказательство того, что вот именно так делается всё это?
- Судебная практика есть, но она пока незначительная. Связано это c недостаточно налаженным взаимодействием между экспертами, интернет-сообществом и правоохранительными органами и отсутствием доверия между ними. Например, наши правоохранительные органы не очень глубоко понимают техническую сторону вопроса. Те, кто понимает, не всегда доверяют экспертному сообществу в интернете. А интернет-сообщество, в свою очередь, с недоверием смотрит на регуляторов и правоохранительные органы. Оттого происходят временные задержки, недопонимания.
Мы принимали участие в круглом столе по поводу DDoS-атак на такие ресурсы, как «Слон», «Эхо Москвы», «Коммерсант» и так далее. И многие из журналистов и редакторов высказывались тогда в таком духе: «Мы подавали документы в правоохранительные органы, но буквально тут же дело закрывали за недостатком улик и ещё чем-то». То есть всем было очевидно, что сайты и ресурсы не работают, но судебная система на собранные документы отвечала: «С чем вы пришли? Где ваши доказательства, что вас заDDoSили, что вы не просто выключили свой сервер?» Отсутствие таких расследований идёт на руку преступникам.
В нашей практике раскрытых преступлений немного. Они есть, конечно, но это скорее исключения из правил, нежели обыденная практика правоохранительных органов. К сожалению, пока это так.
- Как вы считаете, это изменится в ближайшем будущем или так и будет оставаться «воз и ныне там»?
- Я думаю, что это может измениться, если у нас изменится взаимодействие между интернет-экспертами и правоохранительными органами.
- То есть это вопрос главным образом к правоохранительным органам?
- Главным образом, наверно, это запрос ко взаимодействию в целом.
- Давайте вернёмся к технической стороне. Значит, источником DDoS-атак, как правило, являются боты…
- Под ботом может подразумеваться всё, что угодно. Можно сказать, что есть разные принципы организации DDoS-атак. Ещё год назад можно было сказать, что большинство узлов ботнета — это рабочие станции, а также в теории обсуждалось, возможен ли в теории крупный мобильный ботнет…
- Как минимум одна попытка создать нечто подобное была.
- Ну да. Возможно, небезуспешно, и такой ботнет существует — в каком-то пределе.
Но вот другой пример, безо всякой экзотики. В конце прошлого года, начиная с осени, была организована серия мощных, массированных атак с помощью инфицированных PHP веб-серверов. Атаки были с так называемым «плечом»: атакующий бил по мишени не напрямую, а через определённые «дыры» в необновлённых веб-движках устанавливал некоторый PHP-скрипт, который он дальше мог разным образом активировать. И эта активация могла быть в том числе так построена, что даже обычный легитимный пользователь, заходя на страницу, активировал кусок этого скрипта, который отбрасывал какое-то количество пакетов на сервер мишени. Таким образом, злоумышленник получал значительное количество «мусорного трафика», прикладывая значительно меньшие усилия.
- То есть это не было заражением пользовательского компьютера, просто пользователь заходил и…
- Да. Определённый веб-сервер, мощный веб-сервер, и не один, а может быть, даже целая группа, атаковали американские банки, находясь в Турции и в Европе.
- В Восточной, в Западной?
- И в Западной и в Восточной. Важнее другое: атака производилась не с каких-то заражённых компьютеров, а именно с заражённых серверов. И, поскольку сервера имеют намного более широкий канал передачи данных, намного более серьёзную инфраструктуру, то, естественно, отдача трафика такого устройства, количество определённого паразитного трафика, который он может от себя отослать, в разы превосходит возможности пользователя какого-либо ПК, который может быть подключён к каким-то «дохлым» интернет-каналам. Для успешной атаки таких серверов надо намного меньше. Более того, если вы даже нападёте на этот след и выключите этот сервер, то это не значит, что вы «выключите» тех людей, кто это сделал. Сервером может владеть совершенно «непричастная» компания или фирма, которая даже не знает, что происходит.
Бороться с такими схемами намного сложнее, потому что, если ботнет на обычном пользователе, вы можете пожаловаться провайдеру и провайдер может как-то сигнализировать этому пользователю или просто, в конце концов, его отключить. А выключить какой-то сервер или выключить какую-то компанию из интернета – это намного сложнее. Более того, выявить заражение на серверных устройствах, которые включены постоянно и их работа связана с какой-либо бизнес-активностью, намного сложнее.