Команда приходила зачастую с новыми модулями, написанными под новое задание. Всего с 2007 года специалисты обнаружили более 1000 файлов, относящихся к 30 различным «тематикам» (до последнего момента проект Red October продолжал работать, самые свежие шпионские модули датированы 8 января).
В этом еще одно радикальное отличие Red October от традиционной киберпреступности — интеллект человека-оператора. Точнее, целого аналитического отдела. Так считают в «Лаборатории Касперского». Хотя наличие госзаказчика у операции Red October не доказано, трудно поверить, что обычные киберпреступники возьмутся за такую задачу. Парочкой яйцеголовых программистов, которые у них обычно имеются, тут явно не обойтись. Нужна группа разработчиков, одновременно действующих по десятку направлений, плюс IT-архитектор. Аутсорсеры из числа вольных хакеров, то есть неизвестные виртуальные личности под никами, для таких задач не годятся — они склонны поскорее сбыть краденое, как только на горизонте появится покупатель, и надежно хранить чужое добро не приучены. «У них на ресурсах свежие данные подчас свалены кучей, не то что незашифрованные, иногда даже просто в открытом доступе»,— рассказывает Виталий Камлюк. В общем, как все романтики с большой дороги, эти «специалисты» крайне ненадежны в плане долгосрочных рабочих отношений.
Бывалый ботовод сгодится разве что на роль архитектора шпионской сети, хотя интернет-структура Red October покруче мощного ботнета: более 60 доменных имен использовалось атакующими для кражи данных. Домены размещались на нескольких десятках IP-адресов, расположенных в основном в Германии и России, а подключения происходили из 40 стран. Мозговой центр — командный сервер, который собирал все похищенные данные и отдавал команды на продолжение изысканий, — скрыт за цепочкой прокси-серверов и подчиненных управляющих серверов. Но за какую зарплату удачливый ботовод согласится на эту работу? Эти парни слишком любят деньги. Для успешных преступников, поясняет Сергей Никитин, замруководителя лаборатории компьютерной криминалистики Group-IB, около миллиона долларов в месяц на группу из 4—5 человек — это норма. Так что, полагает Сергей Никитин, бизнес-модели киберпреступников и массовых заказных целевых атак разнятся настолько, что практически неизвестны случаи, когда команды киберворов переключались на целевые атаки. К тому же не хватает технологии еще одного типа.
Попасть в молоко
Очень плохо обстоят сегодня дела со средствами точного наведения на заранее заданный компьютер: невозможно быть уверенным, что у заданной цели имеется именно та уязвимость, для которой атакующий приготовил свой эксплойт. Это пока удерживает мир от того, чтобы кибероружие продемонстрировало свой разрушительный потенциал. Но работа идет именно в этом направлении, уверены в «Лаборатории Касперского».
Горячей точкой планеты вначале стал Иран, а потом прилегающие к нему другие страны Западной Азии. Вслед за политической напряженностью в эту сторону направилась и активность в создании кибернетических конструкций: легендарный Stuxnet обрушился на центрифуги завода в Иране. Следом появились шпионские программы Flame и Gauss, заражавшие тысячи компьютеров, но концентрировавшие свои усилия в Иране, Судане и Ливане и позволявшие атакующим выбрать наиболее интересные цели. После чего на сцене появился вредонос SPE (miniFlame) — высокоточный инструмент шпионажа, число жертв которого исчисляется всего лишь десятками. «Разные его варианты проявляются в разных странах: один больше распространен в Ливане и Палестине, другие — в Иране, Кувейте и Катаре», — отмечает Виталий Камлюк. Идет отладка технологий точного наведения кибероружия.
Пока глобальным шпионажем занимаются лишь одиночные команды, руководимые, судя по всему, государством и далеко в своих изысканиях не продвинувшиеся. И это хорошая новость: «кибердиспансеризация» критически важной инфраструктуры, которую проводят друг для друга разные страны, показывает, что для хорошей защиты от шпионов достаточно IT-директорам ключевых госструктур заняться своими прямыми обязанностями. Тогда на засекреченные компьютеры аэрокосмического агентства США не будут попадать трояны Gozi российского происхождения. Но есть и вторая новость: станет гораздо хуже, когда производство заказных шпионских систем будет поставлено на коммерческий поток.
На войне как на войне