Форум Сообщества Практиков Конкурентной разведки (СПКР)

А вот мнение некоторых западных специалистов о Turla / Snake / Uroburos
Источник - _ttp://www.cybersecurity.ru/crypto/189807.html

Ранее неизвестное шпионское программное обеспечение уже смогло инфицировать сотни правительственных компьютеров в Европе и США. Специалисты говорят, что по своей логике вредонос является одним из сложнейших за всю историю. Несколько западных специалистов по ИТ-безопасности и разведывательных агентств полагают, что вредоносное программное обеспечение Turla работает в интересах официальных российских властей и связано с тем же программным обеспечением, которое уже поражало американские военные сети в 2008 году.

Подобные утверждения основаны на анализе тактики хакеров, а также на множестве технических индикаторов и жертвах, которые были атакованы Turla. «Это сложное программное обеспечение, похожее на другие эксплоиты российского производства. Оно использует шифрование и ориентировано на западные правительства», - говорит Джим Льюис, экс-служащий дипломатической службы США, в настоящее время старший научный сотрудник Центра стратегических и международных исследований в Вашингтоне.

Тем не менее, эксперты по безопасности предупреждают: связь с Россией - это лишь догадка, которую невозможно подтвердить до тех пор, пока (и если) Москва не возьмет на себя ответственность за создание кода. В Turla разработчики используют много технологий для сокрытия собственной личности.

Отметим, что слухи о новом российском супер-вредоносе изначально были заявлены небольшой немецкой антивирусной компанией G Data, однако в терминологии этой компании код получил названием Uroburos. Здесь говорят, что российские про-правительственные хакеры пишут достаточно качественный с точки зрения функционала софт и умело скрывают свою личность, кроме того, они очень эффективно поддерживают контроль над зараженными ресурсами и сетями. Здесь тактика атак выбирается очень избранно и подгоняется под конкретную жертву. Китайские про-правительственные хакеры действуют совершенно иначе - они атакуют максимально широко, надеясь хотя бы единожды попасть в цель.

«Все они знают, что большинство людей не имеют технических знаний, чтобы победить. Кроме того, большинство людей не задумываются о хакерской угрозе и делают многие вещи в спящем состоянии», - говорит Льюис.

В пятницу британский оборонный подрядчик BAE Systems Applied Intelligence также сообщил о выявлении нового вредоносного кода, атакующего британские правительственные учреждения. В терминологии BAE код именуется Snake. В BAE также говорят о чрезвычайно высокой сложности кода. Сейчас невозможно установить, явлются ли Turla, Uroburos и Snake одним и тем же кодом.

В антивирусной компании Symantec говорят, что сейчас жертвами Turla стали около 1000 сетей. Кроме того, здесь убеждены, что за Turla и ранее обнаруженным кодом Agent BTZ стоят одни и те же люди. В Symantec не называют жертв вирусов, но говорят, что подавляющее большинство - это правительственные агентства.

В финской F-Secure говорят, что они впервые с Turla столкнулись еще в прошлом году, когда расследовали комплексную атаку в интересах одного из заказчиков. «Turla похож на русский код, однако достоверно говорить об этом нельзя», - говорит технический специалист F-Secure Микко Хиппонен. По его словам, Turla и Agent.BTZ - это коды одного семейства. Первые примеры этого семейства были использованы для атаки на Центральное командование США в 2008 году. При этом, сам Вашингтон не признает факт данной атаки и по сей день.

В F-Secure говорят, что про-российские коды использовались в том же 2008 году для атаки сетей НАТО. Сейчас неизвестны названия кодов, использованных тогда для атак. Хиппонен говорит, что в прошлом году похожий код был использован для нападения на Министерство иностранных дел Финляндии.

Эрик Чен, технический директор Sysmantec Security Response, говорит, что Turla - это «дальнейшая эволюция» Agent.BTZ. «Очевидно, что группа, работающая над этими вредоносами активна и в наши дни», - полагает он.

Хайме Бласко, директор AlienVault Labs, говорит, что им также известно о Turla. Здесь данный вредонос описывают как «фреймворк» для шпионажа, а не как единичное вредоносное ПО. Выявленный ими код создает клиентский руткит, который прячет свое присутствие посредством создания шифрованной виртуальной файловой системы, в которую уводятся краденные данные. Кроме того, архитектура вредоноса такова, что оператор атаки может добавлять во вредонос дополнительные модули с новым функционалом.

Эрик Чен говорит, что кодами Turla пользуются и в данный момент, так как управляющие серверы, на которые стекаются данные постоянно обновляются и при отключении одного сервера в сети тут же появляется новый.

Интересный поворот событий, не правда ли?))

Искендер написал:

[q]

Символизм в нашем деле не менее важен, чем техническая часть...

[/q]

Символизм усиливает эффект, согласен. Но тут интереснее другое, а именно разворот в обвинениях. Если судить по ареалу заражения, то наибольший вред Agent.btz нанёс России, хотя существует вероятность что авторы русскоязычные (специалисты ссылаются на маркеры в коде). Заражений в США в разы меньше, но зато было попадание в сети пентагона, с весьма мутными подробностями. Изходя из этого, можно предположить что зловред писали под РФ, а в военные сети США он утёк от хозяев по недосмотру.
И ещё один момент про Stuxnet, многие в курсе что по мнению профильных специалистов это разработка США и Израиля против ядерной программы Ирана. Израиль по этому поводу уж очень переживает. Но тут под шумок подкидывают следующую идею, раз был инцидент с нахождением этого вируса на русской атомной энергостанции, то это русские по недосмотру проморгали свой вирус (хотя вирус узко специализированный и заточен под уничтожение определённых центрифуг на Иранском объекте) . Ну и конечно аналогия со змеем Уроборос.

Интересная попытка переворота общественного мнения.)