Geekly articles weekly

يمكن أن يكون لاختراق خادم Equation Group عواقب وخيمة على عمليات وكالة الأمن القومي والسياسة الخارجية الأمريكية

إظهار قوة عدو مجهول



انتقل إلى مبنى وكالة الأمن القومي. تصوير غاري كاميرون / رويترز

في 13 أغسطس / آب 2016 ، نشر أشخاص مجهولون شفرة المصدر ومآثر مجموعة المعادلات بشكل علني ووعدوا بنشر معلومات أخرى وردت من الخادم المخترق. من الصعب المبالغة في أهمية هذا الحدث.

بادئ ذي بدء ، فإن مجموعة المعادلات تابعة لوكالة الأمن القومي ، ويفترض أنها شاركت في شن هجمات إلكترونية معقدة تقنيًا ، مثل إصابة أجهزة الكمبيوتر التي تعمل بأجهزة الطرد المركزي لتخصيب اليورانيوم في إيران. في عام 2010 ، قامت برامج Stuxnet الخبيثة ، التي استغلت ثغرات يوم 0 في Windows ، بتعطيل 1000 إلى 5000 جهاز طرد مركزي سيمنز بسبب التغيرات في سرعة دورانها. ونتيجة لذلك ، الألعاب الأولمبية الأمريكية الإسرائيليةقام بفرط خطير في برنامج إيران النووي ومن المفترض أنه منع الضربات الجوية الإسرائيلية على المنشآت النووية الإيرانية .

تم اكتشاف البرامج الضارة المستخدمة ، والتي سميت فيما بعد Stuxnet ، في يونيو 2010 بواسطة خبراء مكافحة الفيروسات من روسيا البيضاء الذين لم يكن لديهم أي فكرة عما هي. والحقيقة هي أنه ، عن طريق الخطأ المبرمجين الأمريكيين أو الإسرائيليين ، استمر الفيروس في الانتشار خارج المنطقة المصابة وبدأ في تعطيل المنشآت الصناعية لشركة سيمنز في بلدان أخرى. لم يتحمل أحد المسؤولية عن ذلك.

بالإضافة إلى Stuxnet ، يُنسب إلى مجموعة Equation Group تأليف العديد من الأسلحة السيبرانية الهجومية المتطورة الأخرى وبرامج التجسس ، والتي تم استخدامها للتجسس في الوكالات الحكومية للدول الأجنبية والشركات التجارية. هذه هي معروفة في الدوائر الضيقة من المتخصصين في أدوات Duqu و Flame. مثل Stuxnet ، تم تحليل هذه الأدوات بعناية في وحدة القراصنة في فريق البحث والتحليل العالمي (GReAT) من Kaspersky Lab - ربما أفضل وحدة تحليل للأسلحة السيبرانية الهجومية الأجنبية في العالم. توصل الخبراء الروس إلى الاستنتاج ووجدوا دليلاً على أن هذه البرامج تحتوي على وحدات ووحدات وأجزاء رمز مشتركة ، أي أن فريقًا واحدًا أو أكثر من المؤلفين المقربين من بعضهم البعض شاركوا في التطوير.

تم الافتراض بأن الولايات المتحدة تقف وراء الهجمات السيبرانية مرارا وتكرارا. والآن ، تهدد مجموعة القراصنة Shadow Brokers بتقديم دليل مباشر على ذلك.



نشر أشخاص غير معروفين يسمون أنفسهم مجموعة قراصنة Shadow Brokers العديد من المآثر ونظموا مزادًا غريبًا لا يتم فيه إرجاع الرهانات الخاسرة إلى المشاركين. ووعد الفائز بالمزاد بفتح جميع المعلومات المسروقة من خوادم مجموعة المعادلة.

كل هذا كان سيبدو مريبًا وغير قابل للتصديق ، إن لم يكن لظروف قليلة.

أولاً ، يتم نشر مآثر الحياة الحقيقية - تم ذكرها في كتالوج برامج التجسس NSA ، الذي نشره إدوارد سنودن في عام 2013. لكن هذه الملفات لم ينشرها سنودن قط ، هذه معلومات جديدة.

كما أظهرت نتائج الاختبار الأول ، تعمل المآثر المنشورة حقًا.

علق إدوارد سنودن بنفسه على التسرب أمس بعشرات التغريدات. وأوضح أن اختراق مجموعة المعادلة حدث بالفعل (أي يؤمن بصدق Shadow Brokers). في الوقت نفسه ، نشر سنودن العديد من التفاصيل حول كيفية عمل برامج التجسس وكالة الأمن القومي ، وكذلك الأسلحة السيبرانية التي يتم إنشاؤها في بلدان أخرى. وقال إن الهجمات المستهدفة تستهدف أهدافا محددة ولا تزال غير مكتشفة لعدة سنوات. يتم جمع المعلومات من خلال خوادم C2 ، والتي تسمى عمليًا Counter Network Network Exploitation أو CCNE ، أو من خلال وكيل ORB (قفزات الوكيل). تحاول البلدان اكتشاف CCNE لخصومها واستكشاف أدواتهم. بطبيعة الحال ، في مثل هذه الحالات ، من المهم عدم الكشف عن حقيقة أن أسلحة العدو تم اكتشافها بحيث استمر في استخدامها ، لذلك لا يمكنك إزالة البرامج الضارة من الأنظمة المصابة بالفعل.

يقول إدوارد سنودن إن وكالة الأمن القومي ليست فريدة في هذا الصدد. إن ذكاء الدول الأخرى يفعل نفس الشيء بالضبط.

مع العلم أن الخصم يبحث عن CCNE ويستكشفها ، فقد تم توجيه وحدة القرصنة التابعة لوكالة الأمن القومي المعروفة باسم TAO ( مكتب عمليات الوصول المخصصة ) بعدم ترك ثنائيات برنامجهم على خوادم CCNE ، ولكن "الناس كسالى" ، وأحيانًا يحدث ثقب ، كما يقول سنودن.

على ما يبدو ، هذا بالضبط ما حدث الآن. يقول إدوارد سنودن إن خوادم CCNE التابعة لوكالة الأمن القومي قد تم اختراقها من قبل ، ولكن الآن تم إجراء مظاهرة عامة لأول مرة. لماذا نظم العدو مظاهرة من هذا القبيل؟ لا أحد يعرف. لكن إدوارد سنودن يشتبه في أن إجراء Shadow Brokers هذا من المرجح أن يكون لديه تفسير دبلوماسي لتصعيد الصراع حول الفترة الأخيرةقرصنة اللجنة الوطنية الديمقراطية الأمريكية ، وبعد ذلك تم نشر 20000 رسالة بريد إلكتروني خاصة للسياسيين الأمريكيين على ويكيليكس ، والتي تكشف عن القبيحة داخل الألعاب السياسية.

كتب إدوارد سنودن: "يشير الدليل غير المباشر والفطرة السليمة إلى تورط روسيا". "ولهذا السبب هذا مهم: من المحتمل أن يكون هذا التسريب تحذيرًا بأن شخصًا ما يمكن أن يثبت أن الولايات المتحدة مذنبة في أي هجوم يتم من خادم CCNE هذا."


"قد يكون لهذا عواقب وخيمة على السياسة الخارجية. خاصة إذا تم توجيه إحدى هذه العمليات ضد حلفاء الولايات المتحدة. خاصة إذا كانت مرتبطة بالانتخابات ".

وبالتالي ، وفقًا لسنودن ، فإن أعمال Shadow Brokers هي نوع من الضربة الاستباقية للتأثير على تصرفات الخصم ، الذي يفكر الآن في كيفية الرد على اختراق اللجنة الوطنية الديمقراطية الأمريكية. على وجه الخصوص ، شخص ما يحذر الأمريكيين من أن تصعيد الصراع سيكون غير مناسب هنا ، لأنه لديه كل الأوراق الرابحة.

وأضاف سنودن أن البيانات النادرة المتاحة تشير إلى أن مخترقًا غير معروف تمكن من الوصول إلى خادم NSA هذا ، لكنه فقد الوصول في يونيو 2013. ربما توقفت وكالة الأمن القومي ببساطة عن استخدامها في تلك اللحظة.

يميل بعض الخبراء أيضًا إلى الاعتقاد بأن اختراق مجموعة المعادلة ليس مزيفًا. هذا يقال يستغل تاجر مستقل و0day-مواطن الضعف وGrugq، وهو خبير أمني مستقل، كلاوديو غوارنييري (كلاوديو غوارنييري)، الذي منذ فترة طويلة تعمل في مجال تحليل عمليات القراصنة التي أجرتها وكالات الاستخبارات الغربية. يتفق ديمتري ألبيروفيتش (CrowdStrike) معه. ويعتقد أن المتسللين "جلسوا على هذه المعلومات لسنوات ، ينتظرون أنجح لحظة للنشر." قال بروس شناير ، أحد الخبراء المعروفين في مجال أمن المعلومات:

"بالتأكيد ، يبدو كل شيء حقيقيًا" . "السؤال هو ، لماذا سرقه شخص ما في عام 2013 ونشر هذا الأسبوع؟" تحليل المصادر المنشورة

بالأمس ، نشر خبراء من قسم GReAT في Kaspersky Lab. وقارنوا الملفات المنشورة بعينات من البرامج الضارة المعروفة سابقًا تنتمي إلى مجموعة المعادلة - ووجدوا أوجه تشابه قوية بينها. على وجه الخصوص ، تستخدم مجموعة المعادلة تنفيذًا معينًا لتشفير RC5 / RC6 ، حيث تقوم مكتبة التشفير بعملية الطرح باستخدام ثابت 0x61C88647 ، بينما في رمز RC5 / RC6 التقليدي المستخدم بشكل شائع ، يتم استخدام ثابت آخر 0x9E3779B9 ، أي -0x61C88647 . نظرًا لأن الجمع أسرع من الطرح على بعض المعدات ، فمن الأفضل تخزين الثابت في قيمة سالبة لإضافته ، بدلاً من طرحه.



وجدت المقارنة مئات القطع من التعليمات البرمجية المماثلة بين العينات القديمة والملفات التي نشرتها Shadow Brokers.



إذا كان سنودن على صواب وكان من المرجح أن تكون تصرفات Shadow Brokers "دبلوماسية" ، فإن "المزاد" المعلن بشروط غريبة هو مجرد خدعة. إنها مطلوبة فقط من أجل العلاقات العامة ، بحيث يتم التقاط القصة في وسائل الإعلام ونشرها على أوسع نطاق ممكن. يكررون كل الإشارات إلى "المزاد" على تويتر . تذكير ، وعد Shadow Brokers بتقديم معلومات للفائز في المزاد ، الذي سيدفع مبلغًا غير واقعي يبلغ مليون (!) Bitcoins ، أي أكثر من نصف مليار دولار. حاليا ، حصلوا على 15 رهان في محفظتهم ليصبح المجموع 1،629 BTC. الحد الأقصى للعطاء هو 1.5 BTC.

تمت إزالة مستودع استغلال مجموعة المعادلة من جيثب. والسبب ليس في نشر شفرة البرامج الضارة هناك ، لأن مآثر الحكومة لنفس فريق The Hacking Team كانت على Github منذ فترة طويلة وليست مرضية. يسمي Github السبب في محاولة الربح من بيع رمز مسروق ، والذي يتعارض مع شروط اتفاقية مستخدم Github. يتم حذف الملفات أيضًا من خدمة وسائط Tumblr. ومع ذلك، فإن مآثر لا تزال متاحة من عدة مصادر أخرى:

» المغناطيس :؟ عاشرت = جرة: btih: 40a5f1514514fb67943f137f7fde0a7b5e991f76 وآر = HTTP: //diftracker.i2p/announce.php
» http://dfiles.ru/files/9z6hk3gp9
» https://mega.nz/#!zEAU1AQL!oWJ63n-D6lCuCQ4AY0Cv_405hX8kn7MEsa1iLH5UjKU
» http://95.183.9.51/
الملفات مجانا (البرهان): خالية من eqgrp-file.tar.xz.gpg
sha256sum = b5961eee7cb3eca209b92436ed7bdd74e025bf615b90c408829156d128c7a169
المنافع العامة العالمية --output --decrypt eqgrp خالية من file.tar.xz eqgrp خالية من file.tar.xz.gpg
كلمة المرور للأرشيف : theequationgroup

وعد WikiLeaks بتحميل الملفات في منزله قريبًا.

ورفضت وكالة الأنباء التابعة لوكالة الأمن القومي التعليق .

Source: https://habr.com/ru/post/ar396779/

More articles:


All Articles