Китайский интернет-шпионаж: «Призрачная Сеть» все видит, все слышит, все пишет…

Коллектив независимых экспертов по компьютерной безопасности из университетов Торонто и Кембриджа выявил в Интернете крупную шпионскую электронную сеть, которую назвали GhostNet. На момент подготовки отчетов по результатам исследования «Призрачная Сеть» поразила больше тысячи компьютеров, принадлежащих организациям, ведомствам и частным лицам, в десятках государств.

Главными целями для GhostNet являются представительства тибетского Далай-ламы, разбросанные по всему миру, индийская штаб-квартира тибетской оппозиции в изгнании, а также сотрудничающие с ними правозащитные организации, фирмы и правительственные учреждения разных стран.

Практически все нити управления разветвленной деятельностью GhostNet ведут в Китай, а владельцы скомпрометированных компьютеров так или иначе подвергаются давлению со стороны китайских властей, проявляющих поразительную осведомленность в их делах. Однако, как это часто бывает, схватить за руку и доказать причастность к кибер-атакам конкретных лиц или органов практически невозможно.

Канадские специалисты, базирующиеся в Мунковском центре международных исследований (Munk Center for International Studies) при Университете Торонто, пришли к выводу, что помимо шпионажа за Далай-ламой и его сторонниками, та же система глубоко проникла в правительственные структуры стран южного и юго-восточного регионов Азии.

Как известно, аналитики разведки утверждают, что спецслужбы ведущих держав, включая Китай, Россию и США, давно используют продвинутое ПО для тайного сбора информации. Но даже если подобные средства шпионажа и обнаруживаются, то ни одна пострадавшая сторона обычно не желает предавать дело огласке и уж тем более не публикует технические подробности шпионских операций.

В этом отношении история с тибетской оппозицией стоит особняком: буддийские монахи, заподозрив неладное в своих компьютерах, обратились за помощью к авторитетным независимым экспертам из OpenNet Initiative, ничем не ограничивая их изыскания, а затем дали добро на широкую публикацию результатов работы.

Несмотря на принятые меры, эта система по-прежнему заражает компьютеры шпионскими программами – по приблизительным оценкам, больше десятка еженедельно. Способностям вредоносного софта, обнаруженного в инфицированных машинах, можно только позавидовать. Помимо стандартных шпионских действий (вроде протоколирования нажатых клавиш или сканирования дисков для поиска и похищения документов), эти программы могут служить ушами и глазами своих хозяев. Например, установлено, что программа-руткит может задействовать вебкамеру или микрофон, подключенные к компьютеру.

О том, на кого работает GhostNet, говорят следующие факты. После того как из офиса Далай-ламы было отправлено электронное письмо с приглашением на мероприятие одному иностранному дипломату, тому сразу же позвонили и от лица правительства Китая настойчиво рекомендовали отказаться от приглашения. Или, например, женщина, занимающаяся в Интернете организацией контактов между китайцами и тибетскими изгнанниками, при въезде в Китай была задержана властями. Ей предъявили распечатки онлайновых бесед и недвусмысленно намекнули, что пора бы завязать с крамольной деятельностью.

Поскольку весть о тайной шпионской сети GhostNet уже разнеслась по миру, официальные лица Китая сочли необходимым дать опровержение. Представитель китайского консульства в Нью-Йорке Венки Гао (Wenqi Gao) высказался так: «Это старые истории, и все они полная чушь. Китайское правительство выступает против любых кибер-преступлений и само в них не замешано».

Канадские исследователи в своем отчете1 описали сделанные открытия очень аккуратно, нигде явно не упоминая власти Китая как организатора и владельца GhostNet. В отличие от них, авторы кембриджского отчета2 без обиняков указывают на правительственных «китайских шпионов» и приводят множество свидетельств (пусть и косвенных) в поддержку своей позиции. Они разбирают конкретный случай электронной слежки за оппозицией, ведущейся агентами репрессивного государства с помощью вредоносного ПО. И хотя это далеко не новость, два аспекта заставляют обратить особое внимание на эту историю. Во-первых, шпионская атака организована специально для сбора информации о людях, которым это грозит опаснейшими последствиями. Во-вторых, система сочетает в себе социальный фишинг и высококачественный софт.

Комбинация из грамотно сделанной шпионской программы с набором хорошо продуманных приманок оказывается чрезвычайно эффективной, что дало исследователям повод окрестить угрозу «социально-вредоносным ПО» (social malware). Хотя в конкретном случае замешана одна из мощнейших мировых держав, такого рода атаки теоретически могут быть организованы даже отдельным человеком. И разработка защитных мер является серьезным вызовом сообществу компьютерной безопасности.

Берд Киви, Компьютерра