На тебе ластик стирай свою америку

Президент США Барак Обама подписал указ о введении новых санкций против России в связи с хакерскими атаками, в которых Белый дом обвинил Москву. Под санкции попали шесть физических лиц и пять ведомств, включая ФСБ и ГРУ. Кроме того, Госдеп США объявил 35 российских дипломатов персонами нон-грата и попросил их покинуть страну в течение 72 часов. Такие меры приняты в ответ на «вмешательство России в выборы в США», что тоже связывают в Госдепе с фактами «российских кибератак» на американские структуры.

«Какие ваши доказательства?»

В новый санкционный список Обамы попали Федеральная служба безопасности, Главное управление Генштаба (до 2010 года — Главное разведывательное управление Генштаба), автономная некоммерческая организация «Профессиональное объединение конструкторов систем информатики», ООО «Специальный технологический Центр», ООО «Цифровое оружие и защита» (ЦОР). Как физические лица в дополненный санкционный список попали руководитель ГРУ Генштаба Игорь Коробов, его первые заместители Игорь Костюков и Владимир Алексеев, а также заместитель Коробова Сергей Гизунов. Кроме того, в столь представительную и весомую компанию включили и двух представителей киберсообщества — Алексея Белана (Абырвалг, Федуня, Маг, Марра, Магга) и Евгения Богачева (Ластик, Славик, Монстр). Учитывая то, что до сих пор Белана и Богачева ФБР разыскивало за хакерские атаки, связанные с вымогательством денег и похищением личных данных по кредитным картам — складывается впечатление, что в список рядом с ФСБ, ГРУ и их руководителями Абырвалга и Ластика включили, чтобы хоть как-то привязать Россию к «хакерскому интернационалу». «Эй, кто у вас там есть из российских хакеров? — Да вот, ребята номера кредиток воровали! — Ну, так давайте их сюда, в список!».

Поскольку введение новых «киберсанкций» против Российской Федерации надо было как-то оправдать, то под фантазию о «российском следе» в хакерских атаках на государственные и политические структуры США пришлось даже составить целый официальный доклад американского ФБР. Чтобы не быть голословным — сам текст доклада можно почитать на английском по ссылке.

Постараемся найти в нем «прямые и весомые» доказательства связи ФСБ России и ГРУ ГШ РФ с Абырвалгом, Ластиком или иными хакерскими группами, чьи псевдонимы широкими мазками приведены в тексте доклада.

При пристальном рассмотрении текста официального доклада выясняется, что большая часть приведенных там фактов «взломов» — это банальный фишинг и безответственное отношение сотрудников государственных учреждений США к файлам, которые они получали по e-mail. Сотрудники ведомств и функционеры политических партий тупо запускали исполняемые файлы из писем, тем самым добровольно предоставляя злоумышленникам доступ к своим компьютерам.

В качестве «дактилоскопического отпечатка русского хакера» в докладе ФБР (стр. 5) даже приведен некий фрагмент кода для известного классификатора Yara, который, конечно, выглядит загадочно, но для профессионалов не представляет никакого специфического интереса:

rule PAS_TOOL_PHP_WEB_KIT
{
meta:
description = “PAS TOOL PHP WEB KIT FOUND” strings:
$php = “$base64decode = /=’base’.(d+*d+).’_de’.’code’/ $strreplace = “(str_replace(“
$md5 = “.substr(md5(strrev(“
$gzinflate = “gzinflate”
$cookie = “_COOKIE”
$isset = “isset”
condition:
(filesize > 20KB and filesize
#cookie == 2 and
#isset == 3 and
all of them
}

По сути дела, это описание стандартной php–инъекции, которая позволяет злоумышленнику получить доступ к паролям жертвы с помощью вредоносного программного обеспечения — в большинстве случаев по процедуре фишинга, когда жертва сама вводит свой логин и пароль на подменном сайте. Такие трояны и черви сегодня пишутся по всему миру. На вредоносных сайтах из размещают 14-летние «гении php», обиженные работники мстят с их помощью своим работодателям, мошенники таким образом воруют номера кредиток — в общем, ничего специфически «русского», а тем более «фсбшного» или «грушного» в этом фрагменте кода нет и в помине. Скорее, это свидетельствует о том, что некоторые криворукие разработчики американских государственных сайтов и системные администраторы правительственных организаций в США до сих пор не обучили своих пользователей азам компьютерной безопасности, и о том, что на их сайтах полным-полно незакрытых «задних дверей».

Если судить по первой реакции на данный «доклад» и связанные с ними указы, даже самих американцев раздражает прискорбный и очевидный факт — их правительство вводит санкции против непричастных и случайных лиц, а главное вводит их без достаточных доказательств.

Три скобочки вместо смайлика — это точно русские!

Официальный и достаточно «куцый» отчет ФБР во многом базировался на независимых коммерческих исследованиях американских IT-компаний, в число которых входили такие фирмы, как FireEye и CrowdStrike. Между тем следует понимать, что их услуги были оплачены «обиженной» выборами Демократической партией США, а кто платит деньги — тот, как известно, и заказывает «музыку о хакерах».

Так, в докладе CrowdStrike говорится о «великолепной специальной технической подготовке» хакеров, работающих на российские спецслужбы, однако описательные примеры и построения вновь приводят нас к одной простой мысли: «вы что, нас за дураков держите?». По словам указанных специализированных фирм, компьютерные атаки против государственных и политических структур США были «масштабными», «дерзкими» и «изощренными», но вот доказательства этой «изощренности» вновь выглядят, как сочинение троечника-пятиклассника, который впервые увидел персональный компьютер.

По сути дела, все доказательства в этих независимых докладах снова крутятся вокруг одних и тех же тезисов.

Во-первых, утверждается, что вредоносная активность хакеров приходилась на рабочее время в часовом поясе Москвы. Между тем в зоне GMT+3, кроме части России, живут такие страны, как Белоруссия, Турция и Саудовская Аравия (и еще два десятка стран помельче), а расширение «зоны подозрения» на часовые пояса GMT+2 или же GMT+4 вообще включало бы в число «подозреваемых» все бывшие страны СНГ, половину Восточной Европы и большую часть Ближнего Востока и Африки. Но виноваты, понятное дело, русские.

Во-вторых, некоторые документы, которые всплывали из взломанной почты демократов, редактировались неким пользователем под ником Felix Edmundovich. Однако, судя по всему, компании, составлявшие отчеты, просто не знали, как правильно написать «Кожугетович» по-английски — тогда бы уже точно было ясно, кто стоит за хакерским взломом. Тем более интересно, что агенты с «великолепной специальной технической подготовкой» оставили столь явные следы взлома. «Здесь был Дзержинский».

В-третьих, хакеры часто использовали почту «Яндекса». Пожалуй, это довод — и надо всех пользователей Gmail в России объявить агентами ЦРУ. Впрочем, «Яндекс» теперь уже не российская компания. Так что же, США теперь введут санкции и против Нидерландов и будет бомбить Амстердам?

В-четвертых, в ряде опубликованных писем вместо гиперссылок выводится надпись на русском языке: «Ошибка! Недопустимый объект гиперссылки». Это якобы тоже свидетельствует о том, что хакеры связаны с ФСБ и ГРУ.

Ну и наконец, самый убойный, пятый аргумент: «русские хакеры» использовали в переписке три скобочки вместо стандартных смайликов, а так, по-мнению американских экспертов, делают только в России и Восточной Европе. Все, приехали, я — американский агент… :).

«Научные эскадрильи» и «изолированные бункера хакерского спецназа»

Но еще дальше в деле поимки мифических «русских хакеров» пошли американские популярные издания. В качестве примера можно привести публикацию в одном из рупоров демократов США — авторитетном издании New York Times. В качестве своего инсайдера журналисты из NYT использовали реального российского IT-специалиста Александра Варю, который занимался в свое время другим сегментом хакерских операций — DDoS-атаками на сайты, однако в статье NYT почему-то выступил в качестве специалиста по деятельности министерства обороны России.

NYT описывает хакера «Варью» в классическом стиле: «бородатый, очкастый программист 33 лет от роду» (все исторические совпадения — случайны), которого якобы заставили участвовать в «радикальном изменении» информационной политики министерства обороны России, которое инициировали «лидеры нации». Не больше и не меньше. Что интересно, реальная, а не выдуманная история Александра Вари уже была рассказана на сайте Meduza, который уж никак нельзя описать, как «тотально лояльный» к нынешней российской власти. Эта история никак не была связана ни с фишингом, ни с компьютерными взломами, ни тем более с ФСБ, министерством обороны или ГРУ ГШ РФ. Она касалась специфической компетенции Александра Вари в части DDoS-атак на интернет-сайты и защите от проведения такого рода атак.

Поэтому — вдвойне интересно читать статью NYT, которая совершенно противоречит гораздо более спокойному предыдущему интервью, но «на голубом глазу» вываливает на американцев все «откровенья» вновь прибывшего финского иммигранта Вари. Тот рассказывает и об «изолированных бункерах хакерского спецназа», и о «научных эскадронах компьютерных хакеров», и о «студентах и преступниках», которых якобы привлекает российское Минобороны для осуществления хакерских атак на государственные учреждения за пределами России — причем делает это по всему миру.

В качестве же наглядной иллюстрации «преступной деятельности» министерства обороны России как пример приводится то, что российское ведомство официально купило рекламу в популярной сети «Вконтакте», после чего разместило там известный промо-ролик о реформах в военном ведомстве, где, о ужас, офицер российской армии сидел за экраном компьютера!

В общем, количества отборной клюквы и «тамбовских полков конных водолазов-хакеров», которые сегодня вешают на доверчивые уши американских налогоплательщиков, уже превосходят все мыслимые пределы. Впрочем, чего только не расскажешь в финском лагере для беженцев…

Смеяться или плакать?

Конечно, история с «русскими хакерами» выглядит все более и более гротескно. Попытка администрации Обамы максимально осложнить будущие взаимоотношения нового президента Дональда Трампа с Россией приобретает все более уродливые и смешные формы. В общем-то, простой вопрос — а что собирается применять Госдеп в качестве ограничительных мер для российских ГРУ или ФСБ? Регистрацию агентов на границе? Постановку на учет явочных квартир? Арест счетов министерства обороны России? Вот и приходится отыгрываться на российских дипломатах — получая в ответ столь же ожидаемые ответные санкции.

Хочется верить, что сюжет «Абырвалга и Ластика, которые вместе с ФСБ и ГРУ взламывают Америку» останется неумной выходкой уходящей администрации, а американские демократы смиряться с тем, что их политика лжи и двуличия уйдет в прошлое вместе с Бараком Обамой.