З огляду на цю статтю про операцію «Аврора», які компанії були націлені на атаки?
Операція «Аврора» була серією кібератак, проведених передовими постійними загрозами, такими як Elderwood Group, що базується в Пекіні, Китай, з зв'язками з Народною визвольною армією. Вперше публічно розкриті Google 12 січня 2010 року в блозі, атаки почалися в середині 2009 року і тривали до грудня 2009 року.

Атака була спрямована на десятки інших організацій, з яких Adobe Systems, Akamai Technologies, Juniper Networks і Rackspace публічно підтвердили, що вони були спрямовані. Згідно з повідомленнями ЗМІ, Yahoo, Symantec, Northrop Grumman, Morgan Stanley і Dow Chemical також були серед цілей.

Як наслідок атаки, Google заявив у своєму блозі, що планує експлуатувати повністю нецензуровану версію своєї пошукової системи в Китаї "в рамках закону, якщо взагалі", і визнав, що якщо це неможливо, він може залишити Китай і закрити свої китайські офіси. Офіційні китайські джерела стверджують, що це була частина стратегії, розробленої урядом США.

Атаку назвав «Операція Аурора» Дмитро Альперович, віце-президент з досліджень загроз у компанії з кібербезпеки McAfee. Дослідження McAfee Labs виявили, що "Aurora" була частиною файлового шляху на комп'ютері нападника, який був включений до двох збірок шкідливого програмного забезпечення, які, за словами McAfee, були пов'язані з атакою. "Ми вважаємо, що це ім'я було внутрішньою назвою, яку нападник дав цій операції", - сказав головний технологічний директор McAfee Джордж Курц в блозі.

За словами McAfee, основною метою атаки було отримання доступу до та потенційно модифікація сховищ вихідного коду у цих високотехнологічних, безпекових та оборонних підрядних компаній. «[СЦМ] були широко відкриті», – каже Альперович. "Ніхто ніколи не думав про те, щоб захистити їх, але це були коронні коштовності більшості цих компаній в багатьох відношеннях - набагато більш цінні, ніж будь-які фінансові або особисті дані, які вони можуть мати і витрачати так багато часу і зусиль на захист".

Історія

Квіти залишили біля штаб-квартири Google в Китаї після оголошення про те, що вона може залишити країну
12 січня 2010 року компанія Google повідомила в своєму блозі, що стала жертвою кібератаки. Компанія заявила, що напад стався в середині грудня і походить з Китаю. Компанія Google заявила, що було атаковано понад 20 інших компаній; інші джерела з тих пір цитують, що більш ніж 34 організації були атаковані. В результаті атаки Google заявив, що переглядає свій бізнес в Китаї. Того ж дня держсекретар США Гілларі Клінтон випустила коротку заяву, в якій засудила атаки і зажадала відповіді з боку Китаю.

13 січня 2010 року прес-служба All Headline News повідомила, що Конгрес Сполучених Штатів планує розслідувати звинувачення Google в тому, що китайський уряд використовував послугу компанії для шпигунства за правозахисниками.

У Пекіні відвідувачі залишили квіти поза офісом Google. Однак пізніше вони були видалені, а китайський охоронець заявив, що це "незаконна данина квіту". Китайський уряд ще не видав офіційної відповіді, хоча анонімний чиновник заявив, що Китай шукає більше інформації про наміри Google.

Учасники нападу
Додаткова інформація: Кібервійни з боку Китаю
Технічні докази, включаючи IP-адреси, доменні імена, підписи шкідливого програмного забезпечення та інші фактори, показують, що Elderwood стояв за атакою Operation Aurora. Група «Elderwood» була названа компанією Symantec (після змінної коду джерела, яку використовували нападники), і називається «Пекінською групою» компанією Dell Secureworks. Група отримала частину джерельного коду Google, а також доступ до інформації про китайських активістів. Elderwood також націлився на численні інші компанії в галузі судноплавства, авіації, озброєння, енергетики, виробництва, інженерії, електроніки, фінансів та програмного забезпечення.

Назва «APT» для китайських акторів загроз, відповідальних за атаку Google, називається APT17.

Elderwood спеціалізується на атаці та інфільтрації постачальників оборонної промисловості другого рівня, які виробляють електронні або механічні компоненти для провідних оборонних компаній. Ці фірми потім стають кібер- "колісничим каменем" для отримання доступу до першокласних оборонних підрядників. Однією з процедур атаки, яку використовує Elderwood, є зараження законних веб-сайтів, які відвідують співробітники цільової компанії - так звана атака "водяної діри", так само, як леви виставляють поливну діру для своєї здобичі. Elderwood заражає ці менш безпечні сайти з шкідливим програмним забезпеченням, яке завантажується на комп'ютер, який натискає на сайт. Після цього група здійснює пошук всередині мережі, до якої підключений заражений комп'ютер, знаходячи, а потім завантажуючи електронні листи керівників і критичні документи про плани компанії, рішення, придбання та дизайни продуктів.

Аналіз атаки
У своєму блозі Google заявила, що частина її інтелектуальної власності була викрадена. Він припускав, що нападники зацікавлені в доступі до акаунтів Gmail китайських дисидентів. За даними Financial Times, два акаунти, які використовував Ай Вейвей, були атаковані, їх зміст прочитаний і скопійований; його банківські рахунки були розслідувані агентами державної безпеки, які стверджували, що він перебуває під розслідуванням за "невизначені підозрілі злочини". Однак нападники змогли переглянути деталі лише на двох облікових записах, і ці деталі були обмежені такими речами, як тема та дата створення облікових записів.

Експерти з безпеки відразу ж відзначили витонченість атаки. Через два дні після того, як атака стала публічною, McAfee повідомила, що нападники скористалися передбачуваними вразливими можливостями нульового дня (невиправленими і раніше невідомими розробникам цільової системи) в Internet Explorer і назвали атаку "Операція Аурора". Через тиждень після звіту McAfee, Microsoft випустила виправлення проблеми, і визнала, що знала про діру в безпеці, яка використовується з вересня. Додаткові уразливості були виявлені в Perforce, програмному забезпеченні для перегляду вихідного коду, яке використовується Google для управління їхнім вихідним кодом.

VeriSign iDefense Labs стверджує, що атаки були здійснені «агентами китайської держави або її агентами».

Згідно з дипломатичним кабелем посольства США в Пекіні, китайське джерело повідомило, що китайське Політбюро направило вторгнення в комп'ютерні системи Google. Кабель припускав, що атака була частиною скоординованої кампанії, яку виконали "урядові агенти, експерти з громадської безпеки та інтернет-законники, які були рекрутовані китайським урядом". У доповіді йдеться про те, що це була частина тривалої кампанії, в якій нападники "втратили в комп'ютери американського уряду і в комп'ютери західних союзників, Далай-лами і американських компаній з 2002 року". Згідно з повідомленням The Guardian про витік, атаки були «оркестровані старшим членом Політбюро, який вписав своє ім'я в глобальну версію пошукової системи і знайшов статті, що критикують його особисто».

Після того, як система жертви була скомпрометована, підключення, що маскувалося як підключення SSL, створило підключення до командних і контрольних серверів, що працюють в Іллінойсі, Техасі та Тайвані, включаючи машини, які працювали під вкраденими обліковими записами клієнтів Rackspace. Машина жертви потім почала досліджувати захищену корпоративну інтранет, частиною якої вона була, шукаючи інші вразливі системи, а також джерела інтелектуальної власності, зокрема, вміст сховищ вихідного коду.

Вважалося, що атаки остаточно закінчилися 4 січня, коли сервери командування і управління були збиті, хоча на даний момент невідомо, чи навмисно нападники закрили їх. Однак атаки продовжувалися ще з лютого 2010 року.

Реакція та наслідки
Німецькі, австралійські та французькі уряди публічно попередили користувачів Internet Explorer після атаки, порадивши їм використовувати альтернативні браузери принаймні до тих пір, поки не буде зроблено виправлення. Німецькі, австралійські та французькі уряди вважали всі версії Internet Explorer вразливими або потенційно вразливими.

У своїй консультації 14 січня 2010 року Microsoft заявила, що нападники, які націлені на Google та інші американські компанії, використовували програмне забезпечення, яке експлуатує діру в Internet Explorer. Уразливість стосується версій Internet Explorer 6, 7 і 8 на Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2, а також IE 6 Service Pack 1 на Windows 2000 Service Pack 4.

Використаний в атаці експлуатаційний код Internet Explorer був випущений у публічний домен і був включений до інструменту тестування проникнення Metasploit Framework. Копія експлуатації була завантажена в Wepawet, послугу для виявлення та аналізу веб-зловмисного програмного забезпечення, що управляється комп'ютерною групою з безпеки в Університеті Каліфорнії, Санта-Барбара. "Публічне випущення експлуатаційного коду збільшує можливість широко поширених атак з використанням вразливості Internet Explorer", - сказав Джордж Курц, CTO McAfee, про атаку. "Зараз публічний комп'ютерний код може допомогти кіберзлочинцям створювати атаки, які використовують вразливість для компромісу систем Windows".

Компанія Websense заявила, що виявила "обмежене громадське використання" незапакованої вразливості IE в атаках на користувачів, які заблукали на шкідливі веб-сайти. За даними Websense, код атаки, який він помітив, такий же, як і експлуатація, яка стала публічною минулого тижня. "Користувачі Internet Explorer в даний час стикаються з реальною і нинішньою небезпекою через публічне розкриття вразливості та випуск коду атаки, що збільшує можливість широкомасштабних атак", - сказав Джордж Курц, головний технічний директор McAfee, в оновленні блогу. Підтверджуючи цю спекуляцію, Websense Security Labs ідентифікувала додаткові сайти, що використовують експлуатацію 19 січня. Згідно з повідомленнями Ahnlab, другий URL був поширений через мережу Instant Messenger Misslee Messenger, популярний клієнт IM в Південній Кореї.

Дослідники створили код атаки, який використовує вразливість в Internet Explorer 7 (IE7) і IE8 - навіть коли включена рекомендована захисна міра Microsoft (Data Execution Prevention (DEP)). За словами Дино Дай Зові, дослідника вразливостей в галузі безпеки, «навіть найновіший IE8 не захищений від атак, якщо він працює на Windows XP Service Pack 2 (SP2) або раніше, або на Windows Vista RTM (випуск до виробництва), версії Microsoft, поставлені в січні 2007 року».

Корпорація Майкрософт визнала, що використовувана діра була відома їм з вересня. Робота над оновленням була пріоритетною, і в четвер, 21 січня 2010 року, корпорація Майкрософт випустила пакет безпеки, спрямований на протидію цій слабкості, опублікованим експлуатаціям, заснованим на ньому, та низці інших приватно повідомлених уразливостей. Вони не уточнили, чи використовували або опублікували експлуатанти будь-яку з останніх, або чи мали вони який-небудь особливий зв'язок з операцією Aurora, але весь кумулятивний оновлення було названо критичним для більшості версій Windows, включаючи Windows 7.

Дослідники безпеки продовжували розслідувати атаки. HBGary, компанія з безпеки, опублікувала звіт, в якому заявила, що знайшла деякі значні маркери, які можуть допомогти ідентифікувати розробника коду. Компанія також заявила, що код заснований на китайській мові, але не може бути спеціально пов'язаний з будь-яким урядовим суб'єктом.

19 лютого 2010 року експерт з безпеки, який розслідував кібератаку на Google, стверджував, що люди, які стоять за атакою, також були відповідальними за кібератаки, здійснені на кілька компаній Fortune 100 протягом останніх півтора років. Вони також відстежили атаку до її походження, яке, здається, є двома китайськими школами, Шанхайським університетом Цзяо Тонг і Лансіанською професійною школою. Як підкреслює The New York Times, обидві ці школи мають зв'язки з китайською пошуковою системою Baidu, конкурентом Google China. Як Lanxiang Vocational, так і Jiaotong University заперечують ці звинувачення.

У березні 2010 року Symantec, яка допомагала розслідувати атаку на Google, визначила Shaoxing як джерело 21,3% всіх (12 мільярдів) шкідливих електронних листів, відправлених по всьому світу.

Ретроспекція Google
3 жовтня 2022 року Google на YouTube випустив серію з шести епізодів, що охоплює події, що відбулися під час операції «Аврора», з коментарями інсайдерів, які займалися атакою, хоча основним акцентом серії було заспокоєння громадськості, що використовує Google, що вжиті заходи для протидії хакерським спробам.
Google, Adobe Systems, Akamai Technologies, Juniper Networks, Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley і Dow Chemical, здається, були націлені на ці атаки. Деякі публічно підтвердили це, в той час як інші стверджували, що вони націлені в ЗМІ.