Вірус для ФСБ. Хто і навіщо зламав підрядника російської спецслужби
Хакери зламали сервер московської IT-компанії "Сайтэк", що виконує підряди для Федеральної служби безпеки РФ (ФСБ). Відповідальність за злом взяла на себе група 0v1ru$ (можна прочитати як "овирус або зеровирус", яка поділилася викраденими даними з колегами з відомої організації Digital Revolution, а та, в свою чергу, передала їх "Російській службі BBC".
Завдяки цьому, власне, і стало відомо, що загальний обсяг даних, які потрапили в руки хакерів, - 7,5 терабайт. Саме така цифра видно на скріншоті 0v1ru$ у Twitter аккаунт вже недоступний). Другий скріншот показав, що більша частина цих даних вже видалена. Який масив інформації потрапив в руки Digital Revolution і BBC, сказати складно. Можливо, весь. Але і опублікованих даних з лишком вистачило, щоб розкрити проекти, що виконуються компанією для російських спецслужб.
Гендиректором "Сайтэка", офіс якої розташований за адресою провулок Холодильний, будинок №3, корпус 1, будівля 4, значиться хтось Краюшкін Денис В'ячеславович. У цьому ж будинку розташовується ряд урядових установ: відділ теруправління Роспортребнадзора, Відділ внутрішніх справ, охорона МВС, міжрайонна прокуратура. Крім того, в списку наукових консультантів ще эфэсбэшного інституту і також замовника "Сайтэка" - НДІ "Квант" - є Краюшкін В'ячеслав Владиленович, ймовірно батько гендиректора IT-компанії. Примітно, що цей же НДІ в 2018 р. піддавався атаці з боку групи Digital Revolution. Так що і "Квант", і "Сайтэк" вже давно потрапили в поле зору хактивістів. І після зламу, що стався більше тижня тому, сайт компанії лежить.
Як пише BBC, сума контрактів "Сайтэка" за минулий рік досягла 40 млн рублів ($635 тис.). Серед замовників зазначаються інформаційно-аналітичний центр судового департаменту при Верховному суді Росії і оператор супутникового зв'язку АТ "РТ Комм.ру". Це, скажімо так, "безневинна" верхівка айсберга. З викрадених хакерами даних стало відомо, що більшу частину таємних проектів московська компанія виконувала на замовлення військової частини №71330, яку експерти з кібербезпеки з Естонії пов'язують з 16-м управлінням ФСБ. Його спеціалізація - радіоелектронна розвідка. І це ж управління ще в 2015 р. звинувачувалося українською Службою безпеки у фішингу, направленому на військовослужбовців і співробітників спецслужб України.
"На-на-на-на-на-на"
Так яку ж роботу "Сайтэк" виконувала в цілому для ФСБ і "Кванта"? Серед її проектів: "Наутілус", "Наутілус-З", "Нагорода", "Наставник", "Надія", "Податок-3", "Москіт". Це софт, метою якого так чи інакше є стеження і контроль.
"Наутілус" - створена в 2009-2010 рр. за 18,5 млн рублів (майже $294 тис. за нинішнім курсом, або приблизно вдвічі більше за курсом 2009 р.). Завданням цього софта був збір даних про користувачів соцмереж. BBC уточнює, що не вдалося з'ясувати, чи знайшла компанія замовника для продукту. Хоча, ймовірно, застосування "Наутилусу" все ж знайшлося, враховуючи те, як жваво в Росії знаходять і штрафують різного роду "екстремістів" за пости в соцмережах.
"Наутілус-З" - наступник попередньої програми, "народжений" в 2012 р. Її "Сайтэку" замовив той самий НДІ "Квант" для розкриття користувачів браузера Tor, користується популярністю для анонімного серфінгу як у видимому сегменті мережі, так і в прихованому - даркнете.
"Нагорода". Призначена для моніторингу ще одного об'єкта уваги російських властей, а саме - торрент-трекера. Над "Нагородою" компанія працювала в 2013-2014 рр. "Сайтэк" повинен був продумати інструменти для "проникнення і прихованого використання ресурсів пірінгових (обміну великими файлами між користувачами, тобто торренти) і гібридних мереж". Компанія шукала уразливості в BitTorrent, а також у протоколах Jabber, OpenFT і ED2K. До речі, досить цинічне назва: качаєш фільм, отримай за це шпигунський софт.
"Наставник" - ще один продукт, над яким "Сайтэк" за замовленням військової частини №71330 працював у 2013-2014 рр. Завдання "Наставника" - моніторинг вмісту електронних скриньок, що цікавлять замовника.
"Надія". Період розробки той же, що і у "Наставника" і "Нагороди". Та ж частина замовила його для збору і візуалізації даних про зв'язку рунета з глобальною мережею.
"Москіт". Замовник той же, терміни - 2015 р. Софт створювався для анонімного пошуку і збору інформаційних матеріалів мережі Інтернет", приховуючи при цьому "інформаційний інтерес".
"Податок-3" - програма для ручного втручання в базу даних Федеральної податкової служби РФ. Формально - заради осіб, які перебувають під держохороною або держзахистом. Однак зрозуміло, що видалити з бази ФНС можуть будь-кого, у кого знайдеться достатня для цього сума.
Ще один проект, над яким працювала "Сайтэк", носив назва "Гривня". Очевидно, що він мав відношення до Україні. Судячи з назви, мова, мабуть, йшла про фінансову систему і можливе втручання в її роботу. Його функціонал невідомий. І, швидше за все, таким і залишиться, оскільки хакери вже видалили дані.
"Суверенний" інтернет
Виходячи з цілей розробляється софта, є сенс припустити, що його велика частина була і є гвинтиками загального механізму щодо створення автономного інтернету в Росії. Розмови про це велися приблизно в той же час, коли "Сайтэк" працювала над вищезазначеним програмним забезпеченням.
А вже в цьому році був прийнятий відповідний законопроект - 16 квітня його підтримали в Держдумі, а 22-го - в Раді Федерації. 2 травня документ візував президент РФ Володимир Путін. Закон вступить в силу 1 листопада 2019 р., а повною мірою запрацює з 1 січня 2021 р. За цей час в РФ повинні провести значний обсяг щодо забезпечення автономії рунета.
Фактично ж уряд підминає під себе російський сегмент інтернету. За блокування сайтів відтепер буде відповідати тільки Роскомнадзор, а не провайдери, як раніше. Крім того, вони повинні будуть встановити "технічні засоби протидії загрозам безпеки інтернету", надавати владі всю інформацію про пристрої мереж і DNS-серверах, а також дані про іноземних каналах інтернет-зв'язку.
Ця законодавча ініціатива не обрадувала росіян, особливо молодь, ледве живу опозицію і, власне, хактивістів. І тепер ми впритул підійшли до питання, хто саме стояв за зломом "Сайтэка" - росіяни або іноземні спецслужби?
Дві версії
Перша. Атаку на "Сайтэк" собі в актив можуть записати російські хакери. І здійснити її їм цілком могли допомогти в самій компанії. Досить згадати, що діяльність грози інтернету - хакерської групи Cozy Bear, афілійованої з російськими спецслужбами, - в 2014 р. тривалий час відстежувалася нідерландськими киберспециалистами через зламані web-камери. Ще приклад: атака американського Киберкома на "фабрику тролів" Євгена Пригожина під час проміжних виборів у США в минулому році. Тоді американці закрили тролям вихід інтернет, та так, що ті й не зрозуміли, звідки "прилетіло".
Так що в кіберзахисту російських відомств, компаній і т. п. є дірки, в які хакери при бажанні легко можуть проникнути. Чому б таким дірок не існувати і в самій системі "Сайтэк"? Не по волі компанії, а просто з-за відвертого нехлюйства або нехтування безпекою з виправданням: "Так хто ж насмілиться ламати ФСБ?". Виявилося, що такі сміливці є серед, назвемо це так, представників "електронного підпілля".
Версія друга. За зломом все ж стояли іноземні спецслужби, які потім передали дані російської Digital Revolution. Сама DR не знає, що з себе представляє група 0v1ru$. "Схоже, що група невелика. Незалежно від їх кількості, ми вітаємо їх внесок. Ми раді, що знаходяться люди, які не шкодують свого вільного часу, які ризикують свободою і допомагають нам", - йдеться у повідомленні Digital Revolution в Twitter.
До всього, на відміну від DR, чиї сайт і акаунт в популярному сервісі мікроблогів раніше активні, створена в день атаки на "Сайтэк" обліковий запис 0v1ru$ вже видалена. Швидше за все, за рішенням самої групи, а не після звернення російських спецслужб в Twitter. Тому не виключено, що це все ж були іноземні хакери, таким чином подсобившие місцевим хитати колоса. Зробивши проекти "Сайтэка" надбанням громадськості, хактівістом сприяли припиненню подальшого наступу на права і свободи громадян РФ, а з іншого боку - зірвали терміни створення автономного рунета і остаточного окукливания режиму Путіна з північнокорейської моделі.
До речі, якщо 0v1ru$ все ж діє з-за кордону (для Росії), наприклад, з США, то кібератака на "Сайтэк" - свого роду помста Вашингтона за злом сайтів кількох місцевих відділень Асоціації Національної академії ФБР (FBINNA) в Куантіко і публікацію даних працівників у квітні цього року.
