Как США сами вооружили тех, кто отрицает российские хакерские атаки

«Так вышло на прошлой неделе, когда Министерство внутренней безопасности и ФБР опубликовали документ, где российские хакерские атаки разоблачаются с упоминанием технических подробностей. Специалисты разругали этот доклад, назвав его хуже чем бесполезным: таким хаотичным, что он потенциально вредит кибербезопасности, таким бестолковым, что он размывает четкие, публично приведенные доказательства хакерских атак России на Демократическую партию с целью влияния на выборы, и таким ошибочным, что он позволяет конспирологам, сочувствующим Трампу, подыскать альтернативные объяснения этих доказательств», — говорится в статье.

«Доклад неудачен во всех отношениях, — говорит специалист по безопасности Роберт М.Ли. — Он не выполняет поставленную задачу и не дает никакой полезной информации. Они подсовывают индустрии плохую информацию, хотя есть качественная информация».

Автор статьи поясняет, что речь идет о так называем «Совместном аналитическом докладе», который Министерство внутренней безопасности США опубликовало 30 декабря 2016 года. Ожидалось, что в этом документе будут изложены доказательства причастности России к взлому компьютерной сети Национального комитета Демократической партии и электронной почты Джона Подесты, главы избирательного штаба Хиллари Клинтон.

«Но вместо этого доклад — пестрая смесь серьезных советов по безопасности с произвольной выборкой информации о широком спектре хакерских действий. Особое внимание заострено на хорошо известном вредоносном ПО — веб-шелле PAS, используемом криминальными хакерами, но изощренный российский код SeaDuke, примененный при взломе DNC, едва удостоился упоминания», — говорится в статье.

«Вместо того чтобы сосредоточиться на российских разведслужбах, власти США, похоже, предпочли объединить все хакерские действия, исходившие из России, в единую категорию под кодовым названием Grizzly Steppe и свалили ограбления онлайн-банков и кражи личности в одну кучу с кибератаками, которые связываются с Кремлем, — проникновениями в компьютеры Белого дома, Госдепартамента и DNC», — продолжает автор.

Но главное возмущение специалистов вызвала техническая информация, обнародованная вместе с докладом. «Министерство опубликовало 876 IP-адресов, которые, как оно утверждает, связаны с хакерскими действиями Grizzly Steppe, и призвало системных администраторов повсеместно включить их в список для отслеживания», — говорится в статье.

Автор поясняет, что такие списки действительно могут быть полезны, но составлять их следует тщательно и дополнять описаниями контекста.

Ли обнаружил, что список DHS не отвечает этим критериям: в нем, например, оказались адреса шести почтовых серверов Yahoo. А обозреватель The Intercept Мика Ли сообщил, что около 44% адресов — это узлы-выходы в анонимной сети Tor, которую используют далеко не только российские хакеры.

Автор подчеркивает: «Серверы Yahoo, сеть Tor и другие объекты из перечня Министерства внутренней безопасности генерируют огромные массивы законного трафика. А сигнализация, которая срабатывает беспрестанно, совершенно непригодна».

Последствия проявились на прошлой неделе: энергокомпания Burlington Electric из Вермонта по совету министерства добавила адреса в список отслеживания для своей сети. Сработал сигнал тревоги, компания обратилась в федеральные органы, а The Washington Post написала: «Российские хакеры проникли в электросети США через коммунальное предприятие в Вермонте».

Вскоре выяснилось, что тревогу вызвал адрес сервера Yahoo в момент, когда сотрудник Burlington Electric просто проверял электронную почту.

«Доклад The Grizzly Steppe также подкрепляет позиции тех, кто утверждает: неизвестно и не факт, что возможно узнать, кто именно взломал компьютеры DNC и Джона Подесты», — пишет автор. Так, избранный президент США Трамп процитировал в Twitter слова Джулиана Ассанжа: «Подесту мог бы взломать 14-летний подросток».

Такие скептические оценки основываются на интуитивной версии, что нынешняя администрация США публично обвиняет Россию, но не спешит делиться доказательствами. И администрация, опубликовав доклад в таком виде, подкрепила эту версию, сетует Пулсен.

Со своей стороны, автор уверяет: «Серверы DNC исследовала авторитетная фирма по кибербезопасности CrowdStrike, которая в прошлом году публично сообщила о причастности России к хакерским атакам». Конкуренты CrowdStrike поддержали вывод CrowdStrike, что виновники атак — хакерские группировки Fancy Bear и The Dukes, за которыми специалисты индустрии кибербезопасности наблюдают почти 10 лет.

«И практически во всех публичных аналитических докладах об этих двух группировках был сделан вывод (задолго до того, как взлом DNC придал ему политическую окраску), что они, вероятно, контролируются российским правительством», — пишет автор.

«Если вы следите за темой, то все ценные доказательства уже опубликованы, — отметил Ли. — А правительство теперь всех путает».

Между тем министерство выступает в защиту своего списка и призывает системных администраторов отслеживать все сигналы тревоги.