Журнал "Компьютерра" №710
Шрифт:
Увиденное за дверью стало для Джексона полной неожиданностью. Gozi оказался не внутренней разработкой взломщиков, созданной для своих нужд. Не предназначался троян и для продажи. Он был основой сервиса, своебразного криминального магазина самообслуживания. Пользователь системы, имеющий аккаунт, мог подписаться на доступ в течение месяца к информации, поступающей с каких-то Gozi-инфицированных машин по цене от $1000 за штуку. Войдя в систему, пользователь видел список "своих" троянов и мог анализировать полученные от них "передачи". Насколько удачным оказывался "улов" и как клиент преобразовывал украденные данные в деньги - было уже проблемой подписчика. Чаще всего подписчики продавали добытые сведения на черном рынке тем людям, которые непосредственно
Владельцы 76service этим не занимались - точнее, могли не заниматься. Они в первую очередь предоставляли сервис и делали все на благо своих клиентов. Помимо базового комплекта, за небольшую плату они могли провести дополнительный анализ и просеивание информации - например, отобрать из всех поступающих данных только те, которые относились к клиентам определенного банка.
Все как в "большом мире". Не единичные "спецоперации" - атаки и взлом компьютеров, - а хорошо отлаженный механизм, конвейер и готовое "решение" (выражаясь современным бизнес-языком), допускающее четкое разделение труда и создание длинных цепочек потребления. На примере Gozi и 76service мы видим развитие теневой экономики malware. Борьба с киберпреступностью будет неэффективна до тех пор, пока не будут учитываться свойства этой экономики.
В настоящий момент сайт 76service.com не открывается, а троян Gozi детектируется основными антивирусами. Но это трудно назвать победой: в середине марта 2007 сайт тоже на время закрывался, но спустя буквально несколько дней он появился вновь, переехав на хостинг где-то в Гонконге и выпустив новую версию трояна. Вполне вероятно, что сейчас функционирует аналогичный сервис, работающий на другом домене и использующий очередную модификацию трояна, сигнатура которого еще не добралась до антивирусных баз. Может быть, он перехватывает данные и с вашего компьютера всякий раз, когда вы вводите свой платежный пароль в Яндексе.
Для простоты, будем считать, что какой-то большой и сложный продукт - например, Windows 2000 - содержит 1 миллион ошибок, причем каждая ошибка "проявляется" в среднем раз в 1 миллиард часов. Предположим, что Падди работает на Ирландскую Республиканскую армию и его задача - взломать компьютер Британской армии, чтобы получить список информаторов в Белфасте; задача Брайана - остановить Падди. Чтобы это сделать, ему нужно узнать об ошибках первым.
Падди работает в одиночку и может потратить на тестирование только тысячу часов в год. У Брайана есть доступ к полному исходному коду Windows, десятки кандидатов наук в подчинении, контроль за исследовательскими коммерческими компаниями, прямой доступ к CERT и соглашение об обмене информацией с компетентными службами Англии и США. Кроме того, он имеет возможность посылать консультантов на стратегически важные объекты (например, в сфере энергетики и телекоммуникаций), дабы объяснять сотрудникам этих объектов, как им лучше защищать свои системы. Допустим, что Брайан и его подчиненные тратят в общей сложности 10 миллионов часов в год на тестирование.
Через год Падди найдет одну ошибку, тогда как Брайан найдет сто тысяч. Однако вероятность того, что Брайан нашел ту же ошибку, что и Падди, равна 10%. Через десять лет он найдет ее - но за это время Падди найдет еще девять, и вряд ли Брайан будет к тому моменту знать их все. Более того: отчеты Брайана об ошибках станут литься таким потоком, что Microsoft просто перестанет обращать на них внимание.
Ross Anderson, "Why Information Security is Hard - An Economic Perspective"
История 76service - лишь эпизод, показывающий, как сейчас выглядит индустрия malware. Другой тревожный сигнал - появление множества "наборов юного взломщика" и конструкторов "сделай троянца своими руками". Подобные приложения позволяют легким движением руки комбинировать последние достижения передовой мысли компьютерного андеграунда, создавая уникальные средства заражения. В качестве примера можно привести MPack - набор серверных скриптов (классическая связка PHP+MySQL) с дружественным интерфейсом и удобной системой администрирования, позволяющий проникать в компьютер жертвы и устанавливать на нем вредоносное ПО с помощью одного из
множества эксплойтов в популярных программах, а также через iframe-дыры на сайтах. Как и положено, программа умеет автоматически обновлять свои базы дыр. Вам это ничего не напоминает? По данным PandaLabs на лето этого года, стоит такая игрушка около тысячи долларов - не слишком высокая цена за подобное чудо технической мысли."Продолжающаяся разработка MPack свидетельствует о том, что преступники вовсю используют преимущества онлайнового мира для получения прибыли, - пишет исследователь компании Symantec Хон Ло (Hon Lau) в корпоративном блоге.
– В компьютерной преступности риск быть пойманным очень мал; еще меньше риск физической опасности… Поэтому неудивительно, что новые типы атак и апдейты к существующим продолжают появляться".
Есть и гораздо более дешевые решения - 20–40 долларов за штучку (TrafficPro). Есть конструкторы (такие как Pinch), позволяющие с помощью интуитивно понятного интерфейса настроить все параметры будущего трояна (протокол обратной связи, способ автозапуска, вид деятельности, метод кодирования, необходимость отключения антивирусного ПО и т. д.). Есть удобные системы, позволяющие рассылать спам и заражать форумы, работающие на самых разных движках.
Порог вхождения в индустрию компьютерной преступности снизился до минимума. Открытые форумы взломщиков можно найти с помощью Google, а чтобы выйти на виртуальную "большую дорогу" и начать "зарабатывать" реальные деньги, достаточно иметь несколько десятков долларов стартового капитала. В то же время техническое оснащение взломщиков вполне сопоставимо с техническим оснащением антивирусных компаний.
Процветание и устойчивость экономики компьютерной преступности обусловлены рядом причин, порой уникальных. Редактор CSO Magazine Скотт Беринато говорит о проблеме "распределенного ущерба" (distributed pain): если украсть у миллиона людей по одному доллару, скорее всего никто из них этого даже не заметит - и уж точно не станет вызывать полицию и писать жалобы, даже если "ограбление" происходит с регулярностью раз в месяц. А современные глобальные технологии позволяют делать именно это. Примерно той же позиции придерживаются многие банки - защищая свои системы настолько, насколько этого требует законодательство, они готовы списывать периодические потери от киберпреступности на "допустимые издержки" (закладывая их, естественно, в стоимость своих услуг, процентные ставки и т. д.).
"Аналогичная ситуация с правоохранительными органами, - Скотт цитирует Джима Малони (Jim Maloney), бывшего CSO Amazon.com, в настоящий момент - владельца собственный консалтинговой компании.
– До тех пор, пока не поступит достаточно информации от множества жертв и не станет ясно, что речь идет об одной большой проблеме, необходимых для ее решения ресурсов просто никто не выделит".
С другой стороны, распределенная структура преступных корпораций и длинные "цепочки потребления" позволяют "размазывать" риски по всем участникам этого рынка - точно так же, как в наркобизнесе. Разделение труда приводит к повышению устойчивости всей системы. Для наркомафии арест одного наркокурьера - все равно что слону дробинка. Так и арест одного разработчика трояна не затронет "клиентов" его сервиса, и через какое-то время аналогичный сервис появится в другом месте и с участием других людей.
Мир информационный безопасности подвергался государственному регулированию с самых первых дней своего существования, хотя поначалу это регулирование не имело ничего общего с вопросами честной конкуренции. Первые действия касались нераспространения: государство использовало экспортные лицензии и контроль над финансированием исследований, чтобы ограничить доступ к криптографии на как можно более долгий срок. Этот процесс прекратился лишь к началу нынешнего века.
Ландфехр (Landwehr) описывает попытки правительства США разобраться с проблемой "лимонного рынка" в мире компьютерной безопасности, начатые в середине 1980-х. Во-первых, речь идет об исправлении схемы государственного тестирования и сертификации ПО (о так называемой "Оранжевой Книге", "Orange Book"), но это исправление лишь породило новые проблемы. Желание менеджеров упростить процесс сертификации самого свежего софта привело к тому, что производителям было достаточно показать, что процесс начат, хотя зачастую он так никогда и не заканчивался. Также возникали проблемы взаимодействия с системами союзников - Англии, Германии и пр.