Shadow Brokers: niewyjaśniona afera, która zmieniła podejście do ryzyka cyfrowego
Redakcja••4 min czytania•1
Zdjęcie: © Prateek Katyal / Unsplash
Źródło: unsplash.com/photos/1OBIO2Z_hYQ
W połowie 2016 roku w sieci pojawiła się grupa podpisująca się jako Shadow Brokers, która opublikowała i zaoferowała na „aukcji” zestaw wyjątkowo zaawansowanych narzędzi hakerskich. Zestaw ten — po analizie przeprowadzonej przez badaczy bezpieczeństwa — został powiązany z tzw. Equation Group, operacją powszechnie przypisywaną służbom wywiadowczym Stanów Zjednoczonych. Publikacja zaczęła się od osobliwej kampanii na Twitterze i odsyłacza do publicznego dokumentu, a później grupa sukcesywnie udostępniła narzędzia szerzej, zamiast zrealizować pierwotną „aukcję”.
Pierwotny post Shadow Brokers był prowokacyjny: odwoływał się do Equation Group, oferował pliki do pobrania i zawierał zaszyfrowany pakiet, który rzekomo miał być odszyfrowany przez kupującego po wpłaceniu znacznej sumy. Styl komunikacji, w tym łamana angielszczyzna i chaotyczne @-wzmianki mediowe, budziły wątpliwości co do profesjonalizmu autorów albo miały być celowym kamuflażem. Mimo usilnych prób media i badacze nie uzyskali jednoznacznej tożsamości osób stojących za kontem; grupa udzieliła jednej krótkiej rozmowy dziennikowi, a potem zniknęła, pozostawiając za sobą zbiór narzędzi.
Analiza plików ujawniła zestaw wysokiej klasy exploitów i narzędzi do inwigilacji, wśród których znalazły się m.in. luki w systemach Windows znane jako EternalBlue. Tego typu zero‑dayy pozwalały atakującym przedostać się do sieci ofiary, rozprzestrzeniać dostęp i wdrażać samoreplikujące się oprogramowanie. Po publikacji narzędzi różne grupy przestępcze i państwowe zaadoptowały je do własnych operacji: EternalBlue posłużył do rozprzestrzenienia
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Wyciek potwierdził też część hipotez badaczy, ponieważ niektóre pliki nosiły nazwy zgodne z tymi ujawnionymi przez Edwarda Snowdena, co wzmocniło domniemanie, że źródłem narzędzi mogły być zasoby jednej z agencji wywiadowczych. Choć pierwotna „aukcja” wyglądała na próbę komercjalizacji narzędzi, ostateczne ich publiczne upublicznienie oznaczało, że inteligencja zgromadzona przez służby nie pozostała dłużej tajna i mogła zostać wykorzystana przez szerokie spektrum aktorów.
Mimo intensywnych analiz i podejrzeń, tożsamość osób lub podmiotu stojących za Shadow Brokers pozostaje nierozstrzygnięta. W toku śledztw pojawiły się różne hipotezy: wskazywano zarówno na wewnętrznego informatora lub byłego pracownika agencji, jak i na zewnętrzną operację dezinformacyjną prowadzoną przez obce służby. Jednym z podejrzanych był Harold T. Martin III, kontrahent jednego z amerykańskich wywiadów, zatrzymany za kradzież materiałów. Jednak problemem tej teorii było to, że aktywność Shadow Brokers kontynuowała się także wtedy, gdy Martin był w areszcie, a on sam nie został oficjalnie oskarżony w związku z tym konkretnym wyciekiem.
Najczęściej dyskutowaną wersją pozostaje możliwość, że Shadow Brokers były instrumentem operacji tworzonej przez grupę państwową, mającą na celu m.in. propagandę i dezinformację. Taka interpretacja tłumaczyłaby niektóre elementy przedstawionych komunikatów i ich strategiczny timing, jednak brakuje publicznie dostępnych, jednoznacznych dowodów potwierdzających tę wersję.
Najważniejszą lekcją płynącą z afery jest to, że podatności gromadzone i wykorzystywane przez służby wywiadowcze nie pozostają wiecznie tajne. Gdy takie narzędzia wyciekają, trafiają również do cyberprzestępców, którzy mogą je użyć przeciwko firmom i infrastrukturze krytycznej. Firmy, które polegają wyłącznie na wewnętrznej odporności lub zakładają, że państwowe zasoby „chronią” systemy, narażają się na ryzyko. Incydent pokazał też, jak szybko narzędzia opublikowane w sieci mogą zostać zaadaptowane i zmodyfikowane, co zwiększa zasięg i efekt szkód.
Dla zespołów bezpieczeństwa sprawa ta oznacza konieczność aktualizacji podejścia do zarządzania ryzykiem: priorytetem stały się szybkie wdrożenia poprawek, inwentaryzacja powierzchni ataku, monitorowanie anomalii i planowanie scenariuszy reagowania na incydenty. Równocześnie incydent uwidocznił debatę publiczną i polityczną na temat tego, w jakim stopniu agencje powinny gromadzić i przechowywać informacje o niezałatanych podatnościach, zamiast zgłaszać je producentom oprogramowania.
Zbiór narzędzi publikowany przez Shadow Brokers wciąż jest przedmiotem badań; badacze od czasu do czasu identyfikują w nim starsze projekty i próbki z wcześniejszych lat, co przypomina, że takie archiwa mogą zawierać historyczne ślady operacji wywiadowczych. Przykładem jest odnalezienie projektu opatrzonego etykietą sugerującą powiązania z narzędziami używanymi wobec pewnych programów naukowych z połowy pierwszej dekady XXI wieku. Dla sektora prywatnego i organów regulacyjnych ważne jest wyciągnięcie wniosków: transparentność, odpowiedzialne ujawnianie podatności i międzynarodowa współpraca w celu ograniczenia szkód po wyciekach mogą zmniejszyć prawdopodobieństwo powtórzenia podobnych incydentów.
Choć sprawa Shadow Brokers pozostaje wewnętrzną tajemnicą, jej konsekwencje są namacalnym przypomnieniem, że cyberbezpieczeństwo to kwestia systemowa. Zarówno przedsiębiorstwa, jak i władze publiczne muszą uwzględniać ryzyko wycieków z instytucji, które dysponują zaawansowanymi narzędziami ofensywnymi, i wdrażać mechanizmy ograniczające skutki takich zdarzeń.
Forma sprzedaży, w której przedmiot otrzymuje osoba oferująca najwyższą zaakceptowaną cenę. W przypadku dzieł sztuki aukcję zwykle prowadzi wyspecjalizowany dom aukcyjny.
Brak komentarzy. Bądź pierwszy!
