Co chciał ukryć Belgacom, czyli jak walczy się z włamaniem obcego wywiadu

dodał 13 grudnia 2014 o 15:33 w kategorii Prywatność, Włamania  z tagami: •
Co chciał ukryć Belgacom, czyli jak walczy się z włamaniem obcego wywiadu

Rok temu ujawniono włamanie do serwerów dużego operatora telekomunikacyjnego Belgacom. Myśleliśmy, że wiemy o tym zdarzeniu prawie wszystko, tymczasem jest nadal pełne zagadek. Dlaczego firma przerwała śledztwo i co chciała ukryć?

Temat ataku do dużego belgijskiego operatora telekomunikacyjnego regularnie przewija się na naszych łamach. Jeśli jeszcze nie czytaliście naszych wpisów na ten temat, to proponujemy zacząć lekturę od ujawnienia faktu i skali włamania, następnie możecie sprawdzić, skąd wiemy, że włamał się brytyjski wywiad oraz zobaczyć analizę złośliwego oprogramowania użytego w ataku.  Przeczytaliście? To zapraszamy do kolejnej odsłony tej fascynującej historii.

Gdyby nie serwer pocztowy

Belgacom to nie tylko narodowy operator telekomunikacyjny. Włamywaczy najbardziej interesowała centrala wymiany ruchu roamingowego. Mając nad nią kontrolę mogliby przeprowadzać ataki MiTM na telefony komórkowe osób korzystających na całym świecie z roamingu – Belgacom (przez spółkę BICS) obsługuje ok. 1/3 takiego ruchu. Jak się pewnie domyślacie, firma tej skali posiada rozbudowany dział bezpieczeństwa. Jak zatem wykryto włamanie? Po latach obecności włamywaczy w sieci pomogła awaria serwera pocztowego.

Pierwsze problemy z pocztą pojawił się latem 2012. Wiadomości nie docierały do pracowników i nikt nie potrafił wskazać źródła problemu. Zjawisko występowało sporadycznie do czerwca 2013, kiedy to problem się nasilił i zaangażowano więcej zasobów w celu ustalenia jego przyczyny. Kiedy nawet Microsoft nie potrafił znaleźć rozwiązania, zespół bezpieczeństwa firmy postanowił zatrudnić ekspertów, którzy mieli zweryfikować, czy nie doszło do niezauważonej infekcji systemu. Zlecono to zadanie największej firmie w regionie, czyli Fox-IT. Jej specjaliści szybko natrafili na ślad nieznanego wcześniej złośliwego oprogramowania, które kolidowało z funkcją aktualizacji Windows powodując problemy. Po miesiącu, zdając sobie sprawę ze skali i stopnia zaawansowania technicznego włamywaczy, zawiadomiono krajowe służby bezpieczeństwa. Poziom złożoności odkrytego oprogramowania nie miał precedensu – dopiero po ponad roku dowiedzieliśmy się, że był to niezwykle zaawansowany koń trojański, ochrzczony mianem Regin.

Slajd z archiwum Snowdena (źródło: Der Spiegel)

Slajd z archiwum Snowdena (źródło: Der Spiegel)

Infekcja krok po kroku

Dokumenty wyniesione przez Snowdena oraz wywiady z osobami zaangażowanymi w śledztwo pozwoliły magazynowi The Intercept na odtworzenie skomplikowanej ścieżki prowadzącej do infekcji. GCHQ zaczęła od zidentyfikowania pracowników firmy, których komputery i uprawnienia były szczególnie cenne. Na podstawie ogromnych baz wiedzy wytypowano trzech administratorów sieci, odpowiedzialnych za zarządzanie jej kluczowymi komponentami. Według ujawnionych dokumentów GCHQ posiada bazę osób pracujących w centrach nadzoru sieci u wszystkich większych operatorów telekomunikacyjnych – na wszelki wypadek.

Znając już swoje ofiary, GCHQ sięgnęła do kolejnej bazy, która pozwoliła na powiązanie tych osób z konkretnymi używanymi przez nie adresami IP oraz zestawami ciasteczek, które były przypisane do ich kont. Tak, GCHQ magazynuje miliardy ciasteczek w celu identyfikacji zwyczajów konkretnych użytkowników znajdujących się w jej zainteresowaniu. Na podstawie tych informacji określono strony, które odwiedzali inżynierowie znajdujący się na celowniku. Z dokumentów wynika, że do właściwego ataku wybrano LinkedIn oraz Slashdot. Następnie GCHQ przeprowadziło atak Quantum Insert, w którym podstawiło fałszywe serwery WWW, infekujące przeglądarki ofiar. To pozwoliło zdobyć pierwszy przyczółek w sieci firmy.

Atak na administratorów miał miejsce w styczniu 2011, natomiast w grudniu 2011 GCHQ chwali się w swoich dokumentach uzyskaniem nieskrępowanego dostępu do sieci VPN zestawionych przez Belgacom z innymi operatorami sieci oraz do treści połączeń roamingowych. Informacje te stoją w sprzeczności z oświadczeniem firmy, która informowała, że włamywacze nie mieli nigdy dostępu do danych klientów.

Sukcesy GCHQ

Sukcesy GCHQ

Zainfekowane rutery, których proszę nie dotykać

Fox-IT prowadził śledztwo przez kilka miesięcy. W jego trakcie firma zidentyfikowała około 50 zainfekowanych serwerów i 70 zarażonych stacji roboczych. Najciekawsze odkrycie dotyczyło jednak ruterów firmy Cisco, obsługujących większość ruchu Belgacomu. Śledczy odkryli, że również te urządzenia zostały zainfekowane. Kiedy jednak przekazali tę informację szefom Belgacomu, ci zabronili im analizować infekcję ruterów i poinformowali, ze sprawą zajmie się bezpośrednio Cisco. Krótko potem Fox-IT usłyszał, że ma natychmiast zakończyć prace, przygotować raport i nigdy nikomu nie opowiadać o tym, co odkrył. Co więcej, zabroniono również usuwania złośliwego oprogramowania z miejsc, w których zostało odkryte.

30 sierpnia 2013 część złośliwego oprogramowania została usunięta przez atakujących, którzy najprawdopodobniej dowiedzieli się o wykryciu ich operacji. 14 września Belgacom rozpoczął akcję usuwania modułów konia trojańskiego ze wszystkich urządzeń. Informatorzy The Intercept twierdzą jednak, że operacja czyszczenia sprzętu nie była prowadzona wystarczająco dokładnie i jest spora szansa, że nie była do końca udana. Sam Belgacom twierdzi, że wszystkie przypadki infekcji zostały wyeliminowane.

Kilka teorii

Wywiad zaprzyjaźnionego kraju buszował w sieci Belgacomu od półtora roku, zanim został wykryty. Do wykrycia doszło jedynie przez zbieg okoliczności – gdyby nie awaria serwera pocztowego, infekcja mogła trwać dużo dłużej. Być może w innej firmie Regin działa do tej pory niewykryty? O ile firmie wynajętej do usunięcia włamywaczy pozwolono na analizę komputerów, to zabroniono jej zbadać rutery. Czy zostały one zainfekowane po infekcji stacji zarządzających? A może posiadały dodatkowe oprogramowanie zainstalowane już w momencie ich wysyłki od producenta? Taka informacja mogła postawić w bardzo złym świetle Cisco. Tak czy inaczej, dzięki dokumentom wyniesionym przez Snowdena znamy pierwszy dobrze udokumentowany przypadek zaawansowanego ataku na infrastrukturę krytyczną zaprzyjaźnionego państwa. Pierwszy, ale na pewno nie ostatni.

Podobne wpisy