Meghekkelték az NSA csodacsapatát?

Egy magát Árnyékkereskedőknek nevező csoport azt állítja, hogy sikerrel hatoltak be az Amerikai Nemzetbiztonsági Hivatal, az NSA elit hekkercsoportjához, és onnan különlegesen értékes adatokat, köztük az NSA által használt hekkeralkalmazásokat töltöttek le.

Az áldozat állítólag az Equation nevű csoport. Egy független biztonsági cég, a Kaspersky nevezte el őket így, eleve ők derítettek fényt a csoport létére tavaly, részben az Edward Snowden által kiszivárogtatott anyagok alapján. A Kaspersky szerint a Equationt a világ minden részén bevetik, a számítógépes kémnek, betörőnek és kommandósnak is felfogható egység tagjai állhatnak a legkomolyabb vírustámadások, a Stuxnet, a duqu vagy épp a flame mögött. A Kaspersky igazából sosem jelentette ki egyértelműen, hogy az Equation Group az NSA alkalmazásában áll, de elég komoly halom bizonyítékot mutattak be, amely alapján erre nem is volt szükség.

Most ezt a csoportot törték fel valakik, de hogy pontosan mi történt, azt nehéz egyelőre meghatározni. A Shadowbrokers nevű csapat (akik valószínűleg a Mass Effect nevű videojáték egyik elég komoly hatalommal bíró, a háttérből operáló szereplőjétől kölcsönözték a nevüket) hétfőn töltötte fel az első üzeneteket a netre, és bizonyítékként különlegesen fejlett számítógépes támadásokhoz használható programokból való kódrészleteket, az ezekhez készített telepítési és használati utasításokat, tűzfalak áttörését biztosító trükköket adtak közre.

A bizonyosságot tovább erősíti, hogy a közreadott eszközök közül több olyan is van, amelynek neve már Edward Snowden kiszivárogtatott anyagai között is megvolt. A Tumblren és a GitHubon közzétett fájlok elég komoly károkat okozhatnak, de a Shadowbrokers azt mondja, mindez csak a kezdet:

„Mennyit ér meg nektek az ellenség kiberfegyverzete?” – állt az azóta már törölt tumblres oldalon. „Az Equation fájljainak egy részét ingyen odaadjuk, de nem mindent: a legjobb dolgokért aukciót hirdetünk” – folytatódott az üzenet a hekkerektől megszokott fellengzős stílusban. Az ígéretek szerint az áruba bocsátott kód durvább, mint a Stuxnet, márpedig a Stuxnet az a vírus, amelyet az első kiberfegyverként szoktak emlegetni, ráadásul elég sikeres volt: tönkretette Irán urándúsító centrifugáit, és évekkel vetette vissza az ország atomprogramját.

De tényleg meghekkelhették a fő hekkereket?

A szivárogtatás óta eltelt időszakban megjelent szakértői megszólalások (amelyek inkább csak előzetes tippek, semmint a kiszivárogtatott alkalmazások tesztelésén alapuló ítéletek) alapján a netre kitett adatok és programok hitelesek. A Motherboardnak nyilatkozó szakértő szerint ha ez az egész valami átverés, akkor a kitaláló elképesztő mennyiségű időt fordított arra, hogy hihető átverés legyen. „Az ellenőrzőfájlok többsége igazinak tűnik, ráadásul a programok pontosan olyanok, mint amiket egy kommunikációs infrastruktúrát támadó csoporttól elvárna az ember.”

Sokkal érdekesebb kérdés az, hogy vajon mennyire etikus, ha kormányügynökségek hekkerként viselkednek. Az ugyanis, hogy a Shadowbrokers által kiadott csomag létezik, egyet jelenthet csak: kormánytámogatással működő, állami IT-szervezetek hörcsög módjára gyűjtögetik a támadások során kihasználható hibákat, módszereket és hátsó kapukat ahelyett, hogy felhívnák az üzemeltetők figyelmét ugyanezekre, hogy kijavíthassák, megszüntethessék őket.

Az etikai kérdésen túl ráadásul az már egyszer bebizonyosodott, hogy mennyire nem jó ötlet az ilyesmi biztonsági szempontból, amikor támadók közzétették a Hacking Team nevű olasz cég adatait és levelezését. A Hacking Team számítógépes támadásokra és adatszerzésre használható programját a magyar titkosszolgálatok is használták.

A mostani kiszivárogtatásban egy jó csomó olyan kód is van, amely kifejezetten egyes hardvergyártók eszközei ellen használható: Cisco, Juniper és Fortinet tűzfalak és hálózati eszközök támadható hibáit kihasználó módszerek szerepelnek a listában, de az amerikai cégek mellett egy kínai, a TopSec is előkerül. Elemzők szerint ezek egyike sem túl friss felfedezés, de többségében korábban közzé nem tett, vagyis valószínűleg nem is javított hibákról van szó.

Az anyag többségén 2013-as dátum látható, bár ez nem jelent sokat, hiszen a hekkerek akármilyen dátumot beállíthattak, és több szakértő szerint is származhatnak egy NSA-akcióból. Azonban, és erre elég sokan figyelmeztetnek, önmagában ez nem jelenti, hogy az NSA-hez, vagy akár csak az NSA egyik csapatához közel férkőztek a szivárogtatók.

Bitcoinban kérik meg az árát

Elemzők szerint az a legvalószínűbb magyarázat, hogy a támadóknak valamilyen alternatív módszerrel sikerült megszerezni a fájlokat. Például egy korábbi NSA-akcióból származhatnak bizonyos programok, de az sem lehetetlen, hogy tök véletlenül bukkantak az adatcsomagra, például egy elhagyott notebookon. Azt, hogy az Equation csoportot, pláne magát az NSA-t sikerült volna megcsapolni, a legtöbben megkérdőjelezik. Nem is feltétlenül azért, mert az ilyesmi lehetetlen, mert nem az, ahogy bármi egyéb, úgy az NSA adatai is megszerezhetők.

Sokak szerint nagyon kevés igazi hekker van, aki egy ilyen pénzkalapozós akcióval hívná fel a figyelmet arra, hogy bejutott a világ legszigorúbban őrzött helyeinek egyikére. A legtöbben inkább megvárnák, hogy kihasználhassák a lehetőséget valami sokkal nagyobb dobásra, mint pár 3 éves program. Ezért is valószínű, hogy a Shadowbrokers belebotlott valahol a csomagba, és ahhoz azért elég dörzsöltek, hogy tudják, mekkora érték van a kezükben, és hogy próbáljanak meg pénzt szerezni a dologból. Mármint ha lesz belőle bármi is, a megadott bitcoinos számlán, ahová az aukció résztvevőinek utalásait várják, egyelőre nem lódult meg a számláló.