Стали известны детали американской кибератаки на «фабрику троллей» Евгения Пригожина. По ним можно судить, что никаких сверхвозможностей в ходе нападения США не показали: взлом — результат грамотной социальной инженерии и беспечного подхода сотрудников Пригожина к кибербезопасности.

Подробнее. Обстоятельства атаки стали известны из заявления предположительно связанного с Пригожиным РИА ФАН, которое и стало жертвой, а также от источника «Русской службы Би-би-си», близкого к атакованному США отделу «фабрики троллей». Из заявления ФАН следует:

• Взлом проводился сразу по нескольким направлениям. Сначала хакеры провели успешную фишинговую атаку через электронную почту: один из сотрудников ФАН открыл вложение из поддельного письма с «информацией об американских выборах». Американцы получили доступ к его компьютеру, но не сумели через него попасть в локальную сеть ФАН.

• Гораздо лучше сработал второй способ, технические детали которого из заявления ФАН ясны не до конца. Один из сотрудников агентства подключил свой iPhone 7 Plus к персональному компьютеру, после чего смартфон обновил систему на компьютере. «После этого компьютер стал по факту управляем удаленно, и с него были проведены все необходимые процедуры для полноценного вторжения в локальную сеть ФАН», — говорится в сообщении ФАН.
• В ходе атаки были выведены из строя два жестких диска из четырех на внутриофисном сервере ФАН и отформатированы жесткие диски серверов, использовавшихся для хранения данных портала USA Really. При этом ФАН заверяет, что атака не смогла парализовать его работу, а его американский сайт USA Really, который был главной целью, продолжил работу в штатном режиме.
• Из объяснений ФАН следует, что смартфон смог получить управление над компьютером благодаря доступу к дата-центрам Apple (как именно — агентство не поясняет).
• Судя по описанию, приведенному ФАН, смартфон, который подключил к компьютеру сотрудник ФАН, должен был содержать вредоносное приложение — например, троян, способный перехватить управление над Windows для ПК (для этого айфон должен был пройти перепрошивку). Вирус запустился с айфона, как с флешки, и через него киберкомандование США могло получить доступ к компьютеру, хотя сам троян попал в смартфон без всякого участия со стороны американских военных.
• Технические детали кибератаки, которые удалось выяснить «Русской службе Би-би-си», в целом совпадают с описанием ФАН. Источник Би-би-си сообщил, что для взлома мог использоваться бэкдор в Windows (программа, эксплуатирующая уязвимость в системе), а после кибератаки сервера американского отдела перевели под управление ОС на ядре Linux.
• Существуют бэкдоры, предположительно разработанные АНБ и использующие уязвимости в продуктах Microsoft. Пример — бэкдор DoublePulsar, который раскрыла в 2017 году хакерская группировка ShadowBrokers (в США ее связывали с Россией). Но Microsoft закрыла используемую уязвимость еще в 2017 году. Если АИИ было взломано через такой бэкдор, это может означать, что агентство использовало контрафактное ПО, в котором традиционно наблюдаются проблемы с доставкой обновлений.

Что все это значит?

Главный вывод — взлом не выходил за рамки обычных приемов хакеров. Подключение к USB-порту устройства с хакерским комплектом ПО — стандартный вектор атаки. Фишинговое письмо — тоже. Оба этих вектора используют простую социальную инженерию (открытие вложения из фишингового письма) и халатное отношение сотрудников к кибербезопасности (подключение к компьютеру небезопасного устройства).

Беспокоиться о том, что у американского киберкомандования есть какие-то сверхтехнологии, не стоит. Как и прежде, взлом локальной сети может произойти только за счет беспечности людей, имеющих к ней доступ. Но наступление российских силовиков на свободный интернет это не остановит.

Александр Амзин, Петр Мироненко