Подпольная история Turla, самой гениальной хакерской группы России

Энди Гринберг

Спросите западных аналитиков кибербезопасности, кто является их «любимой» группой хакеров, спонсируемых иностранным государством – противником, которым они не могут не восхищаться и одержимо изучать – и большинство из них не назовут ни одну из множества хакерских групп, работающих от имени Китай или Северная Корея. Ни китайский APT41 с его наглыми атаками на цепочки поставок, ни северокорейские хакеры Lazarus, которые осуществляют массовые кражи криптовалют. Большинство даже не укажут на пресловутую российскую хакерскую группировку «Песчаный червь», несмотря на беспрецедентные кибератаки этого воинского подразделения на энергосети и разрушительный самовоспроизводящийся код.

Вместо этого знатоки компьютерных вторжений склонны называть гораздо более изощренную команду кибершпионов, которая в различных формах тайно проникала в сети Запада гораздо дольше, чем любая другая: группа, известная как Turla.

На прошлой неделе Министерство юстиции США и ФБР объявили, что они пресекли операцию Turla, также известной под такими именами, как Venomous Bear и Waterbug, которая заразила компьютеры в более чем 50 странах вредоносным ПО, известным как Snake. Агентства США называют «главным инструментом шпионажа» российской разведки ФСБ. Проникнув в сеть взломанных компьютеров Turla и отправив вредоносному ПО команду на самоудаление, правительство США нанесло серьезный удар глобальным шпионским кампаниям Turla.

Но в своем заявлении – и в судебных документах, поданных для проведения операции – ФБР и Министерство юстиции пошли еще дальше и впервые официально подтвердили прошлогодний репортаж группы немецких журналистов, в котором выяснилось, что Турла работает на Центр 16 ФСБ. группа в Рязани, под Москвой. Это также намекает на невероятное долголетие Turla как ведущей организации кибершпионажа: в письменных показаниях, поданных ФБР, говорится, что вредоносное ПО Turla Snake использовалось уже почти 20 лет.

На самом деле, Turla, возможно, работает уже как минимум 25 лет, говорит Томас Рид, профессор стратегических исследований и историк кибербезопасности в Университете Джонса Хопкинса. Он указывает на доказательства того, что именно Turla – или, по крайней мере, своего рода прото-Turla, которая станет той группой, которую мы знаем сегодня – провела первую в истории операцию кибершпионажа спецслужбы, нацеленную на США, многолетнюю хакерскую кампанию, известную как Лунный лабиринт.

Учитывая эту историю, группа обязательно вернется, говорит Рид, даже после того, как ФБР в последний раз разрушило ее инструментарий. «Turla — это действительно квинтэссенция APT», — говорит Рид, используя аббревиатуру, означающую «расширенную постоянную угрозу» — термин, который индустрия кибербезопасности использует для обозначения элитных хакерских групп, спонсируемых государством. «Его оборудование очень сложное, скрытное и стойкое. Четверть века говорит само за себя. Действительно, это противник номер один».

На протяжении всей своей истории Turla на протяжении многих лет неоднократно исчезала в тени только для того, чтобы вновь появиться в хорошо защищенных сетях, в том числе в сетях Пентагона США, оборонных подрядчиков и европейских правительственных агентств. Однако за эти 25 лет Turla отличала не только долговечность, но и постоянно развивающаяся техническая изобретательность — от USB-червей до спутникового взлома и взлома инфраструктуры других хакеров, — говорит Хуан Андрес Герреро-Сааде, руководитель отдела анализа угроз. исследования в охранной фирме SentinelOne. «Вы смотрите на Turla, и видите несколько этапов, на которых, о боже мой, они сделали эту потрясающую вещь, они стали пионерами этой другой вещи, они попробовали какую-то умную технику, которую никто раньше не делал, масштабировали ее и реализовали», — говорит Герреро. -Сааде. «Они одновременно новаторские и прагматичные, и это делает их особой группой APT, за которой нужно следить».

Brenda Stolyar

Уилл Найт

ПРОВОДНОЙ персонал

Медея Джордано

Вот краткая история элитного цифрового шпионажа Turla в течение двух с половиной десятилетий, начиная с самого начала спонсируемой государством гонки шпионских вооружений.

К тому времени, когда Пентагон начал расследование серии вторжений в правительственные системы США как единой масштабной шпионской операции, оно длилось уже как минимум два года и выкачивало американские секреты в огромных масштабах. В 1998 году федеральные следователи обнаружили, что загадочная группа хакеров взломала сетевые компьютеры ВМС и ВВС США, а также компьютеров НАСА, Министерства энергетики, Агентства по охране окружающей среды, Национального управления океанических и атмосферных исследований. несколько университетов США и многие другие. По одной из оценок, общий объем добычи хакеров можно сравнить со стопкой бумаг, в три раза превышающей высоту памятника Вашингтону.