SandCat — опсек по-узбекски

OPSEC или Operations Security — это, широко говоря, методы защиты критически важной информации.

Например, адреса, контакты, каналы связи и прочее, что связано с важной операцией. И кажется, по идее, что у органов безопасности уж точно опсек должен… нет, просто обязан быть на высшем уровне, но судя по историям, которые интернет не забывает — это не всегда так.

Благодаря секретности секретной информации в секретных учреждениях, их секретные ошибки останутся секретом, пока они сами их не раскроют — намеренно или, опять же, по ошибке. Вероятно, один из самых плохих опсеков, о которых мир узнал по последней причине, оказался у Службы госбезопасности Узбекистана, наследницы местного КГБ. А если быть точнее, у хакеров, что работают на Службу еще с 2008.

История много нелестного говорит о самом известном детище «Лаборатории Касперского». Однако, даже эта, будем честны, вполне ожидаемая от российского ИБ-гиганта крайне неэтичная практика не может переплюнуть в шок-эффекте уровень опсека группы гос-хакеров SandCat, ставивших прориетарный антивирус на машины, используемые в разработке и тестировании малвари.

В 2018 хакеров обнаружили благодаря сливу сигнатур их вредоноса на сервер «Касперского», но и это еще не всё, от чего у рядового подписчика ОЛ может сработать рефлекс «рука-лицо». IP-адреса машин с антивирусом совпадали с теми, на которые указывал домен itt.uz. Регистратор домена указан буквально как «военчасть 02616», известная компьютерной криминалистикой на устройствах, изъятых у обвиняемых в уголовных делах республики. Дата регистрации — 2008.

Дальше больше. Почтовый домен узбекской СГБ тоже указывал на тот же IP-адрес. Создаваемая хакерами малварь загружалась на VirusTotal. Это расхожая практика у вирусописателей, но здесь у нас загрузки с IP, входящих в… ту же подсеть. Анализировавшие эти данные безопасники из британского филиала Kaspersky не могли поверить, что это может быть настолько просто, думая поначалу, что это просто совпадения. Чертовски большое количество совпадений.

Вышло так, что казавшийся бредом вариант был единственно истинным — ребята и вправду забили на все меры предосторожности в критически секретной работе. Наверняка у них есть и другие причины попасть в категорию Advanced Persistent Threat, но кажется, что немалой частью такого решения у безопасников был простой факт, что это все-таки госхакеры, а не какая-то шайка киберпреступников, даже если организованная — этого мало для гордой лычки «APT».

Тем удивительнее история, чем больше подробностей о самой СГБ мы откопаем. По словам ИБ-аналитика из соседнего Казахстана, СГБ Узбекистана — одна из самых продвинутых чекистких служб в регионе. Гэбисты были клиентами многих разработчиков спайвари, покупали эксплойты под винду и активно разрабатывали собственные стилер и троянизированный клиент Telegram. И все это годами делалось с машин, сидевших в одной сети IP-адресов.

Такая маленькая поверхность атаки на их инфраструктуру могла бы быть плюсом, если бы это было так задумано, но судя по вышесказанному — маловероятно. Безопасники не рисковали бы публикацией данных об этой группе, если бы не вытащили все, что могли — все-таки это было слишком просто и упускать такой шанс было нельзя. Они и не упустили.