Cyber-spionage mareridt

På en væg ud mod snesevis af aflukker på FBI-kontoret i Pittsburgh stirrer fem fyre fra Shanghai fra Wanted-plakater. Wang Dong, Sun Kailiang, Wen Xinyu, Huang Zhenyu og Gu Chunhui er ifølge en føderal anklage afseglet sidste år, agenter fra Kinas People's Liberation Army Unit 61398, som hackede sig ind i netværk hos amerikanske virksomheder - U.S. Steel, Alcoa, Allegheny Technologies (ATI), Westinghouse – plus den største industrielle fagforening i Nordamerika, United Steelworkers og det amerikanske datterselskab af SolarWorld, en tysk solpanelproducent. I løbet af flere år, siger anklagere, stjal agenterne tusindvis af e-mails om forretningsstrategi, dokumenter om unfair-trade sager, som nogle af de amerikanske virksomheder havde anlagt mod Kina, og endda rørdesign til atomkraftværker - alt sammen angiveligt for at gavne kinesiske virksomheder .

Det er den første sag, USA har anlagt mod gerningsmændene til påstået statssponsoreret cyberspionage, og den har afsløret huller i computersikkerheden, som virksomheder sjældent erkender offentligt. Selvom angriberne tilsyneladende dirigerede deres aktiviteter gennem uskyldige menneskers computere og gjorde andre anstrengelser for at maskere sig selv, sporede anklagere indtrængene til en 12-etagers bygning i Shanghai og outede individuelle efterretningsagenter. Der er ringe chance for, at der vil blive foretaget anholdelser, eftersom USA ikke har nogen udleveringsaftaler med Kina, men den amerikanske regering håber tilsyneladende, at navngivning af faktiske agenter – og demonstration af, at sporing af angreb er muligt – vil bringe Kina i forlegenhed og sætte andre nationer på bane, hæmme fremtidig økonomisk spionage.

Denne historie var en del af vores juli 2015-udgave

• Se resten af ​​problemet
• Abonner

Det kan være urealistisk. Sikkerhedsselskaber siger, at en sådan aktivitet fortsætter, og Kina kalder anklagerne for rent ubegrundede og absurde. Men der er en anden lektie fra anklageskriftet: Det er nu usandsynligt, at virksomheder holder værdifuld information sikker online. Uanset hvilke skridt de tager, holder de ikke trit med truslerne. Det er klart, at situationen er blevet værre, ikke bedre, siger Virgil Gligor, som medleder Carnegie Mellon Universitys forskningscenter for computersikkerhed, kendt som CyLab. Vi gjorde adgangen til tjenester og databaser og tilslutning så bekvem, at det også er praktisk for vores modstandere. Når først virksomheder accepterer det, siger Gligor, er det mest åbenlyse svar et drastisk: tag stikket ud.

Fracking og hacking

Siddende ved et lille mødebord på sit kontor i det føderale retsbygning i Pittsburgh åbnede David Hickton, USA's advokat for det vestlige Pennsylvania, en plastikbeholder, han havde taget med hjemmefra og fjernede og pillede et hårdkogt æg til frokost. Selvom vi diskuterede en undersøgelse, der involverede globale aktører og uigennemsigtige teknologier, var den hjemlige følelse af vores møde passende: Sagen havde mange rødder i tætte forretnings- og politiske kredse i Pittsburgh. Hickton viste mig et indrammet foto på en hylde. På billedet står han og en ven ved navn John Surma ved siden af ​​deres sønner, drengene iført hockeyuniformer, friske fra isen. Begge fædre havde gået i Penn State. Da Hickton steg i anklagernes rækker, steg Surma i erhvervslivet og blev administrerende direktør for U.S. Steel. Da Hickton blev den øverste føderale anklager i området i 2010, var en af ​​hans møde-og-hils morgenmad med Surma og Leo Girard, chefen for United Steelworkers, som repræsenterer 1,2 millioner nuværende eller pensionerede arbejdere i flere industrier. Jeg bad dem i en fuldstændig uafhængig sag om at tjene i et ungdomskriminalitetsforebyggende råd, husker Hickton. De sagde: 'Kan vi tale med dig om noget andet?'

På det tidspunkt var det amerikanske fracking-boom i fuld gang, hvor ultralave renter, der var sat for at stimulere økonomien, også smurte forretningen med at udvinde tidligere svært tilgængelige naturgas og olie. U.S. Steel havde en blomstrende virksomhed, der solgte rør, der var specielt designet til udvindingsprocessen. Blandt andre egenskaber har rørene ingen lodrette sømme, så de vil holde, når de bliver ramt tusindvis af fod ned i jorden og alligevel bøjet for at transportere olie og gas uden at gå i stykker.

Vi skal betale omkostningerne til sikkerheden, hvilket er besvær.

Men U.S. Steel bemærkede også to foruroligende udviklinger. For det første eksporterede kinesiske statsejede virksomheder masser af lignende rør til USA til lave priser. Så U.S. Steel indgav klager til det amerikanske handelsministerium og den amerikanske internationale handelskommission og anklagede Kina for at subsidiere dets industrier; de resulterende sager førte i sidste ende til sanktioner mod Kina. For det andet var både virksomheden og fagforeningen klar over, at der var kommet mistænkelige e-mails. Men det var ikke klart, hvem der stod bag dem, eller om der skete skader. Der var en generel bevidsthed om indtrængen, men ikke 'hvornår, hvor, hvordan' og omfanget, siger Hickton.

E-mails var smart designet. De foregav at være fra kolleger eller bestyrelsesmedlemmer med emnelinjer vedrørende mødedagsordener eller markedsundersøgelser, men de leverede malware ved hjælp af vedhæftede filer eller links. For eksempel siger anklageskriftet, at hackerne den 8. februar 2010 – to uger før en foreløbig afgørelse fra handelsministeriet – sendte en e-mail til flere U.S. Steel-ansatte. Det så ud til at være fra den administrerende direktør, men inkluderede et link til et websted, der indeholdt malware. Nogle få medarbejdere klikkede på det, og deres computere blev hurtigt inficeret. Resultatet: hackerne stjal værtsnavne til 1.700 servere, der kontrollerede adgangen til virksomhedens faciliteter og netværk. Anklageskriftet siger, at Wang derefter forsøgte at udnytte den adgang, men den specificerer ikke, hvilke oplysninger der blev afsløret.

Debbie Shon, U.S. Steels vicepræsident for handel, fortalte mig, at oplysningerne omfattede værdifuld business intelligence. Det var ikke højteknologiske designs, siger hun. Det var lige så vigtige ting - forretningsstrategierne, prisfastsættelsen, produktionsmængderne og timingen og indholdet af eventuelle handelsklager, som U.S. Steel, som en af ​​de største virksomheder på dette område, kunne udforske.

Anklageskriftet beskriver flere lignende angreb. Mellem 2007 og 2013 forhandlede Westinghouse detaljerne i en kontrakt med et kinesisk firma om at bygge fire atomreaktorer. Fra 2010 til 2012 stjal en af ​​de tiltalte angiveligt mindst 1,4 gigabyte data - omkring 700.000 sider med e-mail og vedhæftede filer - fra Westinghouses computere. Filerne omfattede rørdesign og kommunikation, hvor Westinghouse afslørede bekymringer om kinesisk konkurrence. Hos ATI stjal hackerne angiveligt adgangskoder til 7.000 ansatte, mens virksomheden var i en handelskonflikt med fokus på dets salg til Kina. Hos Alcoa, hævder anklagere, stjal hackerne 2.900 e-mails med mere end 860 vedhæftede filer omkring det tidspunkt, hvor virksomheden forhandlede aftaler med kinesiske virksomheder. (Alcoa, Westinghouse og ATI afviste alle at kommentere på denne historie.) Og i 2012, efter at stålarbejdernes fagforening begyndte at tale imod kinesisk industripolitik, stjal Wen e-mails med diskussioner blandt fagforeningsledere, står der i anklageskriftet.

I mellemtiden havde SolarWorld anlagt handelssager, der beskyldte kinesiske virksomheder for at sælge solpaneler til under kostpris, hvilket decimerede deres rivaler. En dag i 2012 ringede en telefon på dets kontorer i Camarillo, Californien. Det var FBI, der ringede og sagde, at agenter havde opdaget e-mails stjålet fra virksomheden, siger Ben Santarris, dets amerikanske talsmand. Som et tegn på, hvor dårlig cybersikkerhed er, var der ingen anelse om, at dette foregik, før vi fik telefonopkaldet, siger han. Først da anklageskriftet blev lukket i maj 2014, fik virksomheden kendskab til det fulde omfang af det påståede tyveri. Der var adgang til handelsstrategi, virksomhedens økonomi, omkostninger, resultatopgørelser, teknologikøreplaner, R&D og så videre, siger Santarris. I sidste ende vandt virksomheden sine sager og sikrede told på import af solcelleudstyr fra Kina. Under handelskonflikten observerede vi en meget stram kontrol med, hvem der kan se hvilke oplysninger, siger han. På det tidspunkt, hvor vi gjorde det, kom ifølge FBI det kinesiske militær ind ad bagdøren.

Tag den ned

Fejlen i virksomhedernes formodede sikkerhedsteknologier var fordummende. Lance Wyatt, IT-direktør for stålarbejdernes fagforening, troede, at han kørte et stramt skib. En it-revision i 2010 havde ikke fundet væsentlige mangler. Hans e-mail-server screenede alle indgående beskeder for vedhæftede filer, der indeholdt eksekverbar kode. Han havde den nyeste antivirussoftware. Hans netværk tjekkede IP-adresser for at undgå websteder, der indeholdt malware. Alligevel fandt Wyatt og FBI til sidst inficerede computere, en af ​​dem brugt af fagforeningens rejsechef. Ingen af ​​disse maskiner var på vores radar som værende inficeret eller mistænkt, siger han.

Ifølge anklageskriftet havde hackerne forskellige forklædningsmidler. For det første sendte de angiveligt ondsindede e-mails til virksomheder og fagforeningen fra hop-punkter - mellemliggende computere, inklusive en i Kansas, som var under deres kontrol. For det andet manipulerede de dygtigt internettets system til at navngive computeradresser. Hackerne oprettede domænenavne som arrowservice.net og purpledaily.com og programmerede malware på virksomhedens ofre computere for at kontakte dem. Så kunne spionerne løbende ændre de computeradresser, som domænenavnene var knyttet til. Da det var dagtimerne i Shanghai og om natten i Pittsburgh, hedder det i anklageskriftet, at de havde sat et domænenavn til at oprette forbindelse til hop-point-computere og udføre spionage. Da Shanghai-arbejdsdagen var overstået, ville hackerne indstille adressen til at oprette forbindelse til uskyldige websteder såsom Yahoo-sider.

Det er ikke en overraskelse, at sådanne systemer er relativt lette at vælge til ondsindede formål. Idéer til at gøre internettet mere sikkert har eksisteret i årtier, og akademiske og offentlige laboratorier har fremskaffet interessante forslag. Alligevel er meget få af disse ideer blevet implementeret; de kræver bred anvendelse og muligvis afvejninger i netværkets ydeevne. Du hører ikke om genopbygning af internettet længere, siger Greg Shannon, chefforsker ved CERT-afdelingen af ​​Carnegie Mellons Software Engineering Institute.

Hvad skal en virksomhed gøre? Wyatt strammede tingene op hos United Steelworkers; blandt andet giver han nu færre ansatte såkaldte administrative privilegier til deres computere, og han søger på netværket efter de tydelige tegn på kommunikation fra malware. Men intet af dette ville have forhindret indtrængen. Wyatt siger, at det kunne have bremset dem.

Den bedste mulighed kunne derfor være at fjerne følsomme data fuldstændigt fra internettet. Der er ulemper ved det: Hvis e-mail ikke bruges så frit, eller en database er offline, kan det være mere tidskrævende at følge med i de seneste versioner af rapporter eller andre data. Men som Gligor siger: Vi skal betale omkostningerne til sikkerheden, hvilket er besvær. Vi er nødt til at tilføje lidt besvær for os for at gøre tingene meget sværere for fjernangriberen. Måden at gøre det på er at – hvordan skal jeg sige det? – lejlighedsvis gå offline.

Der sker trods alt stadig flere angreb som dem i Pittsburgh. Denne anklage, siger Hickton, repræsenterer ikke det fulde antal hackere, det fulde antal ofre eller det fulde antal tiltalte.

— David Talbot

skjule