211service.com
Da kinesiske hackere erklærede krig mod os andre
Andrea Daquino
Sent en onsdag i marts 2015 lød en alarm på kontorerne hos GitHub, et San Francisco-baseret softwarefirma. Virksomhedens kontorer eksemplificerede den slags Skandinavien-møder-sjælløshed-stil, der har spredt sig fra Silicon Valley til at overtage moderne arbejdspladser: blotlagt træ, åbne rum og masser af naturligt lys. De fleste medarbejdere forberedte sig på at tage af sted, hvis de ikke allerede havde gjort det. Udenfor var solen begyndt at gå ned og det var lunt og klart.
Alarmer var ikke ualmindelige på GitHub. Virksomheden hævder at opretholde det største lager af computerkode i verden. Det havde omkring 14 millioner brugere på det tidspunkt, og er stolte af at opretholde sin service og forblive online. GitHubs kerneprodukt er et sæt redigeringsværktøjer, der giver et stort antal programmører mulighed for at samarbejde om software og holde styr på ændringer, efterhånden som fejl bliver rettet. I oktober 2018 ville Microsoft købe det for 7,5 milliarder dollars.
Tilbage i 2015 var GitHub dog stadig en up-and-coming, uafhængig virksomhed, hvis succes kom fra at gøre det betydeligt lettere for andre mennesker at skabe computersoftware. Den første alarm indikerede, at der var en stor mængde indgående trafik til flere projekter gemt på GitHub. Dette kunne være uskyldigt - måske havde et firma lige lanceret en stor ny opdatering - eller noget mere uhyggeligt. Afhængigt af hvordan trafikken blev grupperet, ville flere alarmer lyde, hvis den pludselige tilstrømning påvirkede tjenesten på hele webstedet. Alarmerne lød. GitHub blev DDoS-ed.
En af de hyppigste årsager til, at enhver hjemmeside går ned, er en kraftig stigning i trafikken. Servere bliver overvældet med forespørgsler, hvilket får dem til at gå ned eller sænke sig til en pinefuld grind. Nogle gange sker dette simpelthen fordi hjemmesiden pludselig bliver populær. Andre gange, som i et distribueret denial of service (DDoS) angreb, er spidsen ondsindet konstrueret. I de senere år er sådanne angreb blevet mere almindelige: hackere er begyndt at inficere et stort antal computere med virus, som de derefter bruger til at tage kontrol over computerne, og hverve dem i DDoS-angrebet.
Vi oplever i øjeblikket det største DDoS-angreb i GitHubs historie, skrev seniorudvikler Jesse Newland i et blogindlæg næsten 24 timer efter angrebet var begyndt. I løbet af de næste fem dage, da ingeniører brugte 120 timer på at bekæmpe angrebet, gik GitHub ned ni gange. Det var som en hydra: hver gang holdet troede, de havde styr på det, tilpassede angrebet sig og fordoblede indsatsen. GitHub ville ikke kommentere rekorden, men et teammedlem, der talte til mig anonymt, sagde, at det var meget tydeligt, at dette var noget, vi aldrig havde set før.
I virksomhedens interne chatrum indså GitHub-ingeniører, at de ville tackle angrebet i nogen tid. Mens timerne strakte sig til dage, blev det noget af en konkurrence mellem GitHub-ingeniørerne og den, der var i den anden ende af angrebet. Da holdet arbejdede lange, hektiske skift, havde holdet ikke meget tid til at spekulere i angribernes identitet. Da rygterne florerede online, ville GitHub kun sige, at vi mener, at hensigten med dette angreb er at overbevise os om at fjerne en bestemt klasse af indhold. Cirka 20 minutters kørsel væk, på tværs af San Francisco-bugten, troede Nicholas Weaver, at han kendte synderen: Kina.
Weaver er netværkssikkerhedsekspert ved International Computer Science Institute, et forskningscenter i Berkeley, Californien. Sammen med andre forskere hjalp han med at udpege målene for angrebet: to GitHub-hostede projekter forbundet med GreatFire.org, en Kina-baseret anticensurorganisation. De to projekter gjorde det muligt for brugere i Kina at besøge både GreatFires hjemmeside og den kinesisksprogede version af New York Times, som begge normalt er utilgængelige for brugere i Kina. GreatFire, kaldet en udenlandsk anti-kinesisk organisation af Cyberspace Administration of China, havde længe været et mål for DDoS og hackingangreb, hvorfor det flyttede nogle af sine tjenester til GitHub, hvor de nominelt var ude af skade.
Ikke kun blokerede Kina bits og bytes af data, der forsøgte at komme ind i Kina, men det kanaliserede også datastrømmen ud af Kina.
Weaver fandt noget nyt og bekymrende, da han undersøgte angrebet. I en papir medforfattet sammen med forskere ved Citizen Lab, en aktivist og forskergruppe ved University of Toronto, beskrev Weaver et nyt kinesisk cybervåben, som han døbte Den Store Kanon. Den store firewall - et omfattende system af indbyrdes forbundne teknologier til censurering af internetindhold, der kommer fra lande uden for Kina - var allerede velkendt. Forskerne fra Weaver og Citizen Lab fandt ud af, at Kina ikke kun blokerede bits og bytes af data, der forsøgte at komme ind i Kina, men det kanaliserede også datastrømmen ud af Kina.
Den, der kontrollerede den store kanon, ville bruge den til selektivt at indsætte ondsindet JavaScript-kode i søgeforespørgsler og annoncer, der blev serveret af Baidu, en populær kinesisk søgemaskine. Den kode ledte derefter enorme mængder trafik til kanonens mål. Ved at sende en række anmodninger til de servere, hvorfra Den Store Kanon dirigerede trafik, var forskerne i stand til at sammensætte, hvordan den opførte sig og få indsigt i dens indre funktion. Kanonen kan også bruges til andre malware-angreb udover denial-of-service-angreb. Det var et kraftfuldt nyt værktøj: Deployering af den store kanon er et stort skift i taktik og har en meget synlig effekt, skrev Weaver og hans medforfattere.
Angrebet varede i dagevis. Citizen Lab-holdet sagde, at de var i stand til at observere dets virkninger i to uger efter, at GitHubs alarmer først gik i gang. Bagefter, da GitHub-udviklerne kæmpede for at forstå angrebet og komme med en køreplan for fremtidige hændelser, var der forvirring i cybersikkerhedssamfundet. Hvorfor havde Kina indledt et så offentligt angreb på en så afstumpet måde? Det var overkill, fortalte Weaver mig. De holdt angrebet i gang længe efter, at det var holdt op med at virke.
Det var et budskab: et skud på tværs af stævnen fra arkitekterne bag den store firewall, som - efter at have erobret internettet derhjemme - nu i stigende grad tog sigte i udlandet, uvillige til at udfordre deres kontrol- og censursystem, uanset hvor de kom fra.
GitHub-angrebet var en sjælden offentlig visning af angrebskraften i Kinas cyberstat, som normalt foretrak at udøve sine evner bag kulisserne. Nogle af disse egenskaber blev opdaget ved et tilfælde i januar 2009.
På loftet i en storslået gammel rød murstensbygning midt på University of Torontos campus, lige nord for byens centrum, stirrede Nart Villeneuve vantro på sin computerskærm. Villeneuve var kandidatstuderende ved universitetet og forsker ved Citizen Lab. Han havde sporet en sofistikeret cyberspionagegruppe, der infiltrerede computere, e-mail-konti og servere rundt om i verden og spionerede på deres brugere og indhold. Angriberne havde omhyggeligt skræddersyet såkaldte spear-phishing-e-mails, så de så ud til at være fra måls venner og kolleger, hvilket overbeviste folk til at downloade malware til deres maskiner og ubevidst åbne sig for overvågning. Kampagnen var avanceret, men dens skabere så også ud til at have gjort noget ganske dumt.
Villeneuve tog sin telefon og ringede til Ron Deibert, hans supervisor og grundlæggeren af Citizen Lab.
Som Deibert fortæller i sin bog Black Code: Inside the Battle for Cyberspace , Villeneuve havde opdaget en kommando-og-kontrol-server til malware, der havde spredt sig vidt omkring på internettet.
Jeg er med, hviskede Villeneuve i sin telefon.
Deres efterforskning var begyndt måneder tidligere i Dharamsala, en indisk by, som Dalai Lama var flygtet til i 1959, som nu er centrum for det tibetanske eksilsamfund. Greg Walton, en Citizen Lab-feltforsker, havde besøgt området i årevis. I slutningen af 1990'erne og begyndelsen af 2000'erne hjalp Walton med at udvide arbejdet udført af de to tidligere tibetanske internetpionerer, Dan Haig og Thubten Samdup, som hjalp med at forbinde Dharamsala med World Wide Web på et tidspunkt, hvor resten af Indien knap var forbundet . Walton byggede websteder for forskellige ngo'er og regeringsafdelinger, underviste i computerklasser og hjalp folk med at oprette e-mail-konti. Da han så tilbage, indså han, at de var alt for fanget af fordelene ved internettet og dets evne til at forbinde og forene den stadig mere spredte tibetanske diaspora til at tænke på ulemperne. Selvom de tidlige dage var hårde og teknologien vakkelvorn, tog internettet hurtigt fat i Dharamsala. Sikkerheden var lidt bekymret.
Disse nye advarsler var meget mere effektive – og uhyggelige – fordi de blev sendt til udenlandske ledere, når planerne ikke var blevet afsløret offentligt.
Ulemperne ved Tibets tidlige adoption af internettet blev hurtigt tydelige. Den kinesiske regering ville sende vrede breve til udenlandske ledere, da de forsøgte at arrangere møder med Dalai Lama, før begivenhederne overhovedet blev annonceret. Den kinesiske regering havde længe offentligt gjort indsigelse mod ethvert engagement med separatister. Men som folk i det tibetanske samfund fortalte mig, var disse nye advarsler meget mere effektive – og uhyggelige – fordi de blev sendt til udenlandske ledere, når planerne ikke var blevet afsløret offentligt. Den kinesiske regering ønskede, at alle berørte skulle vide, at de lyttede.
Diaspora-tibetanere, der krydsede ind i kinesisk-kontrolleret territorium, blev tilbageholdt ved grænsen og forhørt. Hvis de forsøgte at benægte involvering i politik, blev deres egne e-mails fremlagt som bevis. En kvinde, der arbejdede på et opsøgende program i Dharamsala, der modtog finansiering fra den amerikanske regeringsstøttede Voice of America, var på vej ind i Tibet fra Nepal, da hun blev stoppet af kinesisk politi. Hun blev præsenteret for udskrifter af sin private kommunikation med folk i det kinesisk-kontrollerede Tibet. En anden kvinde, en amerikansk lærd, der bor i Beijing, modtog en invitation til te med sikkerhedsembedsmænd, en semi-regelmæssig begivenhed for alle, der beskæftiger sig med følsomme spørgsmål i Kina. Da hun blev bedt om sin e-mail, gav hun sikkerhedsmyndighederne en dummy-konto, hun ikke brugte til andet; to dage senere forsøgte nogen at hacke den adresse.
Tilbage i Dharamsala blev computer efter computer deaktiveret af aggressiv malware designet ikke til at spionere, men til at sabotere.
Det var tydeligt, at nogen sigtede mod tibetanere. Alle tegn pegede mod Kina, men kilden til operationen var uklar. Blev tibetanerne angrebet af sikkerhedstjenesterne, af militæret, af såkaldte patriotiske hackere eller af en kombination af alle tre?
I samarbejde med tibetanske sikkerhedseksperter begyndte Walton at indsamle prøver af skitseagtige e-mails og malware. En af disse lokale eksperter var Lobsang Gyatso Sither. Sither blev født i Dharamsala i 1982, en af en generation af eksil, der aldrig har boet i Tibet. Han studerede datalogi i Indien og Storbritannien og havde stort set forladt Dharamsala, da han mødte Walton i London i slutningen af 2000'erne og lærte om målretningen af tibetanere. Han vendte tilbage med Walton til Himalaya, og de to begyndte at arbejde med Dalai Lamas kontor og ethvert andet åbenlyst mål for at imødegå hacks og cyberangreb.
I begyndelsen var angrebene ret usofistikerede: e-mails på dårligt engelsk ville opmuntre brugerne til at køre eksekverbare filer. Alene ville de ikke have skabt for meget alarm, men da Walton, Sither og andre samlede flere og flere prøver, begyndte de at se omfanget af kampagnen. Hele samfundet blev målrettet, selvom de fleste ville have været af ringe interesse for hackere, fortalte Sither mig.
Selv personer, der ikke umiddelbart er relateret til et nøglemål, kan være nyttige for hackere. Ligesom politiet, der forfølger en pøbelsag, kan hackere rykke op i kæden ved at bruge kompromitterede konti til at gå efter de ultimative mål og deres medarbejdere med mere troværdige phishing-angreb.
Angriberne overvågede nøje deres operations succes. Da en større uddannelseskampagne blev lanceret for at opmuntre tibetanere til ikke at åbne vedhæftede filer og i stedet for at stole på cloud-baserede tjenester som Google Drive til at dele dokumenter, dukkede der hurtigt ny malware op. Den var specifikt målrettet de tjenester, som uddannelseskampagnen havde anbefalet.
Før Villeneuves opdagelse af kommando-og-kontrol-serveren havde holdet kun været i stand til at spore målene for malware-kampagnen - ikke angriberne selv. Nu kunne Villeneuve se præcis, hvad angriberne lavede på de computere, de fik adgang til. Det primære våben i hackernes værktøjssæt var et enkelt stykke malware, oprindeligt udviklet af kinesiske programmører og senere overført til engelsk, kaldet Gh0st Remote Administration Tool eller Gh0st Rat.
Gennem deres undersøgelser i Dharamsala var Citizen Lab-teamet i stand til at se, at malwaren rettet mod tibetanere kommunikerede med servere baseret i Hainan, en sydkinesisk ø. Hacket var rettet mod militære embedsmænd, lovgivere, journalister og hundredvis af andre i Dharamsala, på tværs af Indien og andre steder i Asien, hvis aktivitet blev overvåget af hackerne. Næsten sikkert, skrev holdet i sin rapport, at dokumenter fjernes uden målenes viden, tastetryk logges, webkameraer udløses lydløst, og lydindgange aktiveres i det skjulte. Mens Citizen Lab ikke kunne sige endeligt, hvem der stod bag hacket, konkluderede rapporten, at dette sæt højprofilerede mål højst sandsynligt er blevet udnyttet af den kinesiske stat til militære og strategiske efterretningsformål.
Rapporten nåede frem til denne konklusion, fordi øen Hainan var vært for Lingshui-signalefterretningsfaciliteten og en afdeling af den tredje tekniske afdeling af People's Liberation Army, en kinesisk pendant til National Security Agency. GhostNet, som Citizen Lab-teamet kaldte hacket, var blandt de tidligste tegn på PLA's påståede hacking-evner. Inden for få år vil FBI anklage flere førende militære embedsmænd for at angribe amerikanske virksomheder og institutioner for både industriel og militær spionage. PLA blev også beskyldt for et hack af Office of Personnel Management (OPM), et stort føderalt menneskelige ressourceagentur, som kompromitterede personlige data for op til 18 millioner nuværende, tidligere og potentielle føderale ansatte.
OPM-hacket blev offentligt annonceret i juni 2015. Et par måneder senere præsident Barack Obama vært Den kinesiske leder Xi Jinping i Det Hvide Hus, hvor de to mænd underskrev en bilateral aftale, der lovede, at ingen af landets regeringer vil udføre eller bevidst støtte cyberaktiveret tyveri af intellektuel ejendom, herunder forretningshemmeligheder eller anden fortrolig information. Aftalen var en stor diplomatisk sejr for Obama, da han nærmede sig slutningen af sin anden periode, og de første tegn på fremskridt var gode, men den rette undersøgelse blev stort set undergravet af det amerikanske valg i 2016 og den efterfølgende furore over påstået russisk hacking af Det Demokratiske Parti. Da bekymringerne om skyggefulde hackere, der underminerer amerikanske institutioner, flyttede fra Beijing til Moskva, blev der mindre opmærksomhed på den kinesiske regerings rolle i fremtidige angreb.
I mellemtiden fortsætter hackere med at målrette det tibetanske eksilsamfund, og dem i diasporaen fortsætter med at kæmpe tilbage. I klasseværelser og mødelokaler på tværs af Dharamsala afholder Sither og andre sikkerhedseksperter workshops om e-mail-kryptering, sikre beskedapps og andre måder at forblive sikker online. De personer, Sither arbejder med, reagerer generelt på den konstante cybertrussel på en af to måder: ambivalens eller paranoia. Begge svar frustrerer ham. Nogle mennesker er stejlt på, at de intet har at skjule; men hvis deres konti bliver kompromitteret, kan det påvirke dem, der i høj grad har ting, de gerne vil skjule for den kinesiske regering. Andre er så skræmte over tanken om, at kinesiske spioner ser, at de ikke får noget arbejde gjort: præcis den type afkølende effekt, censorerne håbede på. Vi forsøger at finde balancen mellem tryghed og ikke at blive for bange, fortalte Sither. Det er nogle gange en udfordring.
Mange troede, at internettet ville bringe demokrati til Kina. I stedet har det bemyndiget regeringens overvågning og kontrol ud over Mao Zedongs drømme.
GitHub og tibetanere som Lobsang Sither var blandt de første ofre på en ny front i Kinas krig på internettet, lanceret af en ny type censor, der er fast besluttet på at gå efter landets fjender, hvor end de måtte være, ved at bruge de nødvendige midler.
I december blev det rapporteret, at et hack af den internationale hotelkæde Marriott blev udført af kinesiske skuespillere i 2014. Marriott-bruddet blev offentligt annonceret omkring fire år efter, at det fandt sted. Mange flere angreb er sandsynligvis endnu ikke blevet offentligt anerkendt, fordi virksomheder holder problemerne skjult for ikke at skade forholdet til Kina.
Marriott har også båret hovedparten af en anden kinesisk censurkampagne. I januar 2018 blev Marriotts hjemmeside blokeret i Kina, og virksomheden blev tvunget til at udsende en ydmygende undskyldning, efter at den opførte Tibet og Hong Kong som separate lande på en formular. Opmuntret af deres succes med at diktere vilkår til Marriott, er kinesiske embedsmænd gået efter flyselskaber og andre selskaber på grund af spørgsmål som at fejlidentificere Taiwan.
Mange troede, at internettet ville bringe demokrati til Kina. I stedet har det bemyndiget regeringens overvågning og kontrol ud over Mao Zedongs drømme. Nu retter censorerne deres opmærksomhed mod resten af verden.
Denne historie er uddrag fra James Griffiths nye bog Den store firewall i Kina: Sådan opbygger og kontrollerer du en alternativ version af internettet , der udkommer i marts af Zed Books. Griffiths har rapporteret fra Hong Kong, Kina, Sydkorea og Australien for forretninger, herunder CNN International, South China Morning Post, Atlantic, Vice og Daily Beast.