Inde i Microsoft-teamet, der sporer verdens farligste hackere

Konceptuel Ms Tech / kildebilleder: Unsplash, Wikimedia commons

Da Pentagon for nylig tildelte Microsoft en kontrakt på 10 milliarder dollar til at transformere og være vært for det amerikanske militærs cloud computing-systemer, kom bjerget af penge med en implicit udfordring: Kan Microsoft holde Pentagons systemer sikre mod nogle af de mest ressourcestærke, vedvarende og sofistikerede hackere på jorden?

De er under overfald hver time på dagen, siger James Lewis, vicepræsident ved Center for Strategiske og Internationale Studier.

Microsofts seneste sejr over skyrivalen Amazon for den ultralukrative militærkontrakt betyder, at et efterretningsindsamlingsapparat blandt de vigtigste i verden er baseret i skoven uden for Seattle. Disse former for nationale sikkerhedsansvar sad engang næsten udelukkende i Washington, DC. Nu i dette hjørne af staten Washington er dusinvis af ingeniører og efterretningsanalytikere dedikerede til at se og stoppe de regeringssponserede hackere, der spreder sig rundt om i verden.

Medlemmer af det såkaldte MSTIC-hold (Microsoft Threat Intelligence Center) er trusselsfokuserede: en gruppe er ansvarlig for russiske hackere med kodenavnet Strontium, en anden ser nordkoreanske hackere med kodenavnet Zinc, og endnu en anden sporer iranske hackere med kodenavn. Holmium. MSTIC sporer over 70 kodenavnede regeringssponserede trusselsgrupper og mange flere, der er unavngivne.

Regnen startede lige før jeg ankom på en typisk efterårsdag i Redmond, Washington. Det blev ved med at falde under hele mit besøg. Microsofts hovedkvarter er lige så stort og labyrintisk som enhver offentlig installation med hundredvis af bygninger og tusindvis af ansatte. Jeg kom for at møde Microsoft-teamet, der sporer verdens farligste hackere.

Angreb og forsvar

John Lambert grundlagde og leder MSTIC. Microsoft

John Lambert har været hos Microsoft siden 2000, hvor en ny cybersikkerhedsvirkelighed først indfandt sig både i Washington, DC og i Microsofts hovedkvarter i staten Washington.

Microsoft, der dengang var en enestående magtfuld virksomhed, der monopoliserede pc-software, havde først relativt for nylig indset vigtigheden af ​​internettet. Da Windows XP havde erobret verden, mens det forblev chokerende usikkert, oplevede holdet en række enorme og pinlige sikkerhedsfejl, inklusive selvreplikerende orme som Code Red og Nimda. Fejlene påvirkede mange af Microsofts enorme antal kunder i den offentlige og private sektor, hvilket bragte dets kerneforretning i fare. Først i 2002, da Bill Gates sendte sit berømte notat ud, hvori han opfordrede til at lægge vægt på pålidelige computere, begyndte Redmond endelig at kæmpe med vigtigheden af ​​cybersikkerhed.

Det var her, Lambert blev fascineret af den offensive side af cyber.

Der er en perfektion påkrævet i grænserne for angreb og forsvar, fortalte Lambert mig. For at forsvare sig godt, skal du være i stand til at angribe. Du skal også have det offensive tankesæt; du kan ikke bare tænke på forsvar, hvis du ikke ved, hvordan du skal være kreativ omkring angreb.

Efter at have set antallet af regeringssponserede hacking-kampagner stige, brugte Lambert denne offensive tankegang til at hjælpe med at drive grundlæggende ændringer i den måde, Microsoft greb problemet an. Målet var at flytte fra en ukendelig skyggeverden – hvor forsvarshold frustrerede ser på, mens sofistikerede hackere trænger ind i netværk med potente nul-dages sårbarheder – til et domæne, hvor Microsoft kan se næsten alt.

Hvad er Microsofts superkræfter? Lambert husker at have spurgt.

Svaret er, at dets Windows-operativsystem og anden software er næsten overalt, hvilket giver Microsoft værktøjer til at fornemme, hvad der sker på kolossale dele af internettet. Det rejser reelle og vedvarende privatlivsspørgsmål, som vi stadig ikke helt har kæmpet med. For sikkerheden er det dog en enorm fordel.

Microsofts produkter havde allerede Windows-fejlrapportsystemer indbygget for at forsøge at forstå generelle fejl og fejlfunktioner ved hjælp af telemetri eller indsamling af data fra enhver af virksomhedens hardware eller software, der er i brug. Men det var Lambert og sikkerhedsholdene, der forvandlede telemetrisystemerne til kraftfulde sikkerhedsværktøjer, der forvandlede det, der engang var en langsom og besværlig opgave. Tidligere skulle sikkerhedsteams ofte fysisk gå verden rundt, finde specifikke målrettede maskiner, kopiere deres harddiske og dykke langsomt ned i hændelserne. Nu når disse maskiner bare ud til Microsoft. Stort set alle nedbrud og uventet adfærd rapporteres til virksomheden, som sorterer gennem massen af ​​data og ofte finder malware før alle andre.

Den malware kendt som Dårlig kanin , som i 2017 udgav sig for at være en Adobe Flash-opdatering og derefter udslettede et offers harddisk, krystalliserer, hvordan Microsoft ændrede svaghed til styrke. Inden for 14 minutter efter ransomware-introduktionen, stykkede maskinlæringsalgoritmer dataene igennem og begyndte hurtigt at forstå truslen. Windows Defender begyndte at blokere det automatisk, længe før noget menneske vidste, hvad der skete.

Bad Rabbit blev overvejende set i Rusland og Ukraine i 2017. Dette er den løsesumseddel, ofrene modtog. Kildebillede: Kaspersky Labs

Det er det, ingen andre har: synlighed og data. De data, som ingen andre har, er omkring disse programnedbrud ved operativsystemet og softwarelaget, siger Jake Williams, et tidligere medlem af National Security Agency. Selv for tredjepartsnedbrud har de telemetri omkring dem. Når du begynder at se på udnyttelsesmål, har Microsoft muligheden gennem deres telemetri. Denne telemetri har gjort alle Windows-maskiner og -produkter til en kilde, der feeder Microsoft-data og logfiler, øjeblikkeligt og på verdensplan, på alt usædvanligt.

Microsoft ser ting, som bare ingen andre gør, siger Williams, der grundlagde cybersikkerhedsfirmaet Rendition Infosec. Vi finder rutinemæssigt ting, for eksempel, som flag for ondsindede IP'er i Office 365, som Microsoft markerer, men vi ser det ikke andre steder i flere måneder.

Forbind prikkerne

Efterretninger om cybertrusler er disciplinen at spore modstandere, følge brødkrummer og producere intelligens, du kan bruge til at hjælpe dit team og gøre den anden sides liv sværere. For at opnå det omfatter det fem år gamle MSTIC-hold tidligere spioner og statslige efterretningsoperatører, hvis erfaring på steder som Fort Meade, hjemsted for National Security Agency og US Cyber ​​Command, umiddelbart oversættes til deres roller hos Microsoft.

MSTIC nævner snesevis af trusler, men geopolitikken er kompliceret: Kina og USA, to af de mest betydningsfulde aktører i cyberspace og de to største økonomier på jorden, bliver stort set aldrig kaldt ud, som lande som Iran, Rusland og Nordkorea ofte er.

Vores team bruger dataene, forbinder prikkerne, fortæller historien, sporer skuespilleren og deres adfærd, siger Jeremy Dallman, direktør for strategiske programmer og partnerskaber hos MSTIC. De jagter skuespillerne – hvor de bevæger sig hen, hvad de planlægger næste gang, hvem de sigter mod – og kommer foran.

Tanmay Ganacharya leder avanceret trusselsbeskyttelsesforskning på Microsoft Defender-teamet, som anvender datavidenskab på massen af ​​indkommende signaler i et forsøg på at skabe nye lag af forsvar. Fordi vi har produkter på tværs af ethvert felt, du kan tænke på, har vi sensorer, der giver os den rigtige slags signaler, siger han. Problemet var, hvordan vi egentlig håndterer alle disse data?

Microsoft underretter, ligesom andre teknologigiganter, inklusive Google og Facebook, jævnligt folk, der er målrettet af statslige hackere, hvilket giver målene chancen for at forsvare sig selv. I det sidste år har MSTIC underrettet omkring 10.000 Microsoft-kunder om, at de bliver ramt af statslige hackere.

Nye mål

Begyndende i august opdagede MSTIC, hvad der er kendt som en adgangskodespraykampagne. Hackere foretog omkring 2.700 veluddannede gæt på adgangskoder til konti forbundet med en amerikansk præsidentkampagne, embedsmænd, journalister og højt profilerede iranere, der bor uden for Iran. Fire konti blev kompromitteret i dette angreb.

Analytikere hos MSTIC identificerede kompromiserne til dels ved at spore infrastruktur, som Microsoft siger, at de ved udelukkende kontrolleres af den iranske hackergruppe Phosphorus.

Når vi først forstår deres infrastruktur – vi har en IP-adresse, som vi ved er deres, som de bruger til ondsindede formål – kan vi begynde at se på DNS-registreringer, oprettede domæner, platformstrafik, siger Dallman. Når de vender om og begynder at bruge den infrastruktur i denne form for angreb, ser vi det, fordi vi allerede sporer det som en kendt indikator for den pågældende skuespillers adfærd.

Efter at have udført betydeligt rekognosceringsarbejde forsøgte Phosphorus at udnytte kontogendannelsesprocessen ved at bruge måls rigtige telefonnumre. MSTIC har set Phosphorus og andre regeringssponserede hackere, inklusive Ruslands Fancy Bear, der gentagne gange brugte denne taktik til at forsøge at phishe tofaktorautentificeringskoder for mål af høj værdi.

Det, der ved denne lejlighed rejste Microsofts alarm over det normale, var, at Phosphorus ændrede sin standardprocedure for at gå efter NGO'er og sanktionsorganisationer. Trådkorset skiftede, taktikken ændrede sig, og omfanget voksede.

Dette er ikke ualmindeligt, men forskellen her var, at dette var i en væsentlig større skala, end vi havde set før, siger Dallman. De målretter ofte mod disse typer mennesker, men det var omfanget og den enorme mængde af rekognosceringsarbejde, de havde udført for denne kampagne [der var anderledes]. Og så kom det i sidste ende til de personer, de var rettet mod, inklusive personen i præsidentkampagnen.

Microsofts efterforskning pegede i sidste ende finger på iranske hackere for at målrette præsidentkampagner, herunder Reuters rapporteret , Donald Trumps genvalgsoperation i 2020.

Microsofts Redmond-campus er enorm. På over 8 millioner kvadratmeter er det hjemsted for over 50.000 ansatte. kilde: Microsoft

Vi har set mønstrene.

I Lamberts to årtier hos Microsoft har cyberdomænets værktøjer og våben spredt sig til dusinvis flere lande, hundredvis af dygtige cyberkriminalitetsgrupper og – i stigende grad – en industri af private virksomheder, der sælger bedrifter internationalt til købere, der er villige til at betale den højeste dollar.

Spredning betyder en meget bredere vifte af ofre, siger Lambert. Flere skuespillere at spore.

Det viser sig i politiske hacks. En konsekvens af det amerikanske valg i 2016 er en stigning i det store antal spillere, der kæmper for at hacke politiske partier, kampagner og tænketanke, for ikke at nævne regeringen selv. Valgrelateret hacking har typisk været provinsen for de fire store – Rusland, Kina, Iran og Nordkorea. Men det spreder sig til andre lande, selvom Microsoft-forskerne afviste at specificere, hvad de har set.

Hvad der er anderledes er, at du får flere lande med i kampen, som ikke nødvendigvis var der før, siger Jason Norton, en hovedprojektleder på MSTIC. De to store [Rusland og Kina] - nu kan vi sige, at de historisk set har gået efter dette siden et godt stykke tid før valget i 2016. Men nu kommer du til at se flere lande gøre det - stikke og proppe den bløde undermave for at kende de rigtige stykker til at have indflydelse eller indflydelse i fremtiden.

Marken bliver overfyldt, er Dallman enig. Skuespillere lærer af hinanden. Når de lærer taktik fra de mere fremtrædende navne, vender de det om og bruger dem.

Det kommende valg er også anderledes, idet ingen er overrasket over at se denne ondsindede aktivitet. Ind i 2016 blev russisk cyberaktivitet mødt med en kollektiv forbløffet naivitet, hvilket bidrog til lammelse og et usikkert svar. Ikke denne gang.

Forskellen kommer virkelig ned på, hvad vi ved, der kommer til at ske, forklarer Dallman.

Så var det mere ukendt, og vi var ikke sikre på, hvordan taktikken ville udvikle sig. Nu ved vi; vi har set mønstrene. Du så dem i 2016, du så, hvad de gjorde i Tyskland, du så dem ved det franske valg - alt efter den samme MO. Midtvejene i 2018 også - i mindre grad, men vi så stadig nogle af de samme MO, de samme skuespillere, den samme timing, de samme teknikker. Nu ved vi, når vi går ind i 2020, at det er den MO, vi leder efter. Og nu er vi begyndt at se andre lande komme ud og begynde at lave andre taktikker.

Det nye normale er, at industriens cyberintelligensbutikker har en tendens til at gå forrest i denne type offentlig sikkerhedsaktivitet, mens regeringen følger efter.

I 2016 var det CrowdStrike, der først undersøgte og pegede på russisk aktivitet sigter på at blande sig i det amerikanske valg. Den amerikanske retshåndhævelse og efterretningstjeneste bekræftede senere virksomhedens resultater og til sidst, efter Robert Muellers undersøgelse, tiltalte russiske hackere og detaljerede Moskvas kampagne.

Med en samlet størrelse på over $1 billion er Microsoft en størrelsesorden større, hvilket bringer enorme ressourcer til sikkerhedsudfordringen. Og teknologigiganten har en anden stor fordel: den har øjne, ører og software overalt. Det, som Lambert måske siger, er dens superkraft.

skjule