211service.com
Da kinesiske hackere erklærte krig mot oss andre
Andrea Daquino
Sent en onsdag i mars 2015 lød en alarm på kontoret til GitHub, et San Francisco-basert programvarefirma. Selskapets kontorer eksemplifiserte den typen Skandinavia-møter-sjeleløshet som har spredt seg fra Silicon Valley for å ta over moderne arbeidsplasser: eksponert tre, åpne rom og mye naturlig lys. De fleste ansatte forberedte seg på å forlate, hvis de ikke allerede hadde gjort det. Ute hadde solen begynt å gå ned og det var lunt og klart.
Alarmer var ikke uvanlig på GitHub. Selskapet hevder å opprettholde det største depotet for datakode i verden. Den hadde rundt 14 millioner brukere på den tiden, og er stolte av å opprettholde tjenesten og være online. GitHubs kjerneprodukt er et sett med redigeringsverktøy som lar et stort antall programmerere samarbeide om programvare og holde styr på endringer etter hvert som feil blir fikset. I oktober 2018 ville Microsoft kjøpe den for 7,5 milliarder dollar.
Tilbake i 2015 var GitHub imidlertid fortsatt et fremadstormende, uavhengig selskap hvis suksess kom fra å gjøre det betydelig enklere for andre mennesker å lage dataprogramvare. Den første alarmen indikerte at det var en stor mengde innkommende trafikk til flere prosjekter lagret på GitHub. Dette kan være uskyldig – kanskje et selskap nettopp hadde lansert en stor ny oppdatering – eller noe mer skummelt. Avhengig av hvordan trafikken ble gruppert, ville flere alarmer høres hvis den plutselige tilstrømningen påvirket tjenesten på hele nettstedet. Alarmene gikk. GitHub ble DDoS-redigert.
En av de hyppigste årsakene til at et nettsted går ned er en kraftig økning i trafikken. Servere blir overveldet av forespørsler, noe som får dem til å krasje eller senke seg til en pinefull grind. Noen ganger skjer dette rett og slett fordi nettstedet plutselig blir populært. Andre ganger, som i et DDoS-angrep (Distributed Denial of Service), er toppen ondsinnet konstruert. De siste årene har slike angrep blitt mer vanlige: hackere har begynt å infisere et stort antall datamaskiner med virus, som de deretter bruker til å ta kontroll over datamaskinene, og verve dem til DDoS-angrepet.
Vi opplever for tiden det største DDoS-angrepet i GitHubs historie, skrev seniorutvikler Jesse Newland i et blogginnlegg nesten 24 timer etter at angrepet startet. I løpet av de neste fem dagene, da ingeniører brukte 120 timer på å bekjempe angrepet, gikk GitHub ned ni ganger. Det var som en hydra: hver gang laget trodde de hadde kontroll på det, tilpasset angrepet seg og fordoblet innsatsen. GitHub ville ikke kommentere posten, men et teammedlem som snakket med meg anonymt sa at det var veldig åpenbart at dette var noe vi aldri hadde sett før.
I selskapets interne chatterom innså GitHub-ingeniører at de ville takle angrepet en stund. Ettersom timene strakte seg til dager, ble det noe av en konkurranse mellom GitHub-ingeniørene og den som var i den andre enden av angrepet. Teamet jobbet lange, hektiske skift og hadde ikke mye tid til å spekulere om angripernes identitet. Ettersom rykter florerte på nettet, ville GitHub bare si: Vi tror at hensikten med dette angrepet er å overbevise oss om å fjerne en bestemt klasse innhold. Omtrent en 20-minutters kjøretur unna, over San Francisco Bay, trodde Nicholas Weaver at han kjente den skyldige: Kina.
Weaver er en nettverkssikkerhetsekspert ved International Computer Science Institute, et forskningssenter i Berkeley, California. Sammen med andre forskere hjalp han til med å finne målene for angrepet: to GitHub-verterte prosjekter knyttet til GreatFire.org, en Kina-basert antisensurorganisasjon. De to prosjektene gjorde det mulig for brukere i Kina å besøke både GreatFires nettsted og den kinesiskspråklige versjonen av New York Times, som begge vanligvis er utilgjengelige for brukere i Kina. GreatFire, kalt en utenlandsk anti-kinesisk organisasjon av Cyberspace Administration of China, hadde lenge vært et mål for DDoS og hackingangrep, og det er grunnen til at det flyttet noen av tjenestene sine til GitHub, hvor de nominelt var ute av skade.
Ikke bare blokkerte Kina biter og bytes med data som prøvde å komme seg inn i Kina, men det kanaliserte også dataflyten ut av Kina.
Weaver fant noe nytt og bekymringsfullt da han undersøkte angrepet. I en papir medforfatter sammen med forskere ved Citizen Lab, en aktivist og forskningsgruppe ved University of Toronto, beskrev Weaver et nytt kinesisk cybervåpen som han kalte den store kanonen. Den store brannmuren – et forseggjort opplegg med sammenhengende teknologier for å sensurere internettinnhold som kommer fra utenfor Kina – var allerede velkjent. Forskere fra Weaver og Citizen Lab fant at ikke bare blokkerte Kina biter og bytes med data som prøvde å komme seg inn i Kina, men det kanaliserte også dataflyten ut av Kina.
Den som kontrollerte den store kanonen ville bruke den til å selektivt sette inn ondsinnet JavaScript-kode i søk og annonser levert av Baidu, en populær kinesisk søkemotor. Den koden ledet deretter enorme mengder trafikk til kanonens mål. Ved å sende en rekke forespørsler til serverne som den store kanonen ledet trafikk fra, klarte forskerne å sette sammen hvordan den oppførte seg og få innsikt i dens indre virkemåte. Kanonen kan også brukes til andre malware-angrep i tillegg til tjenestenektangrep. Det var et kraftig nytt verktøy: Å distribuere den store kanonen er et stort skifte i taktikk, og har en svært synlig innvirkning, skrev Weaver og hans medforfattere.
Angrepet pågikk i flere dager. Citizen Lab-teamet sa at de var i stand til å observere effektene i to uker etter at GitHubs alarmer først gikk av. Etterpå, da GitHub-utviklerne slet med å forstå angrepet og komme med et veikart for fremtidige hendelser, var det forvirring i nettsikkerhetssamfunnet. Hvorfor hadde Kina satt i gang et så offentlig angrep, på en så sløv måte? Det var overkill, fortalte Weaver meg. De holdt angrepet i gang lenge etter at det hadde sluttet å virke.
Det var et budskap: et skudd over baugen fra arkitektene bak den store brannmuren, som – etter å ha erobret internett hjemme – nå i økende grad tok sikte utenlands, og var uvillige til å utfordre deres kontroll- og sensursystem, uansett hvor de kom fra.
GitHub-angrepet var en sjelden offentlig visning av angrepskraften til Kinas cyberstat, som vanligvis foretrakk å utøve sine evner bak kulissene. Noen av disse egenskapene ble oppdaget ved en tilfeldighet i januar 2009.
På loftet i en storslått gammel bygning i rød murstein midt på University of Toronto campus, like nord for sentrum, stirret Nart Villeneuve vantro på dataskjermen sin. Villeneuve var hovedfagsstudent ved universitetet og forsker ved Citizen Lab. Han hadde sporet en sofistikert nettspionasjegruppe som infiltrerte datamaskiner, e-postkontoer og servere rundt om i verden og spionerte på brukerne og innholdet deres. Angriperne hadde nøye skreddersydd såkalte spyd-phishing-e-poster slik at de ser ut til å være fra måls venner og kolleger, og overbeviste folk om å laste ned skadevare på maskinene deres og ubevisst åpne seg for overvåking. Kampanjen var avansert, men skaperne så også ut til å ha gjort noe ganske dumt.
Villeneuve tok opp telefonen og ringte Ron Deibert, hans veileder og grunnleggeren av Citizen Lab.
Som Deibert forteller i sin bok Black Code: Inside the Battle for Cyberspace , hadde Villeneuve oppdaget en kommando-og-kontroll-server for skadelig programvare som hadde spredt seg vidt rundt på internett.
Jeg er med, hvisket Villeneuve inn i telefonen hans.
Etterforskningen deres hadde startet måneder tidligere i Dharamsala, en indisk by som Dalai Lama hadde flyktet til i 1959, som nå er sentrum for det tibetanske eksilsamfunnet. Greg Walton, en Citizen Lab-feltforsker, hadde besøkt området i årevis. På slutten av 1990-tallet og begynnelsen av 2000-tallet bidro Walton til å utvide arbeidet utført av de to tidligere tibetanske internettpionerene, Dan Haig og Thubten Samdup, som hjalp til med å koble Dharamsala til World Wide Web i en tid da resten av India knapt var koblet til. . Walton bygde nettsteder for forskjellige frivillige organisasjoner og offentlige avdelinger, underviste i dataklasser og hjalp folk med å sette opp e-postkontoer. Når han ser tilbake, innså han at de var altfor fanget av fordelene med internett, og dets evne til å koble sammen og forene den stadig mer spredte tibetanske diasporaen, til å tenke på ulempene. Selv om de første dagene var tøffe og teknologien vaklevoren, tok internett raskt tak i Dharamsala. Sikkerheten var lite bekymret.
Disse nye advarslene var mye mer effektive – og skumle – fordi de ble sendt til utenlandske ledere når planene ikke hadde blitt avslørt offentlig.
Ulempene til Tibets tidlige bruk av internett ble raskt tydelige. Den kinesiske regjeringen ville sende sinte meldinger til utenlandske ledere mens de prøvde å sette opp møter med Dalai Lama, før hendelsene i det hele tatt ble annonsert. Den kinesiske regjeringen hadde lenge offentlig protestert mot ethvert engasjement med separatister. Men som folk i det tibetanske samfunnet fortalte meg, var disse nye advarslene mye mer effektive – og skumle – fordi de ble sendt til utenlandske ledere når planene ikke var blitt offentliggjort. Den kinesiske regjeringen ønsket at alle berørte skulle vite at de lyttet.
Diaspora-tibetanere som krysset inn i kinesisk-kontrollert territorium ble arrestert ved grensen og forhørt. Hvis de forsøkte å nekte engasjement i politikk, ble deres egne e-poster presentert som bevis. En kvinne som jobbet med et oppsøkende program i Dharamsala som mottok midler fra den amerikanske regjeringsstøttede Voice of America, dro over til Tibet fra Nepal da hun ble stoppet av kinesisk politi. Hun ble presentert for utskrifter av sin private kommunikasjon med folk i det kinesisk-kontrollerte Tibet. En annen kvinne, en amerikansk lærd bosatt i Beijing, mottok en invitasjon til te med sikkerhetsfunksjonærer, en semi-vanlig hendelse for alle som har å gjøre med sensitive saker i Kina. Da hun ble spurt om e-posten sin, ga hun sikkerhetstjenestemennene en dummy-konto hun ikke brukte til noe annet; to dager senere forsøkte noen å hacke den adressen.
Tilbake i Dharamsala ble datamaskin etter datamaskin deaktivert av aggressiv skadelig programvare designet for ikke å spionere, men for å sabotere.
Det var tydelig at noen siktet tibetanere. Alle tegn pekte mot Kina, men kilden til operasjonen var uklar. Ble tibetanerne målrettet av sikkerhetstjenestene, av militæret, av såkalte patriotiske hackere, eller av en kombinasjon av alle tre?
I samarbeid med tibetanske sikkerhetseksperter begynte Walton å samle inn prøver av skisserte e-poster og skadelig programvare. En av disse lokale ekspertene var Lobsang Gyatso Sither. Sither ble født i Dharamsala i 1982, en av en generasjon eksil som aldri har bodd i Tibet. Han studerte informatikk i India og Storbritannia, og hadde stort sett forlatt Dharamsala da han møtte Walton i London på slutten av 2000-tallet og lærte om målrettingen av tibetanere. Han returnerte med Walton til Himalaya, og de to begynte å jobbe med Dalai Lamas kontor, og ethvert annet åpenbart mål, for å motvirke hacks og cyberangrep.
I begynnelsen var angrepene ganske usofistikerte: e-poster på dårlig engelsk ville oppmuntre brukere til å kjøre kjørbare filer. Alene ville de ikke ha skapt for mye alarm, men etter hvert som Walton, Sither og andre samlet flere og flere prøver, begynte de å se omfanget av kampanjen. Hele fellesskapet ble målrettet, selv om de fleste ville ha vært av liten interesse for hackere, fortalte Sither meg.
Selv personer som ikke er umiddelbart relatert til et nøkkelmål, kan være nyttige for hackere. I likhet med politiet som forfølger en pøbelsak, kan hackere bevege seg oppover i kjeden ved å bruke kompromitterte kontoer for å gå etter de endelige målene og deres medarbeidere med mer troverdige phishing-angrep.
Angriperne overvåket nøye suksessen med operasjonen. Da en stor utdanningskampanje ble lansert for å oppmuntre tibetanere til ikke å åpne vedlegg og i stedet stole på skybaserte tjenester som Google Drive for å dele dokumenter, dukket det raskt opp ny skadelig programvare. Den var spesifikt rettet mot tjenestene utdanningskampanjen hadde anbefalt.
Før Villeneuves oppdagelse av kommando-og-kontroll-serveren, hadde teamet bare vært i stand til å spore målene for malware-kampanjen – ikke angriperne selv. Nå kunne Villeneuve se nøyaktig hva angriperne gjorde på datamaskinene de fikk tilgang til. Det primære våpenet i hackernes verktøysett var et enkelt stykke skadelig programvare, opprinnelig utviklet av kinesiske programmerere og senere overført til engelsk, kalt Gh0st Remote Administration Tool, eller Gh0st Rat.
Gjennom sine undersøkelser i Dharamsala, var Citizen Lab-teamet i stand til å se at skadelig programvare rettet mot tibetanere kommuniserte med servere basert i Hainan, en sørkinesisk øy. Hacket var rettet mot militære tjenestemenn, lovgivere, journalister og hundrevis av andre i Dharamsala, over hele India og andre steder i Asia, hvis aktivitet ble overvåket av hackerne. Nesten sikkert, skrev teamet i sin rapport, dokumenter blir fjernet uten målenes viten, tastetrykk logges, nettkameraer utløses i det stille, og lydinnganger aktiveres i det skjulte. Mens Citizen Lab ikke kunne si definitivt hvem som sto bak hacket, konkluderte rapporten med at dette settet med høyprofilerte mål mest sannsynlig har blitt utnyttet av den kinesiske staten til militære og strategiske etterretningsformål.
Rapporten kom til denne konklusjonen fordi øya Hainan var vert for Lingshui-signaletterretningsanlegget og en avdeling av den tredje tekniske avdelingen av People's Liberation Army, en kinesisk motpart til National Security Agency. GhostNet, som Citizen Lab-teamet kalte hacket, var blant de tidligste tegnene på de påståtte hackingmulighetene til PLA. I løpet av få år vil FBI tiltale flere ledende militære tjenestemenn for målretting mot amerikanske selskaper og institusjoner, for både industriell og militær spionasje. PLA fikk også skylden for et hack av Office of Personnel Management (OPM), et stort føderalt menneskelig byrå, som kompromitterte personopplysningene til opptil 18 millioner nåværende, tidligere og potensielle føderale ansatte.
OPM-hakket ble offentlig kunngjort i juni 2015. Noen måneder senere president Barack Obama vert Den kinesiske lederen Xi Jinping i Det hvite hus, hvor de to mennene signerte en bilateral avtale som lovet at ingen av landets regjeringer vil gjennomføre eller bevisst støtte cyberaktivert tyveri av intellektuell eiendom, inkludert forretningshemmeligheter eller annen konfidensiell informasjon. Avtalen var en stor diplomatisk seier for Obama da han nærmet seg slutten av sin andre periode, og de første tegnene på fremgang var gode, men riktig gransking ble i stor grad undergravd av det amerikanske valget i 2016 og påfølgende raseri over påstått russisk hacking av Det demokratiske partiet. Ettersom bekymringene for skyggefulle hackere som undergraver amerikanske institusjoner flyttet fra Beijing til Moskva, ble mindre oppmerksomhet rettet mot den kinesiske regjeringens rolle i fremtidige angrep.
I mellomtiden fortsetter hackere å målrette det tibetanske eksilsamfunnet, og de i diasporaen fortsetter å slå tilbake. I klasserom og møtesaler over hele Dharamsala gjennomfører Sither og andre sikkerhetseksperter workshops om e-postkryptering, sikre meldingsapper og andre måter å holde seg trygg på nettet. Personene Sither jobber med reagerer vanligvis på den konstante cybertrusselen på en av to måter: ambivalens eller paranoia. Begge svarene frustrerer ham. Noen mennesker er fast på at de ikke har noe å skjule; men hvis kontoene deres blir kompromittert, kan det påvirke de som i aller høyeste grad har ting de ønsker å skjule for den kinesiske regjeringen. Andre er så skremt av ideen om at kinesiske spioner ser på at de ikke får noe arbeid gjort: akkurat den typen avkjølende effekt sensurene håpet på. Vi prøver å finne balansen mellom trygghet og å ikke bli for redde, fortalte Sither. Det er en utfordring noen ganger.
Mange trodde internett ville bringe demokrati til Kina. I stedet har den gitt myndighetsovervåking og kontroll utover Mao Zedongs drømmer.
GitHub og tibetanere som Lobsang Sither var blant de første ofrene på en ny front i Kinas krig på internett, lansert av en ny type sensur som var fast bestemt på å gå etter landets fiender uansett hvor de måtte være, med de nødvendige midler.
I desember ble det rapportert at et hack av den internasjonale hotellkjeden Marriott ble utført av kinesiske skuespillere i 2014. Marriott-bruddet ble offentlig kunngjort rundt fire år etter at det fant sted. Mange flere angrep har sannsynligvis ennå ikke blitt offentlig anerkjent, fordi selskaper holder problemene skjult for ikke å skade forholdet til Kina.
Marriott har også båret støyten av en annen kinesisk sensurkampanje. I januar 2018 ble Marriotts nettsted blokkert i Kina, og selskapet ble tvunget til å gi en ydmykende unnskyldning, etter at det oppførte Tibet og Hong Kong som separate land på et skjema. Oppmuntret av deres suksess med å diktere vilkår til Marriott, har kinesiske tjenestemenn gått etter flyselskaper og andre selskaper på grunn av problemer som feilidentifisering av Taiwan.
Mange trodde internett ville bringe demokrati til Kina. I stedet har den gitt myndighetsovervåking og kontroll utover Mao Zedongs drømmer. Nå retter sensuren oppmerksomheten mot resten av verden.
Denne historien er hentet fra James Griffiths nye bok Den store brannmuren i Kina: Hvordan bygge og kontrollere en alternativ versjon av Internett , som skal utgis i mars av Zed Books. Griffiths har rapportert fra Hong Kong, Kina, Sør-Korea og Australia for utsalgssteder inkludert CNN International, South China Morning Post, Atlantic, Vice og Daily Beast.