211service.com
Inne i Microsoft-teamet som sporer verdens farligste hackere
Konseptuell Ms Tech / kildebilder: Unsplash, Wikimedia commons
Da Pentagon nylig tildelte Microsoft en kontrakt på 10 milliarder dollar for å transformere og være vert for det amerikanske militærets cloud computing-systemer, kom fjellet av penger med en implisitt utfordring: Kan Microsoft holde Pentagons systemer sikre mot noen av de mest ressurssterke, vedvarende og sofistikerte hackere på jorden?
De er under angrep hver time på dagen, sier James Lewis, visepresident ved Center for Strategic and International Studies.
Microsofts siste seier over skyrival Amazon for den ultralukrative militærkontrakten betyr at et etterretningsinnhentingsapparat blant de viktigste i verden er basert i skogen utenfor Seattle. Denne typen nasjonale sikkerhetsansvar lå en gang nesten utelukkende i Washington, DC. Nå i dette hjørnet av staten Washington er dusinvis av ingeniører og etterretningsanalytikere dedikerte til å se og stoppe de regjeringssponsede hackerne som sprer seg rundt om i verden.
Medlemmer av det såkalte MSTIC (Microsoft Threat Intelligence Center)-teamet er trusselfokusert: én gruppe er ansvarlig for russiske hackere med kodenavn Strontium, en annen ser på nordkoreanske hackere med kodenavn Zinc, og enda en annen sporer iranske hackere med kodenavn. Holmium. MSTIC sporer over 70 kodenavn, regjeringssponsede trusselgrupper og mange flere som ikke er navngitte.
Regnet begynte rett før jeg ankom en typisk høstdag i Redmond, Washington. Det fortsatte å falle under hele besøket mitt. Microsofts hovedkvarter er like stort og labyrintisk som enhver offentlig installasjon, med hundrevis av bygninger og tusenvis av ansatte. Jeg kom for å møte Microsoft-teamet som sporer verdens farligste hackere.
Angrep og forsvar
John Lambert grunnla og leder MSTIC. Microsoft
John Lambert har vært i Microsoft siden 2000, da en ny cybersikkerhetsrealitet først fant sted både i Washington, DC og ved Microsofts hovedkvarter i delstaten i Washington.
Microsoft, den gang et enestående kraftig selskap som monopoliserte PC-programvare, hadde først relativt nylig innsett viktigheten av internett. Da Windows XP hadde erobret verden mens de forble sjokkerende usikkert, var teamet vitne til en rekke enorme og pinlige sikkerhetsfeil, inkludert selvreplikerende ormer som Code Red og Nimda. Feilene påvirket mange av Microsofts enorme antall offentlige og private kunder, og satte kjernevirksomheten i fare. Ikke før i 2002, da Bill Gates sendte ut sitt berømte notat som oppfordret til å legge vekt på pålitelig databehandling, begynte Redmond endelig å kjempe med viktigheten av nettsikkerhet.
Det var da Lambert ble fascinert av den offensive siden av cyber.
Det kreves en perfeksjon i grensene for angrep og forsvar, fortalte Lambert meg. For å forsvare deg godt må du kunne angripe. Du må ha det offensive tankesettet også; du kan ikke bare tenke på forsvar hvis du ikke vet hvordan du skal være kreativ om krenkelser.
Etter å ha sett antallet regjeringssponsede hackingkampanjer øke, brukte Lambert denne offensive tankegangen for å bidra til grunnleggende endringer i måten Microsoft nærmet seg problemet på. Målet var å flytte fra en ukjent skyggeverden – der forsvarsteam ser frustrert på mens sofistikerte hackere trenger inn i nettverk med potente nulldagssårbarheter – til et domene der Microsoft kan se nesten hva som helst.
Hva er superkreftene til Microsoft? Lambert husker at han spurte.
Svaret er at Windows-operativsystemet og annen programvare er nesten overalt, og gir Microsoft verktøyene til å fornemme hva som skjer på kolossale deler av internett. Det reiser reelle og pågående personvernspørsmål vi fortsatt ikke har kjempet helt med. For sikkerhet er det imidlertid en enorm fordel.
Microsofts produkter hadde allerede Windows-feilrapportsystemer innebygd for å prøve å forstå generelle feil og feil ved hjelp av telemetri, eller innsamling av data fra selskapets maskinvare eller programvare som er i bruk. Men det var Lambert og sikkerhetsteamene som gjorde telemetrisystemene til kraftige sikkerhetsverktøy, og forvandlet det som en gang var en langsom og vanskelig oppgave. Tidligere måtte sikkerhetsteam ofte fysisk gå verden rundt, finne spesifikke målrettede maskiner, kopiere harddiskene deres og dykke sakte ned i hendelsene. Nå når disse maskinene ganske enkelt ut til Microsoft. Så godt som alle krasj og uventet oppførsel rapporteres til selskapet, som sorterer gjennom datamassen og ofte finner skadevare før alle andre.
Skadevare kjent som Dårlig kanin , som i 2017 utga seg for å være en Adobe Flash-oppdatering og deretter tørket ut harddisken til et offer, krystalliserer hvordan Microsoft endret svakhet til styrke. Innen 14 minutter etter introduksjonen av løsepengevaren gikk maskinlæringsalgoritmer gjennom dataene og begynte raskt å forstå trusselen. Windows Defender begynte å blokkere den automatisk, lenge før noen visste hva som skjedde.
Bad Rabbit ble hovedsakelig observert i Russland og Ukraina i 2017. Dette er løsepengene ofrene mottok. Kildebilde: Kaspersky Labs
Det er det ingen andre har: synlighet og data. Dataene som ingen andre har, er rundt disse programkrasj ved operativsystemet og programvarelaget, sier Jake Williams, et tidligere medlem av National Security Agency. Selv for tredjepartskrasj har de telemetri rundt disse. Når du begynner å se på utnyttelsesmål, har Microsoft muligheten gjennom deres telemetri. Denne telemetrien har gjort alle Windows-maskiner og -produkter til en kilde som mater Microsoft-data og -logger, umiddelbart og over hele verden, på alt som er uvanlig.
Microsoft ser ting som bare ingen andre gjør, sier Williams, som grunnla cybersikkerhetsfirmaet Rendition Infosec. Vi finner rutinemessig ting, for eksempel, som flagg for ondsinnede IP-er i Office 365 som Microsoft flagger, men vi ser det ikke noe annet sted på flere måneder.
Prikk-til-prikk
Etterretning om cybertrusler er disiplinen med å spore motstandere, følge brødsmuler og produsere intelligens du kan bruke for å hjelpe laget ditt og gjøre den andre sidens liv vanskeligere. For å oppnå det, inkluderer det fem år gamle MSTIC-teamet tidligere spioner og statlige etterretningsoperatører hvis erfaring på steder som Fort Meade, hjemmet til National Security Agency og US Cyber Command, umiddelbart oversettes til rollene deres hos Microsoft.
MSTIC nevner dusinvis av trusler, men geopolitikken er komplisert: Kina og USA, to av de mest betydningsfulle aktørene i cyberspace og de to største økonomiene på jorden, blir praktisk talt aldri kalt ut slik land som Iran, Russland og Nord-Korea ofte er.
Teamet vårt bruker dataene, kobler sammen punktene, forteller historien, sporer skuespilleren og deres oppførsel, sier Jeremy Dallman, direktør for strategiske programmer og partnerskap ved MSTIC. De jakter på skuespillerne – hvor de flytter, hva de planlegger videre, hvem de sikter mot – og kommer i forkant av det.
Tanmay Ganacharya leder avansert forskning om trusselbeskyttelse på Microsoft Defender-teamet, som bruker datavitenskap på massen av innkommende signaler i et forsøk på å lage nye lag med forsvar. Fordi vi har produkter på tvers av alle felt du kan tenke deg, har vi sensorer som gir oss riktig type signaler, sier han. Problemet var hvordan vi egentlig håndterer alle disse dataene?
Microsoft, som andre teknologigiganter inkludert Google og Facebook, varsler regelmessig folk som er målrettet av statlige hackere, noe som gir målene sjansen til å forsvare seg. I løpet av det siste året har MSTIC varslet rundt 10 000 Microsoft-kunder om at de blir målrettet av offentlige hackere.
Nye mål
Fra og med august oppdaget MSTIC det som er kjent som en passordspraykampanje. Hackere tok rundt 2700 utdannede gjetninger på passord for kontoer knyttet til en amerikansk presidentkampanje, myndighetspersoner, journalister og høyprofilerte iranere som bor utenfor Iran. Fire kontoer ble kompromittert i dette angrepet.
Analytikere ved MSTIC identifiserte kompromissene delvis ved å spore infrastruktur Microsoft sier de vet kontrolleres utelukkende av den iranske hackergruppen Phosphorus.
Når vi forstår infrastrukturen deres – vi har en IP-adresse vi vet er deres som de bruker til ondsinnede formål – kan vi begynne å se på DNS-poster, opprettede domener, plattformtrafikk, sier Dallman. Når de snur seg og begynner å bruke den infrastrukturen i denne typen angrep, ser vi det fordi vi allerede sporer det som en kjent indikator på den skuespillerens oppførsel.
Etter å ha gjort betydelig rekognoseringsarbeid, prøvde Phosphorus å utnytte kontogjenopprettingsprosessen ved å bruke måls ekte telefonnumre. MSTIC har sett Phosphorus og andre regjeringssponsede hackere, inkludert Russlands Fancy Bear, gjentatte ganger som bruker den taktikken for å prøve å phishe tofaktorautentiseringskoder for mål med høy verdi.
Det som løftet Microsofts alarm over normalen ved denne anledningen, var at Phosphorus varierte sin standard operasjonsprosedyre for å gå etter NGOer og sanksjonsorganisasjoner. Hårkorset endret seg, taktikken endret seg, og omfanget vokste.
Dette er ikke uvanlig, men forskjellen her var at dette var i en betydelig større skala enn vi hadde sett før, sier Dallman. De retter seg ofte mot denne typen mennesker, men det var omfanget og den enorme mengden rekognoseringsarbeid de hadde gjort for denne kampanjen [som var annerledes]. Og så kom det til slutt ned til individene de siktet mot, inkludert individet på presidentkampanjen.
Microsofts etterforskning viste til slutt fingeren på iranske hackere for å målrette mot presidentkampanjer inkludert Reuters rapportert , Donald Trumps gjenvalgsoperasjon i 2020.
Microsofts Redmond-campus er enorm. På over 8 millioner kvadratmeter, er det hjemmet til over 50 000 ansatte. kilde: Microsoft
Vi har sett mønstrene.
I løpet av Lamberts to tiår hos Microsoft har verktøyene og våpnene til cyberdomenet spredt seg til flere titalls land, hundrevis av dyktige cyberkriminalitetsgrupper, og – i økende grad – en industri av private selskaper som selger bedrifter internasjonalt til kjøpere som er villige til å betale topp dollar.
Spredning betyr et mye bredere spekter av ofre, sier Lambert. Flere skuespillere å spore.
Det viser seg i politiske hacks. En konsekvens av det amerikanske valget i 2016 er en økning i det store antallet spillere som kjemper for å hacke politiske partier, kampanjer og tenketanker, for ikke å snakke om selve regjeringen. Valgrelatert hacking har typisk vært provinsen til de fire store – Russland, Kina, Iran og Nord-Korea. Men det sprer seg til andre land, selv om Microsoft-forskerne nektet å spesifisere hva de har sett.
Det som er annerledes er at du får flere land med i kampen som ikke nødvendigvis var der før, sier Jason Norton, en hovedprosjektleder på MSTIC. De to store [Russland og Kina] – nå kan vi si at de historisk sett har gått etter dette siden godt før valget i 2016. Men nå får du se flere land gjøre det – prikker og pirker på den myke underlivet for å kjenne de riktige delene for å ha innflytelse eller innflytelse i fremtiden.
Det begynner å bli folksomt på banen, er Dallman enig. Skuespillere lærer av hverandre. Når de lærer taktikk fra de mer fremtredende navnene, snur de på det og bruker dem.
Det kommende valget er også annerledes ved at ingen er overrasket over å se denne ondsinnede aktiviteten. Inn i 2016 ble russisk cyberaktivitet møtt med en kollektiv målløs naivitet, noe som bidro til lammelse og en usikker respons. Ikke denne gangen.
Forskjellen kommer egentlig ned til hva vi vet kommer til å skje, forklarer Dallman.
Da var det mer ukjent, og vi var ikke sikre på hvordan taktikken ville utvikle seg. Nå vet vi; vi har sett mønstrene. Du så dem i 2016, du så hva de gjorde i Tyskland, du så dem i det franske valget – alt etter samme MO. Midtterminene i 2018 også - i mindre grad, men vi så fortsatt noen av de samme MO, de samme skuespillerne, samme timing, de samme teknikkene. Nå vet vi, inn i 2020, at dette er MO vi leter etter. Og nå har vi begynt å se andre land komme ut og begynne å gjøre andre taktikker.
Den nye normalen er at industriens cyberintelligensbutikker har en tendens til å gå foran i denne typen offentlig sikkerhetsaktivitet mens myndighetene følger etter.
I 2016 var det CrowdStrike som først undersøkte og pekte fingeren på russisk aktivitet som har som mål å blande seg inn i det amerikanske valget. Det amerikanske rettshåndhevelses- og etterretningsmiljøet bekreftet senere selskapets funn, og til slutt, etter Robert Muellers etterforskning, tiltalte russiske hackere og detaljerte Moskvas kampanje.
Med en total størrelse på over 1 billion dollar er Microsoft en størrelsesorden større, noe som gir enorme ressurser til sikkerhetsutfordringen. Og teknologigiganten har en annen stor fordel: den har øyne, ører og programvare overalt. Det, som Lambert kan si, er dens superkraft.