A Bloomberg hírügynökség újságírója, Michael Riley egy elképesztő, a klasszikus James Bond-filmeket idéző történetet osztott meg olvasóival tegnap publikált riportjában: kutatómunkája során feltárta, hogy a világ jelenlegi két vezető hatalma között zajló kiberháborúban a kínai állami hackerek „nem kispályás módon” tettek alá egy, az amerikai védelmi rendszerben fontos szolgáltatásokat üzemeltető beszállítónak, ugyanis sikeresen behatoltak az adott cég rendszerébe, és ott évekig kényükre-kedvükre manipulálták a folyamatokat.

A szóban forgó cég a brit székhelyű QinetiQ North America, mely az USA Védelmi Minisztériumának kiemelt beszállítója, ugyanis a kiváló referenciákkal rendelkező vállalkozás széles körben ismert arról, hogy a kémtevékenységekhez szükséges megoldások területén is nagy szakértelemmel rendelkeznek. Megoldásaikra az amerikai hadsereg sok területen támaszkodott: a titkosan működő felderítő műholdak működtetése, a drónok, a pilóta nélküli repülőgépek felügyelete, szoftvereiket éles helyzetekben, az ázsiai hadszíntereken is használják az amerikai csapatok.

A QinetiQ létrehozása és működtetése is bevallottan a James Bond-filmek speciális kutatólaboratóriuma alapján született meg, korábbi vezetői között megtalálható a CIA egykori vezetője, illetve a Pentagon volt biztonság főnöke is.

Ám a felhalmozott szakértelem sem volt képes megakadályozni, hogy kínai – minden bizonnyal állami feladatokat teljesítő – hackerek többek között javítatlan sebezhetőséget kihasználva be ne hatoljanak a QinetiQ számítógépes rendszerébe, és ott évekre befészkeljék magukat. Három éven át tevékenykedtek észrevétlenül, és a nemrég megindított vizsgálat során a felkért szakértő, a Verizon biztonsági főnöke csapatával azt állapította meg, hogy gyakorlatilag nem volt olyan modulja a QinetiQ rendszerének, ahol nem találták volna meg a behatolók tevékenységének nyomait.

Támadnak mindent

A riport feltárja azt is, hogy ez az akció nem volt egyedi, úgy tartják nevüket nem vállaló, korábban a Pentagonban dolgozó amerika szakértők, hogy legkésőbb 2007-ben egy összhangolt, széles körű támadássorozat indult Kínából, melynek célpontjai a Védelmi Minisztérium beszállítói voltak. A szakértők szerint folyamatosan vizsgálják a kormányzati szervek, hogy a kínai kibertámadások milyen eredménnyel zárultak, és a legoptimistább becslések szerint is több terabájtnyi adatot szereztek meg a támadók – nemcsak az állami szervektől, hanem egyéb, fontos tevékenységet végző amerikai cégektől is.

De ebben is érdemes disztingválni: a QinetiQ rendszeréből ugyan mennyiségileg viszonylag kevés információhoz jutottak hozzá, ám a cég tevékenysége miatt ezek kulcsfontosságú adatok. Arról az IT café is beszámolt, hogy – állítólag – kínai hackerek jutottak be az egyik vezető fegyvergyártó, az amerikai hadsereg beszállítója, a Lockheed Martin rendszerébe is. A szakértők mostani értékelése szerint ez az akció különösen nagy mértékű károkat okozott, ugyanis a támadók kiemelt projektek, új fejlesztésű harci repülők terveihez fértek hozzá.

A források szerint a támadások nem maradtak észrevétlenek, ezért a Védelmi Minisztérium már 2007-2008-ban figyelmeztette is szerződött partnereit, hogy szigorítsanak biztonsági előírásaikon.

Szervezettek és okosak

A gyanúk alapján indított amerikai vizsgálat feltárta, hogy egy más támadásokról már ismert sanghaji székhelyű hackercsoport felelős a QinetiQ elleni akciókért. Hogy miért is voltak olyan sikeresek, azt a kiváló tényfeltáró riport hosszasan részletezi: a támadók sok apró hibára alapozva állítottak össze egy olyan folyamatot, melynek végén egy szigorúan bizalmas adatokat tartalmazó rendszert voltak képesek uralni. Szerepel itt social engineering, amikor átvertek alkalmazottakat, kihasználták egy alvállalkozó védtelen wifirendszerét, összegyűjtötték a céghez kapcsolódó hackertámadások által megszerzett információkat stb. (A részletes beszámolót olvasva újra csak megerősítést nyer a biztonságtechnikai közhely, hogy mivel a legtöbb esetben az előírások be nem tartása, a protokollok laza alkalmazása vezetett adatszivárgáshoz, a biztonság elsősorban az embereken, nem pedig a technológián múlik.)

Végül összerakták a mozaikdarabkákat, majd a feltárt sebezhetőségek és a rendelkezésre álló információk alapján sikeresen behatoltak a célba vett rendszerekbe.E ponton érdemes megjegyezni, hogy a vélhetőleg állami megbízásból dolgozó hackerek különösen örülhettek a teljesen más célokból támadásokat intéző és a megszerzett adatokat nyilvánosságra hozó Anonymous mozgalom által nyújtott információknak.