Россия не занималась хакерскими атаками, чтобы повлиять на предвыборную кампанию и исход выборов в США в прошлом году. Об этом заявил президент РФ Владимир Путин в беседе с американским режиссером Оливером Стоуном.
"Мы не занимались никакими хакерскими атаками", - заявил Путин. "И трудно даже себе представить, чтобы любая другая страна, включая даже такую страну, как Россия, могла серьезным образом как-то повлиять на ход избирательной кампании и на ее результаты", - добавил он.
"Не думаю, что то, что неустановленные хакеры вскрыли проблемы в самой Демократической партии (США), серьезным образом повлияло на ход избирательной кампании и на результаты", - отметил президент. "Да, эти неустановленные хакеры вскрыли проблемы внутри Демократической партии, но они же ничего не соврали, ничего не скомпилировали, никого не обманули. А то, что руководительница Исполнительного комитета демпартии подала в отставку, говорит о том, что она признала, что это (раскрытая информация) правда. Поэтому хакеры здесь не при чем, это внутренние проблемы Соединенных Штатов", - продолжал свою мысль Путин,
"Люди, которые пытались манипулировать общественным мнением, должны были не создавать образ врага в лице России, а извиниться перед своими избирателями. Но они этого не сделали", - резюмировал президент РФ.
Кризисная ситуация в руководстве Демократической партии возникла еще в июле прошлого года, когда на сайте WikiLeaks были выложены в открытый доступ более 19 тыс. посланий по электронной почте и более 8 тыс. других документов, в том числе, переписка ключевых деятелей комитета, похищенных хакерами. В результате скандала председатель Национального комитета партии Дебби Вассерман Шульц покинула свой пост, поскольку из документов следовало, что члены комитета активно искали способы поддержать Клинтон во время первичных выборов, а также дискредитировать сенатора Берни Сандерса, ее конкурента в борьбе за пост официального кандидата партии на пост президента США.
Руководство комитетом временно взяла в свои руки Донна Бразил, возглавлявшая предвыборный штаб Альберта Гора на президентских выборах 2000 года. Администрация Барака Обамы бездоказательно обвинила в кибервзломе неких российских хакеров и ввела санкции в отношении РФ.
Образ врага
Президент РФ отметил, что Вашингтон не сможет постоянно использовать Москву для создания образа внешнего врага и укрепления контроля над другими странами. Российский лидер отметил, что "сейчас происходит определенное укрепление вот этого американского влияния" в Европе, "в том числе за счет восточноевропейских стран".
"Потому что они еще находятся в парадигме противостояния другому доминанту в виде бывшего Советского Союза. Это перекладывается все на сегодняшнюю Россию, но рано или поздно это закончится", - добавил Путин.
Он указал, что США "смогли с помощью инициирования кризиса, скажем, на Украине, возбудить такое отношение к России как к возможному агрессору". Президент также подчеркнул: "Но, все-таки очень скоро всем станет понятно, что никакой угрозы со стороны России не исходит, ни прибалтийским странам, ни восточноевропейским, уж тем более не каким-то более отдаленным в Западной Европе. И по мере укрепления вот этого понимания будет расти желание укреплять свой суверенитет и защищать свои национальные интересы".
Путин отметил, что "постоянно чувствовать на себе какое-то внешнее давление, - это ни у кого не вызывает восторга, рано или поздно это будет иметь свой результат". "Это когда-то все равно закончится, это произойдет. Но лучше, если это произойдет спокойно, в нормальном диалоге", - добавил российский лидер.
"Конечно, там можно опять нагнетать угрозы и в Азиатском регионе, за счет Северной Кореи, за счет каких-то других стран, - констатировал президент России. - Мне кажется, что более востребованным, более устремленным в будущее является переход к другой парадигме отношений, к другой философии отношений между странами, в основе которой должно быть уважение к интересам других народов, к их суверенитету, а не просто запугивание какой-то внешней угрозой, противостоять которой можно только с помощью Соединенных Штатов. Такая парадигма скоро закончится".
В беседе с Путиным в Кремле Стоун заметил, что "складывается впечатление, что это - очень трудное президентство".
"А когда было простое время? - ответил президент России. - У нас никогда не бывает простого времени. Надо просто благодарить Господа за то, что он дает возможность служить своей стране".
TrickBot обзавёлся новым способом связи с командным сервером: вместо привычного HTTP вредонос использует DNS-туннелирование. Команды и украденные данные теперь маскируются под обычные DNS-запросы — попробуй отличи атаку от сетевой рутины.
Исследователи из FortiGuard Labs обнаружили, что TrickBot шифрует данные с помощью XOR-ключа 0xB9, переводит их в шестнадцатеричный формат и дробит на части.
Получившиеся строки становятся поддоменами адресов злоумышленников — например, westurn.in. Запросы могут отправляться через публичные DNS-серверы вроде 8.8.8.8.
Ответы устроены ещё хитрее: вредонос кодирует данные внутри IPv4-адресов, используя старшие биты каждого октета как метки для сборки фрагментов. Один пакет позволяет передать до 183 байт. Если DNS-сервер перемешает ответы, TrickBot расставит их в правильном порядке самостоятельно.
Скорость такого туннеля достигает примерно 30,7 Кбайт/с. Этого достаточно, чтобы загрузить модуль размером 1,2 Мбайт менее чем за минуту. Не оптоволокно, конечно, но для доставки вредоносной нагрузки вполне бодро.
При этом старые привычки TrickBot не забыл. Он сохранил прежнюю структуру команд, умеет загружать модули, внедрять код в процессы, запускать PowerShell и выполнять машинный код.
Для закрепления в системе малварь создаёт задания планировщика с безобидными названиями вроде Wireshark autoupdate #<число>. Они запускаются каждые пять минут и при старте Windows. Сведения о задании и путь к файлу прячутся в альтернативных потоках NTFS $TASK и $FILE.
Строки и названия Windows API внутри образца зашифрованы, а нужные функции определяются во время работы по хешам. Аналитикам оставили настоящий технический квест.
Защитникам рекомендуют проверять аномально длинные и некорректные DNS-запросы, обращения к необычным резолверам и подозрительную активность поддоменов.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.