ФБР: Нам не нужен бэкдор, нам нужно просто обойти шифрование

ФБР: Нам не нужен бэкдор, нам нужно просто обойти шифрование

ФБР: Нам не нужен бэкдор, нам нужно просто обойти шифрование

В ходе своего выступления на бостонской конференции ФБР, посвященной вопросам кибербезопасности, директор бюро Кристофер Рэй заявил, что наличие бэкдора в шифровании не является целью разведслужбы. Более того, господин Рэй отметил, что толком не знает, что это такое.

«Мы не ищем никакой бэкдор и не пытаемся его внедрить. Даже не знаю, что это такое, в сущности. Это что, какой-то секретный, небезопасный способ доступа», — утверждает глава ФБР.

Рэй отметил, что бюро интересует лишь безопасное средство доступа к доказательствам, хранящимся на устройствах, при наличии соответствующего ордера. Причем реализацию такого подхода глава ФБР возложил на «умных людей, работающих в области технологий».

«Я открыт для любого рода идей. Но я категорически не разделяю мнения о том, что есть некое место, доступ к которому полностью закрыт даже для тех, у кого есть данное законом право защищать невинных граждан», — объяснил свою позицию Кристофер Рэй.

Надо отметить, Рэй куда более сдержан в высказываниях, чем, например, его коллега, судебный эксперт ФБР Стивен Флэтли, недавно назвавший Apple «кучкой мерзацев» и «злыми гениями» за их реализацию шифрования в iPhone.

Нетрудно догадаться, что шифрование, реализованное Apple в iPhone, все еще является серьезной проблемой для ФБР, ставит определенные ограничения в работе разведслужбы. Рэй не забыл упомянуть про невозможность взломать 7 775 устройств в прошлом году, назвав такой подход «проблемой общественной безопасности».

«Каждое их этих почти 7 800 устройств привязано к конкретному инциденту, конкретному подсудимому, конкретной жертве, конкретной угрозе. Прошлой осенью я разговаривал с группой CISO, один из которых сказал буквально следующее: «А что такого в 7 800 устройствах? Таких устройств миллионы»», — продолжил свою речь Рэй.

«Нас не интересует миллион устройств, принадлежащих обычным гражданам. Нас интересуют только те устройства, которые использовались для планирования или осуществления преступной или террористической деятельности», — подытожил директор ФБР.

Рэй убежден, что предоставить доступ к информации на устройствах, не нарушая при этом шифрования, — вполне реализуемая задача. В качестве примера глава ФБР сослался на облачные платформы, доступ к которым пользователи могут получить в любом месте.

«Во-первых, многие из нас здесь используют облачные сервисы. Вы можете получать доступ к электронной почте, файлам и прочей информации на своем компьютере или смартфоне, скажем, находясь в интернет-кафе в Токио. Это стало возможным только потому, что компании серьезно отнеслись к реальной потребности пользователей в гибком доступе к данным», — продолжил Рэй.

Директор ФБР еще раз подчеркнул тот факт, что представители разведслужбы не имеют понятия, как обойти шифрование, не нарушая его. В свою очередь, генеральный директор Apple Тим Кук сказал, что внедрение такого бэкдора не будет проблемой, однако его беспокоит, что злоумышленники найдут способ использовать такой бэкдор в злонамеренных целях.

Напомним, что в январе один из сенаторов США призвал главу ФБР объяснить стремление внедрить бэкдор в шифрование, используемое для защиты таких устройств, как iPhone. Сенатору Рону Видену не понравилась позиция главы ФБР, которого он отчитал за пропаганду «ошибочной политики, которая нанесла бы ущерб американской безопасности, свободе и нашей экономике».

Поддельный Defender открыл дверь: HoneyMyte спрятала бэкдор в ядре Windows

APT-группа HoneyMyte использовала новую версию бэкдора CoolClient в кампаниях кибершпионажа против государственных и частных организаций России, Мьянмы, Монголии, Пакистана и Индии. Обновлённый инструмент добрался до уровня ядра Windows и научился убедительнее прятать следы.

HoneyMyte — китайскоговорящая группа, которая преимущественно атакует государственные структуры в Европе и Азии.

CoolClient входит в её арсенал как минимум с 2022 года, но прежде работал в пользовательском режиме и подключал дополнительные плагины.

Новая версия использует подписанный драйвер ядра, выяснили эксперты Kaspersky GReAT. С его помощью бэкдор скрывает и защищает процессы, файлы и записи реестра, фильтрует сетевую информацию и поддерживает своё присутствие в заражённой системе.

В итоге защитным средствам сложнее его обнаружить, а специалистам — удалить. Бэкдор не просто поселился в Windows, а заранее поменял замки и заклеил глазок.

 

Для доставки CoolClient атакующие применяли другой известный бэкдор — PlugX. Перед установкой они добавляли в исключения Microsoft Defender нужный каталог и файл, чтобы встроенная защита Windows их игнорировала.

Затем злоумышленники создавали поддельный каталог Windows Defender и помещали туда компоненты CoolClient. Легитимную программу Sangfor переименовывали в defender.exe и использовали для загрузки зловредного файла libngs.dll.

Для закрепления в системе HoneyMyte создавала запланированную задачу. При запуске Windows она автоматически выполняла defender.exe с максимальными локальными привилегиями и снова активировала цепочку CoolClient.

Переход на уровень ядра заметно расширил возможности бэкдора и повысил его живучесть. Особенно иронично выглядит маскировка под Microsoft Defender: пока настоящий защитник смотрит в список исключений, поддельный defender.exe занимается ровно противоположной работой.

RSS: Новости на портале Anti-Malware.ru