Некоторые награды приятно получать, а другие заставляют на мгновение остановиться. Получение наделившей нас этой неделей премии Péter Szőr Award на конференции Virus Bulletin в Севилье за наше исследование «BPFdoor в телекоммуникационных сетях: спящие ячейки в магистрали» относится ко второму типу.
Virus Bulletin учредил эту награду в честь жизни и работы Петера, и она отмечает выдающиеся технические исследования в области безопасности: скрупулезные, глубокие и полезные — именно тем, чем славился он сам. И если говорить о признании в нашей индустрии, превзойти его сложно. Я невероятно горд.
Что для нас значит премия Péter Szőr Award
Я знал Петера, и в начале своей карьеры я у него учился. Это было время, когда анализ вредоносного ПО означал пристальное изучение ассемблера, споры о том, что на самом деле делает та или иная процедура, и осознание часы спустя, что ваша первая теория была неверна. Одно воспоминание сразу всплыло в памяти, когда я услышал о премии: совместный разбор Stuxnet. Для любого исследователя того времени это был момент, когда стало ясно, что правила игры изменились. Инженерия, ремесло, шпионаж и последствия в физическом мире — все в одном флаконе.
Со мной осталось не то, как много Петер знал, а скорее его любопытство. Он хотел во всем разобраться, а когда разбирался, хотел, чтобы все остальные тоже поняли. Многие блестящие специалисты по кибербезопасности держат свои знания при себе, но те, кто оставляет после себя наследие, делают окружающих лучше.
Получение премии, носящей его имя, показалось одним из тех моментов, когда все замыкается в круг.
Первоначальное исследование от Rapid7 Intelligence появилось после месяцев расследования скрытого доступа в телекоммуникационных средах. Это было не вредоносное ПО, внедренное во время обычного вторжения, а долгосрочное стратегическое позиционирование: пассивные бэкдоры, возможности на уровне ядра и скрытый доступ, тихо обосновавшиеся в критической инфраструктуре и никуда не спешащие.
Телекоммуникационные сети переносят наши коммуникации, наши цифровые удостоверения и, все в большей степени, все, на чем работают государства и бизнес. Поэтому, когда противник устраивает там лагерь, последствия выходят далеко за рамки одной скомпрометированной машины или одной неудачливой компании.
В сообществе Virus Bulletin при выдвижении кандидатуры отмечали, что работа сочетает глубокое техническое исследование с реальным влиянием на практику, включая долгие часы работы с агентствами и CERT по всему миру, а также инструменты, скрипты, аналитические данные и возможности обнаружения для защитников. Это то, чему я рад больше всего, поскольку данное исследование создавалось не ради одной лишь публикации. Помните, что ни один PDF-файл еще не остановил вторжение.
Публикация исследования — это контрольная точка, а не финишная прямая
Мы продолжаем исследования. После выхода первоначального отчета Rapid7 Intelligence проанализировала еще сотни образцов, обнаружила ранее не задокументированные варианты BPFDoor и отследила изменения в методах работы злоумышленников. Наша последующая работа охватила новые варианты httpShell и icmpShell, созданные для того, чтобы обнаружение стало еще более сложным. В дальнейших публикациях мы вышли за рамки BPFDoor, обратившись к другим внедрениям для Linux и инфраструктуре, нацеленной на телекоммуникационные сети и пограничные сетевые среды, включая AVERAT и методы, которые маскируются под обычный трафик вроде SMTP.
Так и продвигается эта работа. Вы что-то находите, делитесь этим, кто-то присылает вам другой образец, CERT замечает что-то в своей среде, аналитик обращает внимание на ту самую странную функцию, на которую никто не посмотрел дважды, и вы снова проваливаетесь в кроличью нору. Любой, кто думает, что первичный отчет — это финишная прямая, никогда не получал «еще всего один образец» в пятницу в 16:00.
И по правде говоря, мне также нравится, что все это происходит открыто. Со стороны наша отрасль выглядит как клетка для боев без правил из-за споров об атрибуции, соглашениях об именовании и о том, чья аббревиатура круче. Но когда речь заходит о действительно важных вещах, исследователи, вендоры, CERT и правительства отставляют это в сторону и делятся информацией, потому что защита людей важнее победы в споре об именах.
Эта награда принадлежит команде: Rapid7 Intelligence
Подобные исследования никогда не принадлежат одному или двум людям. Они принадлежат аналитикам, которые продолжают всматриваться в код после того, как все остальные ушли домой, тем, кто ставит под сомнение какое-то предположение, потому что что-то не сходится, тем, кто обеспечивает работу всего механизма, и инженерам по обнаружению, которые превращают результаты в нечто полезное для защитников. Она также принадлежит людям, собирающим образцы, поддерживающим инфраструктуру и сопоставляющим разведданные, а также CERT, агентствам и коллегам, которые доверяли нам настолько, чтобы делиться тем, что они увидели.
Я горд командой Rapid7 Intelligence, и вовсе не из-за трофея. Я горд тем, за что мы его получили: мы взялись за сложную задачу, проделали тяжелую работу и постарались сделать так, чтобы результат принес пользу кому-то еще.
Поколению исследователей будущего
Сегодня дискуссия эволюционировала и включает в себя автономные агенты, созданное с помощью ИИ вредоносное ПО и атаки со скоростью работы машин. Завтра появится что-то новое. Моя мотивация остается прежней: я хочу оставить цифровой мир немного более безопасным для поколений, которые придут после нас.
Где-то прямо сейчас молодой исследователь впервые открывает отладчик и удивляется, как эта штука вообще работает. Кто-то будет исследовать Stuxnet своего поколения, а кто-то в конце концов займет кресло, в котором сижу я сейчас. Наша задача — не просто обнаруживать сегодняшние атаки. Наша задача — делиться тем, чему мы научились, создавать инструменты, наставлять людей и делать так, чтобы они начинали на несколько шагов впереди нас.
Петер сделал это для нашей индустрии, и он сделал это для меня.
Спасибо Virus Bulletin и нашим коллегам по сообществу безопасности за это признание, всем, кто внес свой вклад в исследование — публично или за кулисами, и Петеру, который научил молодого исследователя вредоносного ПО тому, что разбирать вещи на части — это лишь половина дела. Вторая половина заключается в том, чтобы убедиться, что кто-то другой сможет учиться на том, что вы обнаружили.
