211service.com
Quando gli hacker cinesi hanno dichiarato guerra al resto di noi
Andrea Daquino
Verso la fine di un mercoledì di marzo 2015, è suonato un allarme negli uffici di GitHub, una società di software con sede a San Francisco. Gli uffici dell'azienda hanno esemplificato il tipo di stile scandinavo che incontra l'assenza di anima che si è diffuso dalla Silicon Valley per prendere il sopravvento sui luoghi di lavoro moderni: legno a vista, spazi aperti e molta luce naturale. La maggior parte dei dipendenti si stava preparando a partire, se non l'avesse già fatto. Fuori, il sole aveva iniziato a tramontare ed era mite e limpido.
Gli allarmi non erano rari su GitHub. La società afferma di mantenere il più grande repository di codice informatico al mondo. All'epoca contava circa 14 milioni di utenti ed è orgoglioso di mantenere il proprio servizio e rimanere online. Il prodotto principale di GitHub è un insieme di strumenti di modifica che consentono a un gran numero di programmatori di collaborare al software e di tenere traccia delle modifiche man mano che i bug vengono corretti. Nell'ottobre 2018, Microsoft lo comprerebbe per 7,5 miliardi di dollari.
Nel 2015, tuttavia, GitHub era ancora un'azienda emergente e indipendente il cui successo derivava dal rendere notevolmente più semplice per altre persone la creazione di software per computer. Il primo allarme indicava che c'era una grande quantità di traffico in entrata verso diversi progetti archiviati su GitHub. Questo potrebbe essere innocente, forse un'azienda aveva appena lanciato un nuovo grande aggiornamento, o qualcosa di più sinistro. A seconda di come è stato raggruppato il traffico, più allarmi suonerebbero se l'afflusso improvviso avesse un impatto sul servizio in tutto il sito. Gli allarmi suonarono. GitHub era in fase di elaborazione DDoS.
Una delle cause più frequenti di caduta di qualsiasi sito Web è un forte aumento del traffico. I server vengono sopraffatti dalle richieste, causandone l'arresto anomalo o rallentando fino a diventare una routine tortuosa. A volte ciò accade semplicemente perché il sito Web diventa improvvisamente popolare. Altre volte, come in un attacco DDoS (Distributed Denial of Service), il picco è progettato in modo dannoso. Negli ultimi anni, tali attacchi sono diventati più comuni: gli hacker hanno iniziato a infettare un gran numero di computer con virus, che poi utilizzano per prendere il controllo dei computer, arruolandoli nell'attacco DDoS.
Attualmente stiamo sperimentando il più grande attacco DDoS nella storia di GitHub, ha scritto lo sviluppatore senior Jesse Newland in un post sul blog quasi 24 ore dopo l'inizio dell'attacco. Nei cinque giorni successivi, mentre gli ingegneri hanno trascorso 120 ore a combattere l'attacco, GitHub è caduto nove volte. Era come un'idra: ogni volta che la squadra pensava di avere una maniglia, l'attacco si adattava e raddoppiava gli sforzi. GitHub non ha voluto commentare il record, ma un membro del team che mi ha parlato in modo anonimo ha detto che era molto ovvio che si trattava di qualcosa che non avevamo mai visto prima.
Nella chat room interna dell'azienda, gli ingegneri di GitHub si sono resi conto che avrebbero affrontato l'attacco per un po' di tempo. Con il passare delle ore in giorni, è diventata una specie di competizione tra gli ingegneri GitHub e chiunque si trovasse dall'altra parte dell'attacco. Lavorando a turni lunghi e frenetici, la squadra non ha avuto molto tempo per speculare sull'identità degli attaccanti. Poiché le voci abbondavano online, GitHub direbbe solo: Crediamo che l'intento di questo attacco sia convincerci a rimuovere una specifica classe di contenuti. A circa 20 minuti di auto, attraverso la baia di San Francisco, Nicholas Weaver pensava di conoscere il colpevole: la Cina.
Weaver è un esperto di sicurezza di rete presso l'International Computer Science Institute, un centro di ricerca a Berkeley, in California. Insieme ad altri ricercatori, ha aiutato a individuare gli obiettivi dell'attacco: due progetti ospitati da GitHub collegati a GreatFire.org, un'organizzazione anti-censura con sede in Cina. I due progetti hanno consentito agli utenti in Cina di visitare sia il sito Web di GreatFire che la versione in lingua cinese del New York Times, entrambi normalmente inaccessibili agli utenti cinesi. GreatFire, soprannominata un'organizzazione straniera anti-cinese dalla Cyberspace Administration of China, è stata a lungo un bersaglio di attacchi DDoS e hacking, motivo per cui ha spostato alcuni dei suoi servizi su GitHub, dove erano nominalmente fuori pericolo.
La Cina non solo stava bloccando bit e byte di dati che stavano cercando di farsi strada in Cina, ma stava anche incanalando il flusso di dati fuori dalla Cina.
Weaver ha trovato qualcosa di nuovo e preoccupante quando ha esaminato l'attacco. In un carta coautore con i ricercatori del Citizen Lab, un attivista e gruppo di ricerca dell'Università di Toronto, Weaver ha descritto una nuova arma informatica cinese che ha soprannominato Great Cannon. Il Great Firewall, un elaborato schema di tecnologie interconnesse per censurare i contenuti Internet provenienti dall'esterno della Cina, era già noto. I ricercatori di Weaver e Citizen Lab hanno scoperto che non solo la Cina bloccava bit e byte di dati che stavano cercando di farsi strada in Cina, ma stava anche incanalando il flusso di dati fuori dalla Cina.
Chiunque stesse controllando il Great Cannon lo avrebbe utilizzato per inserire selettivamente codice JavaScript dannoso nelle query di ricerca e negli annunci pubblicitari serviti da Baidu, un popolare motore di ricerca cinese. Quel codice ha quindi indirizzato enormi quantità di traffico verso i bersagli del cannone. Inviando una serie di richieste ai server da cui il Great Cannon dirigeva il traffico, i ricercatori sono stati in grado di ricostruire come si comportava e ottenere informazioni sul suo funzionamento interno. Il cannone potrebbe essere utilizzato anche per altri attacchi malware oltre agli attacchi denial-of-service. Era un nuovo potente strumento: schierare il Great Cannon è un importante cambiamento tattico e ha un impatto molto visibile, hanno scritto Weaver e i suoi coautori.
L'attacco è andato avanti per giorni. Il team di Citizen Lab ha affermato di essere stato in grado di osservarne gli effetti per due settimane dopo la prima attivazione degli allarmi di GitHub. In seguito, mentre gli sviluppatori di GitHub hanno lottato per dare un senso all'attacco e trovare una road map per incidenti futuri, c'è stata confusione all'interno della comunità della sicurezza informatica. Perché la Cina aveva lanciato un attacco così pubblico, in modo così schietto? È stato eccessivo, mi ha detto Weaver. Hanno continuato l'attacco molto tempo dopo che aveva smesso di funzionare.
Era un messaggio: uno sparo da parte degli architetti del Great Firewall, che, avendo conquistato Internet in casa, ora stavano prendendo sempre più la mira all'estero, riluttanti ad accettare sfide al loro sistema di controllo e censura, non importa dove si trovassero. venire da.
L'attacco GitHub è stata una rara dimostrazione pubblica del potere di attacco del cyber stato cinese, che di solito preferiva esercitare le sue capacità dietro le quinte. Alcune di queste capacità sono state scoperte, per caso, nel gennaio 2009.
Nell'attico di un grande edificio in mattoni rossi nel mezzo del campus dell'Università di Toronto, appena a nord del centro città, Nart Villeneuve fissava incredulo lo schermo del suo computer. Villeneuve era uno studente laureato all'università e ricercatore al Citizen Lab. Stava monitorando un sofisticato gruppo di spionaggio informatico che si stava infiltrando in computer, account di posta elettronica e server in tutto il mondo, spiandone utenti e contenuti. Gli aggressori avevano accuratamente adattato le cosiddette e-mail di spear-phishing in modo che sembrino provenire da amici e colleghi degli obiettivi, convincendo le persone a scaricare malware sui loro computer e ad aprirsi inconsapevolmente alla sorveglianza. La campagna era avanzata, ma sembrava che anche i suoi creatori avessero fatto qualcosa di abbastanza stupido.
Villeneuve prese il telefono e chiamò Ron Deibert, il suo supervisore e fondatore di Citizen Lab.
Come racconta Deibert nel suo libro Codice Nero: Dentro la Battaglia per il Cyberspazio , Villeneuve aveva scoperto un server di comando e controllo per malware che si era diffuso ampiamente su Internet.
Ci sto, sussurrò Villeneuve al telefono.
La loro indagine era iniziata mesi prima a Dharamsala, una città indiana in cui il Dalai Lama era fuggito nel 1959, che ora è il centro della comunità tibetana in esilio. Greg Walton, un ricercatore sul campo di Citizen Lab, visitava la zona da anni. Tra la fine degli anni '90 e l'inizio degli anni 2000, Walton ha contribuito a espandere il lavoro svolto dai due precedenti pionieri di Internet tibetani, Dan Haig e Thubten Samdup, che hanno contribuito a collegare Dharamsala al World Wide Web in un momento in cui il resto dell'India era a malapena cablato . Walton ha creato siti Web per varie ONG e dipartimenti governativi, ha tenuto corsi di informatica e ha aiutato le persone a creare account di posta elettronica. Guardando indietro, si è reso conto che erano tutti troppo presi dai vantaggi di Internet e dalla sua capacità di connettersi e unire la diaspora tibetana sempre più diffusa, per pensare agli aspetti negativi. Sebbene i primi giorni fossero difficili e la tecnologia traballante, Internet ha rapidamente preso piede a Dharamsala. Poca preoccupazione è stata data alla sicurezza.
Questi nuovi avvertimenti erano molto più efficaci e inquietanti perché venivano inviati a leader stranieri quando i piani non erano stati rivelati pubblicamente.
Gli aspetti negativi della precoce adozione di Internet da parte del Tibet sono diventati rapidamente evidenti. Il governo cinese avrebbe inviato missive arrabbiate ai leader stranieri mentre cercavano di organizzare incontri con il Dalai Lama, prima ancora che gli eventi fossero annunciati. Il governo cinese si era opposto pubblicamente da tempo a qualsiasi impegno con i separatisti. Ma come mi hanno detto le persone all'interno della comunità tibetana, questi nuovi avvertimenti sono stati molto più efficaci e inquietanti perché sono stati inviati a leader stranieri quando i piani non erano stati rivelati pubblicamente. Il governo cinese voleva che tutti gli interessati sapessero che stavano ascoltando.
I tibetani della diaspora che hanno attraversato il territorio controllato dalla Cina sono stati arrestati al confine e interrogati. Se cercavano di negare il coinvolgimento in politica, le loro stesse e-mail venivano presentate come prove. Una donna che lavorava a un programma di sensibilizzazione a Dharamsala che ha ricevuto finanziamenti da Voice of America, sostenuta dal governo statunitense, stava attraversando il Tibet dal Nepal quando è stata fermata dalla polizia cinese. Le sono state presentate le stampe delle sue comunicazioni private con le persone all'interno del Tibet controllato dai cinesi. Un'altra donna, una studiosa americana che vive a Pechino, ha ricevuto un invito a prendere un tè con i funzionari della sicurezza, un evento semi-normale per chiunque abbia a che fare con questioni delicate in Cina. Alla richiesta della sua e-mail, ha fornito ai funzionari della sicurezza un account fittizio che non utilizzava per nient'altro; due giorni dopo, qualcuno ha tentato di hackerare quell'indirizzo.
A Dharamsala, computer dopo computer sono stati disabilitati da un malware aggressivo progettato non per spiare, ma per sabotare.
Chiaramente qualcuno stava prendendo di mira i tibetani. Tutti i segnali indicavano la Cina, ma la fonte dell'operazione non era chiara. I tibetani erano presi di mira dai servizi di sicurezza, dai militari, dai cosiddetti hacker patriottici o da una combinazione di tutti e tre?
In collaborazione con esperti di sicurezza tibetani, Walton ha iniziato a raccogliere campioni di e-mail imprecise e malware. Uno di quegli esperti locali era Lobsang Gyatso Sither. Sither è nato a Dharamsala nel 1982, uno di una generazione di esiliati che non ha mai vissuto in Tibet. Ha studiato informatica in India e nel Regno Unito e si era in gran parte lasciato alle spalle Dharamsala quando ha incontrato Walton a Londra alla fine degli anni 2000 e ha appreso del prendere di mira i tibetani. Tornò con Walton sull'Himalaya e i due iniziarono a lavorare con l'ufficio del Dalai Lama, e qualsiasi altro obiettivo ovvio, per contrastare hack e attacchi informatici.
All'inizio, gli attacchi erano piuttosto semplici: e-mail in un inglese stentato incoraggiavano gli utenti a eseguire file eseguibili. Da soli, non avrebbero generato troppo allarme, ma quando Walton, Sither e altri raccolsero sempre più campioni, iniziarono a vedere l'entità della campagna. L'intera comunità era presa di mira, anche se la maggior parte sarebbe stata di scarso interesse per gli hacker, mi disse Sither.
Anche le persone non immediatamente correlate a un obiettivo chiave possono essere utili per gli hacker. Come la polizia che persegue un caso di mafia, gli hacker possono risalire la catena, utilizzando account compromessi per inseguire gli obiettivi finali e i loro associati con attacchi di phishing più credibili.
Gli aggressori stavano monitorando da vicino il successo della loro operazione. Quando è stata lanciata un'importante campagna educativa per incoraggiare i tibetani a non aprire allegati e ad affidarsi invece a servizi basati su cloud come Google Drive per condividere documenti, è apparso rapidamente un nuovo malware. Mirava in modo specifico ai servizi raccomandati dalla campagna educativa.
Prima della scoperta da parte di Villeneuve del server di comando e controllo, il team era stato in grado di tracciare solo gli obiettivi della campagna di malware, non gli aggressori stessi. Ora Villeneuve poteva vedere esattamente cosa stavano facendo gli aggressori sui computer a cui accedevano. L'arma principale nel toolkit degli hacker era un singolo malware, originariamente sviluppato da programmatori cinesi e successivamente convertito in inglese, chiamato Gh0st Remote Administration Tool o Gh0st Rat.
Attraverso le loro indagini a Dharamsala, il team di Citizen Lab è stato in grado di vedere che il malware che prendeva di mira i tibetani stava comunicando con i server con sede ad Hainan, un'isola della Cina meridionale. L'hack ha preso di mira funzionari militari, legislatori, giornalisti e centinaia di altri a Dharamsala, in tutta l'India e altrove in Asia, la cui attività è stata tutta monitorata dagli hacker. Quasi certamente, ha scritto il team nel suo rapporto, i documenti vengono rimossi all'insaputa degli obiettivi, le sequenze di tasti registrate, le webcam vengono attivate silenziosamente e gli ingressi audio attivati di nascosto. Sebbene Citizen Lab non sia stato in grado di dire con certezza chi ci fosse dietro l'hack, il rapporto ha concluso che molto probabilmente questo insieme di obiettivi di alto profilo è stato sfruttato dallo stato cinese per scopi militari e di intelligence strategica.
Il rapporto è giunto a questa conclusione perché l'isola di Hainan ha ospitato la struttura di intelligence dei segnali di Lingshui e una divisione del Terzo Dipartimento tecnico dell'Esercito popolare di liberazione, una controparte cinese dell'Agenzia di sicurezza nazionale. GhostNet, come il team di Citizen Lab ha soprannominato l'hack, è stato tra i primi segni delle presunte capacità di hacking del PLA. Nel giro di anni, l'FBI avrebbe incriminato diversi importanti funzionari militari per aver preso di mira aziende e istituzioni statunitensi, sia per spionaggio industriale che militare. Il PLA è stato anche accusato di un hack dell'Office of Personnel Management (OPM), una grande agenzia federale per le risorse umane, che ha compromesso i dati personali di un massimo di 18 milioni di dipendenti federali attuali, ex e potenziali.
L'hacking dell'OPM è stato annunciato pubblicamente nel giugno 2015. Pochi mesi dopo il presidente Barack Obama ospitato Il leader cinese Xi Jinping alla Casa Bianca, dove i due uomini hanno firmato un accordo bilaterale promettendo che il governo di nessuno dei due paesi condurrà o sosterrà consapevolmente il furto informatico di proprietà intellettuale, inclusi segreti commerciali o altre informazioni riservate. L'accordo è stato una grande vittoria diplomatica per Obama mentre si avvicinava alla fine del suo secondo mandato, e i primi segni di progresso erano buoni, ma un controllo adeguato è stato ampiamente minato dalle elezioni statunitensi del 2016 e dal conseguente furore per il presunto hacking russo del Partito Democratico. Poiché le preoccupazioni per gli hacker oscuri che minano le istituzioni americane si sono spostate da Pechino a Mosca, è stata prestata meno attenzione al ruolo del governo cinese negli attacchi futuri.
Nel frattempo, gli hacker continuano a prendere di mira la comunità tibetana in esilio e quelli della diaspora continuano a reagire. Nelle aule e nelle sale riunioni di Dharamsala, Sither e altri esperti di sicurezza conducono seminari sulla crittografia della posta elettronica, le app di messaggistica sicure e altri modi per rimanere al sicuro online. Le persone con cui Sither lavora generalmente rispondono alla costante minaccia informatica in due modi: ambivalenza o paranoia. Entrambe le risposte lo frustrano. Alcune persone sono fermamente convinte di non avere nulla da nascondere; ma se i loro account sono compromessi, ciò potrebbe influenzare coloro che hanno davvero cose che vorrebbero nascondere al governo cinese. Altri sono così sconvolti dall'idea che le spie cinesi stiano guardando che non portano a termine alcun lavoro: esattamente il tipo di effetto agghiacciante che i censori speravano. Cerchiamo di trovare l'equilibrio tra la sicurezza e il non spaventare troppo le persone, mi ha detto Sither. A volte è una sfida.
Molti pensavano che Internet avrebbe portato la democrazia in Cina. Invece ha potenziato la sorveglianza e il controllo del governo oltre i sogni di Mao Zedong.
GitHub e tibetani come Lobsang Sither sono stati tra le prime vittime su un nuovo fronte della guerra cinese su Internet, lanciata da una nuova razza di censori determinata a inseguire i nemici del Paese ovunque si trovassero, usando qualsiasi mezzo necessario.
A dicembre è stato riferito che un hack della catena alberghiera internazionale Marriott è stato effettuato da attori cinesi nel 2014. La violazione del Marriott è stata annunciata pubblicamente circa quattro anni dopo che si era verificata. È probabile che molti altri attacchi non siano stati ancora riconosciuti pubblicamente, perché le aziende stanno tenendo nascosti i problemi per non danneggiare le relazioni con la Cina.
Marriott ha anche subito il peso maggiore di un'altra campagna di censura cinese. Nel gennaio 2018, il sito Web di Marriott è stato bloccato in Cina e la società è stata costretta a scusarsi umilianti, dopo aver elencato Tibet e Hong Kong come paesi separati su un modulo. Incoraggiati dal loro successo nel dettare termini a Marriott, i funzionari cinesi hanno inseguito compagnie aeree e altre società per questioni come l'identificazione errata di Taiwan.
Molti pensavano che Internet avrebbe portato la democrazia in Cina. Invece ha potenziato la sorveglianza e il controllo del governo oltre i sogni di Mao Zedong. Ora, i censori stanno rivolgendo la loro attenzione al resto del mondo.
Questa storia è stata tratta dal nuovo libro di James Griffiths Il grande firewall cinese: come creare e controllare una versione alternativa di Internet , in uscita a marzo da Zed Books. Griffiths ha riferito da Hong Kong, Cina, Corea del Sud e Australia per punti vendita tra cui CNN International, South China Morning Post, Atlantic, Vice e Daily Beast.