Российская военная разведка осуществила кибератаку как минимум против одного поставщика программного обеспечения для американских выборов, а накануне ноябрьских президентских выборов разослала целевые фишинговые сообщения 100 с лишним чиновникам из избирательной системы. Об этом говорится в секретном разведывательном отчете, который удалось получить The Intercept.
В совершенно секретном документе Агентства национальной безопасности, который был передан The Intercept анонимно и прошел независимую проверку на подлинность, анализируются полученные агентством последние разведданные о длившейся несколько месяцев кибероперации российской разведки, целью которой были элементы инфраструктуры, обеспечивающие проведение выборов и процесс голосования в США. Этот отчет от 5 мая 2017 года является самым подробным на сегодня документом американского правительства о российском вмешательстве в выборы.
Отчет дает редкую возможность понять техническую сторону российских хакерских действий, но в нем не показаны исходные разведывательные данные, на которых построен анализ. Отказавшийся назвать свое имя сотрудник американских спецслужб предупредил, что не стоит делать далеко идущие выводы из данного документа, потому что один-единственный анализ вряд ли может быть исчерпывающим и окончательным.
В отчете указывается, что российские хакеры могли проникнуть в американские системы для голосования гораздо глубже, чем считалось прежде. В кратком изложении отчета однозначно заявлено, что описанные в документе кибератаки осуществила российская военная разведка, а именно Главное разведывательное управление Генерального Штаба (ГРУ).
Сотрудники Главного разведывательного управления российского Генерального Штаба… в августе 2016 года осуществляли шпионскую деятельность против одной американской компании, видимо, с целью получения информации о программном и аппаратном обеспечении, имеющем отношение к выборам…. Эти сотрудники могли использовать добытые в результате проведенной операции данные… для осуществления целевого фишинг-мошенничества против местных государственных органов США в целях получения регистрационных данных об избирателях.
Эти выводы из документа АНБ находятся в полном противоречии с прозвучавшими на прошлой неделе заявлениями российского президента Владимира Путина о том, что Россия не вмешивается в иностранные выборы. «На государственном уровне мы никогда этим не занимаемся, вот что самое важное», — сказал Путин, который и раньше выступал с опровержениями российского вмешательства. На сей раз президент впервые допустил возможность того, что ответственность за это могут нести независимые российские хакеры «с патриотическими чувствами». В отчете АНБ, напротив, однозначно указывается на то, что кибернападение осуществило ГРУ.
В анализе АНБ не делается никаких выводов и заключений о том, оказало ли это вмешательство влияние на исход голосования. Авторы признаются, что по поводу масштабов действий и достижений хакеров многое остается неизвестным. Вместе с тем, в отчете указывается на то, что российские хакеры своими действиями могли взломать как минимум некоторые элементы системы для голосования, хотя результаты таких действий весьма неопределенны.
Авторы статьи в ходе ее подготовки связывались с АНБ и с аппаратом директора Национальной разведки. Представители этих органов потребовали, чтобы мы не публиковали этот совершенно секретный документ и не сообщали о нем, а также отказались его комментировать. Когда мы проинформировали их, что все-таки намерены опубликовать данный материал, АНБ попросило о внесении ряда правок. Редакция The Intercept согласилась с некоторыми требованиями, когда пришла к выводу, что раскрытие этого материала явно не в интересах общества.
Отчет добавляет некоторые очень важные детали к общей картине, которая вырисовалась из несекретной разведывательной оценки российского вмешательства в выборы, опубликованной администрацией Обамы в январе. В январском документе представлены выводы американского разведывательного сообщества, но опущены многие конкретные детали, что было сделано из-за опасений по поводу раскрытия секретных источников и методов работы. В оценке с большой степенью уверенности делается вывод о том, что Кремль приказал провести масштабную и многоцелевую пропагандистскую кампанию, чтобы «подорвать доверие общества к демократическим процессам в США, очернить госсекретаря Клинтон, а также понизить ее шансы на избрание президентом».
В этой оценке не делается попытка проанализировать степень воздействия российских усилий на выборы, хотя «российские спецслужбы получали и поддерживали доступ к различным элементам американских избирательных органов на уровне штатов и на местах». Как отмечает Министерство национальной безопасности, в этой оценке прозвучало успокаивающее заявление: «Те системы, на которые были нацелены действия русских с целью воздействия на них или вывода их из строя, не имеют отношения к подсчету голосов».
Но теперь АНБ удалось узнать, что российские хакеры, действовавшие от лица государства и входившие в состав команды, «задача которой заключалась в кибершпионаже, нацеленном на выборы в США и в других странах», сосредоточили свои усилия на тех элементах системы, которые непосредственно связаны с регистрацией избирателей«. Среди них оказался частный изготовитель устройств, ведущих и проверяющих списки учета избирателей. В рекламе некоторых устройств этой компании говорится, что они могут подключаться через беспроводной интернет и Bluetooth, которые являются идеальной отправной точкой для дальнейших злонамеренных действий.
Целевая фишинговая атака
Как указывается в секретном отчете АНБ, российский план был весьма прост: представиться торговцем системами электронного голосования и хитростью уговорить местных сотрудников государственных органов открыть документы Microsoft Word, незаметно зараженные мощными программами для взлома. В результате таких действий хакеры могли полностью контролировать зараженные компьютеры.
Но чтобы ввести в заблуждение местных чиновников, хакерам был нужен доступ к внутренним системам торговца программным обеспечением избирательного процесса, поскольку это давало им весьма убедительное прикрытие и маскировку. Поэтому, как сообщается в отчете АНБ, 24 августа 2016 года российские хакеры разослали сотрудникам неназванной американской компании по производству программ для выборов поддельные электронные сообщения, якобы от Google. Напрямую в документе эта компания не называется, однако в нем есть ссылка на продукт производства флоридской компании VR Systems, которая предоставляет услуги по электронному голосованию и торгует оборудованием, используемым в восьми штатах.
В фишинговых сообщениях была ссылка, направлявшая сотрудников на вредоносный вебсайт, якобы принадлежащий Google. Этот сайт запрашивал информацию по логинам и паролям, а потом передавал ее хакерам. АНБ установило семь «потенциальных жертв» таких действий среди сотрудников компании. Почтовый сервер не пропустил три вредоносных сообщения, но как минимум один аккаунт сотрудника компании мог быть заражен, сделало вывод агентство. АНБ в своем отчете отмечает: «Неизвестно, удалось ли злоумышленникам посредством вышеупомянутого целевого фишинга взломать почту всех намеченных жертв, и какие данные удалось у них изъять».
VR Systems ответила отказом на просьбу прокомментировать случившееся в ходе той конкретной хакерской операции, о которой говорится в документе АНБ. Исполнительный директор компании Бен Мартин (Ben Martin) в ответ на просьбу The Intercept дать комментарий сделал следующее заявление:
Фишинг и целевой фишинг — это частое явление в нашей отрасли. Мы регулярно участвуем в кибернетических альянсах с государственными органами и представителями правоохранительной системы в рамках противодействия угрозам такого типа. У нас есть соответствующие правила и процедуры по защите наших клиентов и самой компании.
В отчете АНБ указывается, что VR Systems подверглась взлому только с целью кражи логинов, а не для внедрения вредоносных программ по управлению чужими компьютерами. Но это вряд ли может кого-то успокоить. Учредитель фирмы компьютерной безопасности Rendition Infosec Джейк Уильямс (Jake Williams), ранее работавший в хакерской группе АНБ по оперативному проникновению в компьютерные сети противника, сказал, что кража логинов может оказаться еще опаснее, чем зараженный компьютер. «Данные я бы получал в основном через вредоносные программы, поскольку с помощью логинов сотрудников можно проникать в виртуальные корпоративные сети, в электронную почту, в „облачные" сервисы», — заявил он. Все это обеспечивает доступ к внутренней корпоративной информации. Риск многократно увеличивается из-за того, что люди часто пользуются одним и тем же паролем в нескольких сервисах. Фишинг, который переводится как «ловля рыбы», не требует, чтобы все жертвы схватили наживку, хотя Уильямс подчеркивает, что хакеры никогда не ограничиваются одним набором украденных данных«.
В любом случае, хакеры очевидно получили то, что им было нужно. Прошло два месяца, и 27 октября они завели «оперативный» аккаунт в Gmail, который был похож на почтовый ящик одного из сотрудников VR Systems. В нем использовались документы, полученные в ходе предыдущей операции, и сделано это было для того, чтобы начать вторую операцию целевого фишинга, нацеленную против местных государственных органов США. В этих почтовых сообщениях содержались документы Microsoft Word, которые были заражены таким образом, что при открытии они подавали сигнал созданной хакерами «вредоносной инфраструктуре».
По оценкам АНБ, эта фаза операции целевого фишинга могла начаться 31 октября или 1 ноября. Тогда фишинговые сообщения были разосланы по 122 адресам, «связанным с поименованными местными органами власти». Очевидно, они были отправлены чиновникам, «занимающимся системами регистрации избирателей». В почтовых отправлениях были приложения в формате Microsoft Word, в которых якобы содержалась полезная документация для линейки продуктов VR Systems с базами данных избирателей EViD. Но на самом деле, в ПО были встроены вредоносные автоматизированные команды, которые начинают действовать мгновенно и незаметно всякий раз, когда пользователь открывает документ. В этих зараженных файлах использовался скриптовый язык компании Microsoft PowerShell, предназначенный для системных администраторов и устанавливаемый по умолчанию на компьютерах с Windows, что позволяло хакерам управлять настройками и функциями системы. В случае открытия файлов они вполне могли дать зараженному компьютеру команду на начало фоновой загрузки второго пакета вредоносных программ с удаленного сервера, также подконтрольного хакерам. В секретном отчете говорится, что это давало атакующим «устойчивый доступ» к компьютеру или возможность «изучать жертв на предмет интересующей их информации». По сути дела, превращенный в оружие документ Word тихо отпирает и открывает заднюю дверь жертвы, позволяя впоследствии автоматически доставлять ей любой коктейль из вредоносных программ.
По словам Уильямса, в случае успеха такого рода атаки хакеры получали неограниченную возможность для кражи интересующей их информации. «Как только пользователь открывает это электронное сообщение (приложение), — объяснил Уильямс, — атакующий обретает те же самые возможности, какими обладает пользователь. Старший менеджер по исследовательской работе из группы обеспечения безопасности компании Symantec Викрам Такур (Vikram Thakur) рассказал The Intercept, что в таких случаях «количество украденных данных может ограничиваться только мерами контроля, принимаемыми сетевыми администраторами». Кража данных такого типа обычно шифруется, а поэтому тот, кто наблюдает за инфицированной сетью, не видит, что именно удаляется, но определенно может сказать, что с сетью что-то творится, добавил Уильямс. В целом это метод «средней степени сложности», отметил Уильямс, и им может воспользоваться «практически любой хакер».
Тем не менее, АНБ не знает наверняка, каковы результаты атаки, говорится в отчете. «Неизвестно, удалось ли в результате вышеупомянутого целевого фишинга взломать компьютер избранной жертвы, и к каким данным мог получить доступ организатор атаки», — отмечает агентство.
ФБР отказалось от комментариев о том, ведет ли оно уголовное расследование кибератак против VR Systems.
Давая в декабре пресс-конференцию, президент Обама сказал, что в сентябре он говорил российскому президенту Владимиру Путину о недопустимости хакерских взломов американской избирательной инфраструктуры. «В частности, я был обеспокоен тем, что хакерская атака на Национальный комитет Демократической партии может быть усугублена другим хакерским взломом, способным помешать подсчету голосов и повлиять на сам избирательный процесс, — сказал Обама. — Поэтому в начале сентября, когда я увиделся с президентом Путиным в Китае, у меня возникло ощущение, что самый эффективный способ не допустить этого — напрямую поговорить с ним и сказать ему, чтобы он прекратил такую деятельность, так как в противном случае будут серьезные последствия. И мы впоследствии не видели никаких вмешательств в избирательный процесс».
Однако сейчас АНБ выяснило, что такое вмешательство продолжалось. «Тревогу вызывает то, что все это произошло в октябре, — сказал один руководитель из правоохранительных органов, обладающий значительным опытом работы в кибернетической сфере. — В августе ФБР и Министерство национальной безопасности предупредили эти ведомства. Это не было неожиданностью. Защититься от этого было несложно. Но для этого нужны бюджетные ассигнования и должное внимание».
В документе АНБ вкратце рассказывается о двух других операциях по вмешательству в выборы с участием русских хакеров. В одном случае российские военные хакеры завели электронный адрес, притворившись другой американской компанией по организации выборов. В документе она названа «американской компанией № 2». С этого адреса они начали рассылать поддельные проверочные сообщения электронной почты, предлагая «относящиеся к выборам продукты и услуги». АНБ не сумело определить, проводились ли с этого адреса какие-то целенаправленные атаки.
В ходе третьей российской операции та же самая группа хакеров рассылала тестовые сообщения электронной почты на адреса избирательной комиссии в Американском Самоа. Предположительно, это делалось для проверки существования данных адресов. После этого была осуществлена еще одна фишинговая атака. Непонятно, каков был ее результат, но по оценке АНБ, русские настойчиво стремились «подражать провайдеру услуг по подсчету отказавшихся от участия в выборах». В отчете не указано, почему русские выбрали в качестве мишени крохотные острова в Тихом океане, где очень мало избирателей, и они не в состоянии хоть как-то повлиять на результат голосования.
Заманчивая мишень
Чтобы привлечь внимание и получить бюджетные ассигнования на обеспечение безопасности выборов, требуется решить одну политическую загадку. «Наша проблема заключается в том, что безопасность на выборах не имеет никакого значения, пока что-нибудь не случится. А когда что-то произойдет, появляется группа людей, которым безопасность не нужна, так как что бы ни случилось, это идет им на пользу, — сказал эксперт по кибербезопасности Брюс Шнейер (Bruce Schneier), работающий в Центре Беркмана при Гарвардском университете и часто пишущий о проблемах безопасности американской избирательной системы. — Поэтому проблема безопасности очень серьезна, в отличие от вашего банковского счета».
По словам Шнейера, описанная АНБ атака это стандартная хакерская процедура. «Кража персональных данных, целевой фишинг — вот как это делается, — говорит он. — Завоевав плацдарм, ты начинаешь думать, как с него куда-то попасть».
Все это означает, что необходимо понять, насколько важны системы регистрации избирателей для нашей системы голосования, и как взлом отражается на достоверности результата.
Компания VR Systems не продает машины для голосования с сенсорными экранами. Она торгует программным обеспечением и устройствами, проверяющими и заносящими в списки для голосования тех, кому разрешено голосовать, когда они приходят на выборы в день голосования или голосуют досрочно. Такие компании как VR Systems очень важны, потому что «действующая система регистрации имеет центральное значение для американских выборов», — объясняет заместитель директора Центра Бреннана при юридическом факультете Нью-Йоркского университета Лоренс Норден (Lawrence Norden). По его словам, продавцы типа VR Systems особенно важны, так как в избирательных комиссиях на местах «зачастую вообще нет специалистов по информационным технологиям», в связи с чем «такие продавцы также предоставляют большую часть IT-услуг, проводя работу по программированию и кибербезопасности». Это те люди, которые должны быть недосягаемы для взлома силами враждебной страны.
На вебсайте VR Systems сообщается, что у компании есть контракты в восьми штатах: в Калифорнии, Флориде, Иллинойсе, Индиане, Нью-Йорке, Северной Каролине, Виргинии и Западной Виргинии.
Президент организации по наблюдению за выборами Verified Voting Памела Смит (Pamela Smith) согласна с тем, что хотя VR Systems не занимается организацией голосования, она все равно является заманчивой мишенью для тех, кто вознамерился сорвать выборы.
«Если у кого-то есть база данных избирателей штата, он может предпринять злонамеренные действия, внеся изменения в информацию или удалив ее, — сказала она. — Это может лишить некоторых людей возможности проголосовать, либо от них потребуют проголосовать „условно". Это значит, что их будут проверять на правомочность голосовать, а уже потом включат в списки избирателей. Кроме того, в некоторых случаях избирателю придется преодолевать дополнительные препоны, скажем, предоставлять информацию чиновнику из избирательной комиссии, прежде чем он подтвердит правомочность избирателя».
Консультант по цифровой безопасности Марк Графт (Mark Graff), ранее работавший руководителем по вопросам безопасности в Ливерморской национальной лаборатории, назвал такую гипотетическую тактику «по сути дела, сетевой атакой» против избирателей. По словам Графта, есть и более тревожная перспектива, состоящая в том, что хакеры могут выбрать в качестве мишени компанию типа VR Systems, чтобы подобраться как можно ближе к реальному процессу подсчета голосов. Попытка напрямую взломать машины для голосования или внести в них изменения будет заметна, а поэтому она более опасна, чем взлом смежной и менее заметной составной части системы голосования, такой как базы данных по регистрации избирателей. В этом случае ставка делается на то, что такие базы сведены в одну общую сеть. Конечно, VR Systems всячески рекламирует то обстоятельство, что ее линия оборудования EViD подключена к интернету, и что в день выборов «история голосования избирателя немедленно передается в окружную базу данных», причем делается это непрерывно. Таким образом, компьютерная атака может быстро и незаметно распространиться через сетевые компоненты системы подобно микробам, передаваемым через рукопожатие.
По словам директора Центра компьютерной безопасности и общества при Мичиганском университете Алекса Халдермана (Alex Halderman), который является экспертом по электронному голосованию, одна из центральных проблем сценария, описанного в документе АНБ, заключается в том, что электронные книги для подсчета голосов создают те же, кто программирует машины для голосования. Реальные машины для голосования не подключены к сетям типа EViD, но они обновляются вручную, а системные настройки проводят люди на местном уровне или на уровне штата, которые могут отвечать и за первое, и за второе. Если вредоносные программы ГРУ будут нацелены против этих людей, последствия могут оказаться весьма серьезными и тревожными.
«Обычно на уровне округа есть какая-то компания, которая перед выборами программирует машины для голосования, — рассказал Халдерман изданию The Intercept. — Меня беспокоит то, что хакер, способный взломать электронные книги для подсчета голосов, может воспользоваться программными обновлениями, которые реализует продавец, чтобы также заразить систему управления избирательным процессом, которая программирует сами машины для голосования. Сделав это, ты можешь заставить машину осуществлять подтасовки при подсчете голосов».
По словам Шнейера, главный приз от взлома VR Systems — это возможность собрать достаточный объем информации, чтобы эффективно проводить ложные атаки против работников избирательных комиссий. Если поддельное электронное сообщение сопровождается официальным разрешением главного подрядчика избирательной комиссии, то оно выглядит более достоверно.
Такой взлом может послужить базой для дальнейших подрывных действий. Один сотрудник американских спецслужб как-то признался, что описанная АНБ российская операция, направленная против программного обеспечения регистрации избирателей, может по идее стать причиной срыва выборов в тех местах, где используется продукция VR Systems. А взломанная система учета голосов может не только привести к хаосу в день голосования, говорит Халдерман. «Это можно делать избирательно в некоторых районах, где голосующие отдают предпочтение определенному кандидату, оказывая воздействие на их предпочтения».
Российская тактика воздействия на американские президентские выборы сталкивается с определенными проблемами, потому что федеральная избирательная система децентрализована, а процессы голосования и подсчета голосов разнятся не только от штата к штату, но и от округа к округу. Между тем, коллегия выборщиков осложняет прогнозы о том, где следует сконцентрировать усилия.
«Повлиять на выборы хакерскими методами трудно, причем не из-за технологий, подделать которые довольно просто. Трудно понять, что будет эффективно, — говорит Шнейер. — Если посмотреть на предыдущие выборы, то в 2000 году все решила Флорида, в 2004 году Огайо, а на последних выборах пара округов в Мичигане и Пенсильвании. Так что понять, где надо осуществлять взлом, очень и очень трудно».
Но у децентрализованной системы есть свои уязвимости. Нет сильного центрального правительства, которое осуществляет надзор за избирательным процессом и за закупками аппаратуры и программ для голосования. Точно так же отсутствует эффективный контроль на национальном уровне за регистрацией избирателей, за ведением списков голосующих и за подсчетом голосов. Нет единого органа, отвечающего за безопасность выборов. Официальный представитель Федеральной избирательной комиссии Кристиан Хилланд (Christian Hilland) рассказал The Intercept, что вопросы голосования, а также программное и аппаратное обеспечение выборов не входят в сферу компетенции его комиссии. «Это делает Комиссия обеспечения выборов США, можете спросить у них», — сказал он.
Спросить у Комиссии обеспечения выборов оказалось не так-то просто. Она была создана в 2002 году в качестве ответа конгресса на катастрофу с подсчетом голосов. На своем сайте комиссия отмечает, что в ее задачи входит «работа в качестве национального координационного центра информирования избирательной администрации. Комиссия обеспечения выборов также дает аккредитацию проверочным лабораториям и сертифицирует системы голосования». Но она не обладает реальной властью и чем-то напоминает застойное болото. Если нажать ссылку на сертификацию систем для голосования, она выведет вас на мертвую страницу.
Если бы в США существовал центральный избирательный орган, он мог бы инициировать расследование того, что в день выборов случилось в Дареме, штат Северная Каролина. Система регистрации дала сбой на целом ряде избирательных участков, что вызвало хаос и привело к образованию длинных очередей. В связи с этим члены избирательной комиссии были вынуждены перейти на бумажные бюллетени, а голосование затянулось до позднего вечера.
Списки учета избирателей вела компания VR Systems — та самая, которую взломали русские хакеры, о чем говорится в документе АНБ.
Местные чиновники сказали, что сбой был вызван не хакерской атакой. «Комиссия для наблюдения за ходом выборов в штате Северная Каролина не зафиксировала никакой подозрительной активности на выборах 2016 года, которая выходила бы за рамки того, что обычно случается в ходе избирательного процесса в другие времена. За любыми возможными рисками и уязвимостями ведется постоянный контроль, и комиссия работает во взаимодействии с Министерством национальной безопасности и Департаментом информационных технологий Северной Каролины, помогая устранять любые возможные риски», — сказал пресс-секретарь Комиссии для наблюдения за ходом выборов в штате Северная Каролина Патрик Гэннон (Patrick Gannon).
Заместитель директора наблюдательной комиссии округа Дарем Джордж Маккью (George McCue) также отметил, что с программами VR Systems никаких проблем нет. «Там было проведено некое расследование, и оно не выявило практически никаких признаков, указывающих на дефекты продукта, — сказал он. — Похоже, что были ошибки пользователя на разных этапах процесса от настройки компьютеров до использования их работниками избирательных органов».
Все это вместе взятое поднимает ставки в ходе продолжающегося расследования на предмет возможного сговора между штабом Трампа и российскими представителями, обещая повышенное внимание к слушаниям в конгрессе, где на этой неделе будет давать показания отправленный в отставку директор ФБР Джеймс Коми. Если факт сговора в конечном итоге будет доказан (на текущий момент это очень большое «если»), то получится, что Россия в своих действиях пошла гораздо дальше предполагаемых взломов электронной почты в интересах своей пропагандистской кампании. Это уже будет нападение на саму инфраструктуру американских выборов.
Но к какому бы выводу ни пришли следователи, изучающие обстоятельства действий штаба Трампа, это ничто по сравнению с угрозой легитимности американских выборов в случае, если нельзя обеспечить надежную защиту инфраструктуры. «Вывод АНБ демонстрирует, что страны изучают конкретные тактические приемы избирательного манипулирования, и мы должны проявлять бдительность в обороне, — сказал Шнейер. — Выборы имеют двоякую цель: выбрать победителя и убедить проигравшего. Если выборы не защищены от хакерских взломов, возникают сомнения в легитимности процесса голосования, даже если реальных хакерских атак в данном случае нет».
На всем протяжении истории передача власти всегда была моментом серьезного ослабления общества, ведущего к страшному кровопролитию. Мирная передача власти является одним из величайших изобретений демократии.
«Выборы должны быть не только честными, они должны быть наглядно и несомненно честными, чтобы проигравший сказал: „Да, я проиграл, но это была справедливая и честная борьба", — сказал Шнейер. — Но он ни за что не успокоится, если будет уверен, что выборы не были честными и правильными».
