MİT-тің тарихи ByLock операциясы: 215 мың адамның құпия иерархиясы қалай жойылды?

Ұлттық барлау ұйымы (MİT) № 2937 заңмен өзіне берілген техникалық барлау және киберқауіпсіздік өкілеттіктері аясында жүргізген тарихи операция Фетуллахшы террор ұйымының (ФЕТӨ) қараңғы байланыс желісін жойды. Литвадағы ең жоғары кибертехнологияға ие негізгі серверден алынған 215 мың 92 адамнан тұратын үлкен дерекқор қылмыстық сот процестеріндегі ұйымдық иерархияны нақты түрде рентгенге түсірді.

Ұйымға еніп үлгерген MİT қызметкерлері ByLock деп аталатын бұл құпия байланыс бағдарламасының бар екенін алғаш рет 2014 жылдың шілдесінде анықтады. Тереңдетілген кибер зерттеулерде бағдарламалық жасақтаманы ұйымның киберқұрылымдық қызметкері 2013 жылдың қараша айына дейін берген арнайы нұсқаулармен әзірлегені анықталды. Жүйенің серверлік қауіпсіздігі осы маңызды атқа тікелей сеніп тапсырылды. Бұл құпия желіні жою үшін MİT құрамындағы киберқорғаныс және қауіпсіздік департаментінде; Деректер базасының сарапшылары, криптосарапшылар, желі сарапшылары, ақ қалпақ хакерлері және кері инженерия сарапшыларынан тұратын арнайы кибер топ құрылды.

Жаппай кибершабуыл және Рождество қарсаңында басталған әлеуметтік инженерия

Кибер барлау тобы FETO-ның құпия байланысын қамтамасыз еткен негізгі сервердің Литвада жұмыс істейтін Bastic Servers атты компанияда орналасқанын анықтады. Ұйым әкімшілерінің жеке басын жасыру үшін жасырын төлем әдістері арқылы жалға алған 9 IP мекенжайы арқылы жүйені басқарғаны анықталды. Серверге бірінші кибершабуыл 2015 жылдың тамыз айында жасалып, жүйенің брандмауэрі сынақтан өтті. Брандмауэр 2015 жылдың қарашасында бұзылса да, ұйым әкімшілері деректер трафигіндегі әдеттен тыс әрекетті байқап, жүйені уақытша тоқтатты.

MİT киберсарапшылары 2015 жылдың 25 желтоқсанына қараған түні компания қызметкерлері Рождество мерекесіне демалып жатқанда, нақты соққы беруді мақсат етті. Рождество қарсаңында жасалған жан-жақты кибершабуылмен сервердің брандмауэрі толығымен бұзылды.

Инфильтрация процесі аяқталғаннан кейін MİT командасы деректер орталығы компаниясының электрондық пошта тіркелгісін бұзып, ұйым менеджеріне, бағдарламалық жасақтаманы әзірлеушіге «серверде проблема жоқ» деген жалған хабарламалар жіберді. Сонымен қатар, серверде орнатылған құпия бэкдордың арқасында деректер Анкарадағы штаб-пәтерге тасымалдана бастады. Деректер ағынын одан әрі жылдамдатқысы келген киберсарапшылар Литвадағы деректер қауіпсіздігі сарапшысының компьютеріне оның сүйіктісінің атынан жіберілген фотосуреттерді енгізу арқылы бақылау экрандарын толық бақылауға алды. Осылайша миллиондаған деректер байқалмай сәтті түсірілді.

Кодтардағы түрік іздері және шифры шешілген құпия имамдар

MIT киберқауіпсіздік сарапшылары қолданбаның бастапқы кодтары бойынша жүргізген криптологиялық зерттеулерде жүйенің түрік пайдаланушылары үшін арнайы жасалғанын көрсететін дәлелдер табылды. Кодтардың ішінде «файл», «пошта» және «дауыспен іздеу» сияқты тікелей түрік сөздері анықталды. Рұқсатсыз кіру әрекеттері кезінде экранда көрсетілетін қате туралы хабардың бағдарламалық жасақтама тілінде "Сізде авторизацияңыз жоқ" деп кодталғаны ең нақты ашылу болды.

Операция нәтижесінде алынған 215 мың 92 адамның деректер базасының шифрын шешу арқылы мемлекет қолына үлкен көлемдегі деректер келді. Операция аясында 60 мың 748 интернет жазылымы, 17 миллионнан астам хабарлама, шамамен 4,7 миллион электрондық пошта және 111 мың 637 телефон нөмірі толығымен шешілді. Осы деректер негізінде 2015 жылдың қаңтар және ақпан айларында жүргізілген техникалық зерттеулер арқылы ФЕТО ұйымының 81 «облыстық имамы» мен 160 «ел имамы» бір-бірден анықталды.

Ең маңызды тұжырымдардың бірі 2016 жылдың 12 шілдесінде, яғни 15 шілдедегі опасыз төңкеріс әрекетінің алдында жасалды. ByLock хат-хабарларынан Түрік Қарулы Күштеріне (ТҚК) енген 600 жоғары шенді ФЕТО мүшесінің тұлғасы шешіліп, Бас штабқа жіберілді. Сонымен қатар, бұл деректер 2014 жылы MİT жүк көліктерін тоқтату үшін жасалған қастандық ұйымның құпия имамдарынан нұсқау алған жандармерия қызметкерлерімен жасалғанын нақты дәлелдермен көрсетті.

Ұйымішілік иерархияның құпия сөзі: ByLock ID нөмірлері

Талданған дерекқорда ұйым мүшелерінің нақты аты-жөнімен емес, жүйемен тағайындалған иерархиялықID нөмірлерімен енгізілгені анықталды. 1-ден басталатын бұл сандар кездейсоқ емес, ұйым ішіндегі маңыздылық, еңбек өтілі мен адалдық тәртібін көрсететін иерархиялық карта екені белгілі болды. Алғашқы 100 идентификаторлық нөмірлердің FETO-ның ең маңызды операциялық атауларына жататыны шешілді.

Талдау барысында MİT Plot ісінде айыпталушы бұрынғы полиция басшысы Эрол Демирхан 27 жаста, Анкара полиция бастығының бұрынғы орынбасары Огуз Киремитчи 28 жаста, Серкан Юртчу 39 жаста, Грант Динкке жасалған қастандық ісіндегі айыпталушылардың бірі Серкан Шахан 40 жаста, ресейлік Карлов Өзсаимен бірге Ченгизфф Өзсанли. өлтіруді жоспарлаушы 43 жаста, ал ұйымның АҚШ имамы Мехмет Яша 49 нөмірімен бірінші болып табылады. Оның қатарда екені көрінді. Басқа сыни есімдердің идентификаторлық рейтингі келесідей жазылды:

Локман Кыржылы 84, Месут Йылмаз 150, Гүрсел Актепе 161, Осман Хилми Өздил 364, Садеттин Акгуч 452, Зеки Гүвен 512, Орхан Инанди 613, Якуп Сайғилы 852 және Гювен 99-ды орындаған Ахмет Хамди Парлакхер. ұйымның үгіт-насихат қызметі, ID нөмірі 3320, ұйымның бұқаралық ақпарат құралдары арасында бірінші орынға ие болғаны соншалықты құнды позицияда екендігі анықталды.

Заңды тіркеу: Жоғарғы Соттың "Нақтылы дәлел" шешімі

ByLock қолданбасының жаһандық ауқымда қолданылатын WhatsApp, Signal және Telegram сияқты хабар алмасу қолданбаларынан басты айырмашылығы оның толығымен жабық схема ретінде жасалғанында болды. Тіркеу кезеңінде телефон нөмірін немесе SMS растау кодын қажет етпейтін жүйеге тек өзара құрылған «пайдаланушы аты/идентификаторы» ақпаратын енгізу арқылы ғана қосыла аласыз. Бұл жүйеге сырттан ешкімнің енуіне мүмкіндік бермеді.

MIT сот органдарына тапсырған цифрлық деректер заңды тексеруден өтті. Жоғарғы Апелляциялық соттың Қылмыстық істер жөніндегі жалпы жиналысы мен Жоғарғы Соттың 3-ші Қылмыстық істер жөніндегі алқасы өздерінің үлгілі шешімдерімен ByLock-тың құқықтық мәртебесін түсіндірді. Жоғарғы Сот ByLock тек FETO мүшелеріне ғана қолжетімді арнайы шифрланған байланыс желісі болғандықтан, жүйеге енген және оны белсенді түрде пайдаланатын адамдардың әрекеттері «қарулы террор ұйымына мүшелік»нің тікелей дәлелі екенін қабылдады. Осылайша, тиісті түрде тексерілген ByLock деректері соттау үшін негіз бола алатын «нақты дәлел» ретінде шешілді.