MİTдин тарыхый ByLock операциясы: 215 миң адамдын жашыруун иерархиясы кантип жок кылынды?

Улуттук чалгындоо уюму (MİT) тарабынан 2937-мыйзам менен берилген техникалык чалгындоо жана кибер коопсуздук ыйгарым укуктарынын алкагында жүргүзүлгөн тарыхый операцияда Фетуллахчы террор уюмунун (ФЕТӨ) караңгы байланыш тармагы жок кылынды. Литвадагы башкы серверден жогорку кибер технология менен алынган 215 миң 92 адамдан турган чоң маалымат базасы жазык сот процесстериндеги уюштуруу иерархиясын түзмө-түз рентгенге түшүрдү.

Уюмдун ичине кирүүгө жетишкен MİT кызматкерлери ByLock деп аталган бул жашыруун байланыш программасынын бар экенин биринчи жолу 2014-жылдын июль айында аныкташкан. Тереңдетилген кибер иликтөөлөрдө программанын уюмдун кибер структуралоо кызматкери тарабынан 2013-жылдын 25-декабрында берилген атайын көрсөтмөлөр менен иштелип чыкканы аныкталган. Системанын сервердик коопсуздугу бул критикалык атка түздөн-түз тапшырылган. Бул жашыруун тармакты жок кылуу үчүн, MİT ичиндеги киберкоргонуу жана коопсуздук департаментинин ичинде; Маалыматтар базасынын эксперттеринен, крипто аналитиктерден, тармактык эксперттерден, ак калпак хакерлеринен жана тескери инженерия боюнча эксперттерден турган атайын киберкоманда түзүлдү.

Рождество майрамында башталган массалык кибер чабуул жана социалдык инженерия

Кибер чалгындоо тобу ФЕТОнун жашыруун байланышын камсыздаган негизги сервердин Литвада иш алып барган Bastic Servers аттуу фирма тарабынан орун алганын аныктады. Уюмдун администраторлору өздүгүн жашыруу үчүн анонимдүү төлөм ыкмалары аркылуу ижарага алган 9 IP дареги аркылуу системаны иштетип жатканы аныкталган. Серверге биринчи киберчабуул 2015-жылдын августунда жасалып, системанын брандмауэри сыналган. Брандмауэр 2015-жылдын ноябрь айында бузулганына карабастан, уюмдун администраторлору маалымат трафигиндеги адаттан тыш аракетти байкап, системаны убактылуу токтотушкан.

MİT кибер эксперттери 2015-жылдын 25-декабрына караган түнү, компаниянын кызматкерлери Рождество майрамы үчүн эс алып жаткан кезде, чыныгы сокку урууга багытталган. Рождествонун алдында жасалган комплекстүү киберчабуул менен сервердин брандмауэри толугу менен бузулду.

Инфильтрация процесси аяктагандан кийин, MİT командасы маалымат борбору компаниясынын электрондук почта эсебин бузуп, уюмдун менеджерине, программалык камсыздоону иштеп чыгуучуга "серверде көйгөй жок" деген жалган билдирүүлөрдү жөнөткөн. Ошол эле учурда серверге орнотулган жашыруун арткы эшиктин аркасында маалыматтар Анкарадагы башкы кеңсеге өткөрүлө баштады. Маалымат агымын мындан ары да тездетүүнү каалаган кибер эксперттер Литвадагы маалымат коопсуздугу боюнча эксперттин компьютерине анын сүйгөнүнүн атына жөнөтүлгөн сүрөттөрү менен кирип, мониторинг экрандарын толук көзөмөлгө алышкан. Ошентип, миллиондогон дайындар байкалбастан ийгиликтүү тартылып алынды.

Коддордогу түрк издери жана шифрленген жашыруун имамдар

MIT кибер коопсуздук боюнча адистери тарабынан тиркеменин булак коддору боюнча жүргүзүлгөн криптологиялык экспертизаларда системанын түрк колдонуучулары үчүн атайын иштелип чыкканын көрсөткөн далилдер табылды. Коддордун ичинде "файл", "почта" жана "үн менен издөө" сыяктуу түз түрк сөздөрү аныкталган. Эң конкреттүү ачылыш, уруксатсыз кирүү аракеттери учурунда экранда көрсөтүлгөн ката кабары түрк тилинде программалык камсыздоо тилинде "Сиздин авторизацияңыз жок" деп коддолгондугу болду.

Операциянын натыйжасында алынган 215 миң 92 адамдын маалымат базасынын шифринин чечилиши менен чоң көлөмдөгү маалымат мамлекеттин колуна өттү. Операциянын алкагында 60 миң 748 интернетке жазылуу, 17 миллиондон ашуун билдирүү, болжол менен 4,7 миллион электрондук почта жана 111 миң 637 телефон номери толугу менен чечмеленди. Бул маалыматтардын негизинде 2015-жылдын январь жана февраль айларында жүргүзүлгөн техникалык изилдөөлөр менен ФЕТОнун 81 «облустук имамы» жана 160 «өлкө имамы» бирден аныкталды.

Эң маанилүү тыянактардын бири 2016-жылдын 12-июль күнү, 15-июлдагы чыккынчылык төңкөрүш аракетинин алдында жасалган. ByLock каттарынан Түрк куралдуу күчтөрүнө (ТКК) кирген 600 жогорку даражалуу ФЕТӨ мүчөсүнүн өздүгү чечмеленди жана Башкы штабга жөнөтүлдү. Кошумчалай кетсек, бул маалыматтар 2014-жылы MİT жүк ташуучу унааларын токтотуу кутумунун уюмдун жашыруун имамдарынан көрсөтмө алган жандармерия кызматкерлери тарабынан жасалганын айкын далилдер менен көрсөттү.

Уюм ичиндеги иерархиянын сырсөзү: ByLock ID номерлери

Талдоодон өткөн маалымат базасында уюмдун мүчөлөрү чыныгы аты-жөнү менен эмес, система тарабынан берилген иерархиялык ID номерлери менен киргизилгени аныкталган. Көрсө, 1ден башталган бул сандар кокустук эмес, уюм ичиндеги маанилүүлүк, стаж жана берилгендик тартибин көрсөткөн иерархиялык карта экен. Топ 100гө кирген ID номерлери ФЕТОнун эң маанилүү операциялык ысымдарына таандык экени чечмеленди.

Анализде, мурдагы полиция башчысы, MİT Plot ишинин айыпталуучусу Эрол Демирхан 27 жашта, Анкаранын мурдагы полиция башчысынын орун басары Огуз Киремитчи 28 жашта, Серкан Юртчу 39 жашта, Серкан Шахан, Хрант Динктин өлүмү боюнча соттолуучулардын бири 40 жашта, орусиялык Женгиз Асдор менен Карлов Өзкан өлтүрүүнү пландоочу 43 жашта, ал эми уюмдун АКШ имамы Мехмет Яша 49 ID номуру менен биринчи болуп чыкты. Анын катарда экени байкалды. Башка критикалык ысымдардын ID рейтингдери төмөнкүдөй жазылды:

Локман Кыржылы 84, Месут Йылмаз 150, Гүрсел Актепе 161, Осман Хилми Өздил 364, Садеттин Акгүч 452, Зеки Гүвен 512, Орхан Инанди 613, Якуп Сайгылы 852 жана Ахмет Хамди Парлакхер 99. 3320 ID номери менен уюмдун үгүт иштери боюнча, уюмдун маалымат каражаттарынын арасында биринчи орунду ээлегендиктен ушунчалык баалуу абалда экени аныкталган.

Юридикалык каттоо: Жогорку соттун "Коркунучтуу далил" чечими

ByLock тиркемесинин глобалдык масштабда колдонулган WhatsApp, Signal жана Telegram сыяктуу жазышуу тиркемелеринен негизги айырмасы ал толугу менен жабык схема катары иштелип чыккан. Каттоо баскычында телефон номерин же SMS текшерүү кодун талап кылбаган системага өз ара түзүлгөн "колдонуучунун аты/ID" маалыматын киргизүү менен гана кошула аласыз. Бул системага сырттан эч кимдин кирүүсүнө мүмкүн болбой калды.

MIT тарабынан сот органдарына берилген санариптик маалыматтар юридикалык экспертизадан өткөрүлдү. Апелляциялык инстанциянын Кылмыш-жаза иштери боюнча жалпы жыйыны жана Жогорку соттун 3-жазык коллегиясы үлгүлүү чечимдери менен ByLock компаниясынын укуктук абалын тактады. Жогорку Сот ByLock атайын шифрленген байланыш тармагы болгондуктан, ФЕТӨ мүчөлөрүнө гана жеткиликтүү болгондуктан, системага кирген жана аны активдүү колдонгон адамдардын иш-аракеттери «куралдуу террордук уюмга мүчө болуу»нун түздөн түз далили экенин кабыл алды. Ошентип, талаптагыдай түрдө текшерилген ByLock маалыматтары соттолгонго негиз боло ала турган "коркунучтуу далил" катары аныкталды.