16.04.23

F.A.C.C.T

Компания, которую я основал, в России теперь называется Fight Against Cyber Crime Technologies, или сокращенно F.A.C.C.T. Это название придумал я. Оно отражает неизменность нашей миссии по борьбе с компьютерной преступностью. А его сокращение − таинственное, специальное, обволакивающее и дуалистичное (в зависимости от IQ).

F.A.C.C.T. − главная сила по борьбе с киберпреступностью в России. Как человеку, создавшему с нуля мировой бренд Group-IB (да и немного свой личный), оно мне настолько нравится своей эстетикой тонкого интеллекта и специальных возможностей (коими всегда славилась наша доблестная компания), что я, пожалуй, инкапсулирую его в свое имя, чтобы символично слиться с компанией в единое целое.

Теперь я − Илья F.A.C.C.T Сачков. И получается, что я ношу имя компании, а она носит мое. Лучшие технологии обнаружения компьютерных преступлений на ранней стадии, борьба с киберпреступностью, мошенничеством и угрозами для брендов в сети и, конечно, легендарные сложнейшие сервисы для реагирования и исследования инцидентов.

F.A.C.C.T. − 24/7 команда с двадцатилетним опытом, технологиями мирового уровня, смелостью, доблестью, честностью и горящим светлым сердцем. И ее основатель, вопреки обстоятельствам, так же на страже (хотя и под стражей) безопасности наших клиентов в России и на острие борьбы с компьютерной преступностью, откуда бы она ни пришла. Илья F.A.C.C.T Сачков.

P.S. Спасибо всем, кто поддерживает меня все это время. Как я всегда говорил, лучшей и мощнейшей поддержкой будет интерес к продуктам и сервисам моей команды, по которой я очень скучаю (хоть и нахожусь с ней на постоянной связи).

С уважением и благодарностью,
И. Сачков

Безопасность это дело каждого

Хорошо работающий бизнес – это механизм, зарабатывающий деньги. Он разделен на разные секции-департаменты: производство, логистика, юридический отдел, связи с общественностью, клиентский сервис, айти, руководство. Каждый сотрудник знает что ему делать, какие KPI (ключевые показатели эффективности) перед ним стоят и как делать работу хорошо. Производство должно делать более качественный продукт с меньшими затратами, логистика организовывать его доставку без очередей и точно в срок, и так далее. Все настроено, чтобы эффективно зарабатывать деньги или решать проблему клиентов (если повезет, то и то и другое одновременно)

А потом приходят хакеры, шифруют все данные и требуют сотни миллионов рублей выкупа за расшифровку. И приходится выбирать: спонсировать организованную преступность или потерять бизнес и все данные, накопленные за много лет.

Конечно у каждой атаки есть жертва и всегда можно найти виновного. Например, системный администратор, который не обновил пиратское ПО на сервере. Или начальник ИБ не провел инструктаж о том, что такое фишинговые письма.

Но наказание козла отпущения не вернет потерянных денег и времени. Какая же главная причина того, что сотрудники открывают вредоносные письма? Они это делают, потому что безопасность - не их зона ответственности. Их руководители не занимаются безопасностью, они следят за тем, чтобы количество заказов росло, а операционные расходы падали. Требования и мероприятия от отдела ИБ это неудобство, мешающее настоящей работе. И такое крайне распространенное отношение – это риски потери сотен миллионов рублей. А не потерял, значит, заработал.

Сделайте безопасность делом каждого. Поставьте руководителям направлений, департаментов в KPI параметры, которые посоветует ваш начальник ИБ, например, процент открытия фишинговых писем тестовой рассылки, количество необновленных программ на серверах, наличие двухфакторной аутентификации на личных аккаунтах сотрудниках. Дайте понять что успешная хакерская атака на вашу организацию, это общая вина высшего руководство, а не личное дело ответственного за ИБ.

И тогда не CISO будет бегать за всеми и согласовывать неудобные и мешающие мероприятия, а, наоборот, к нему будут приходить и просить провести тестирование на проникновение, оценку защищенности и многое другое. Это быстро убьет бюрократию и неповоротливость организации в плане информационной безопасности, что может вас спасти, потому что хакеров не волнует, какие у вас процессы согласования и зоны ответственности – их волнуют только ваши деньги и насколько вы уязвимы.

Что такое киберразведка

Некоторые считают, что информационная безопасность это как строительство замка. Стены-фаерволы повыше, патрули-антивирусы помощнее, комендантский час, строгие парольные политики, никто никому не доверяет и ждет нападения.

Но если долго сидеть в этом замке, можно пропустить много интересного и нового. Например, может оказаться, что атакующие научились перелетать через стены на самолетах, взрывать их или что на пару дней у всех злодеев появился ключ, который открывает любую дверь.

Чего стоит эшелонированная защита с разными сетевыми экранами и системами обнаружения вторжений, если в интернете за 2000 долларов продается VPN доступ к внутренней сети в комплекте с логином и паролем доменного администратора. Это я сейчас говорю про брокеров доступа (initial access brokers). Те, кто следит за ИБ миром, знают что это сейчас самая опасная угроза в 2023 году. Те, кто не следит, узнают об этом чуть позже, потому что широкое общественное обсуждение киберпреступности опаздывает на год-два от реального положения дел.

Уязвимости уровня Log4Shell приводят к массовой компьютерной эпидемии, когда сети тех, кто потерял один, два дня становятся скомпрометированными: в них появляются майнеры, шифровальщики или они выставляются на продажу брокерами доступа.

Чтобы защищаться от угроз сегодняшнего дня (а иногда и завтрашнего), есть два варианта:
– Изучать киберпреступность самому, нанимать талантливых аналитиков, внедряться на подпольные форумы, анализировать и хранить большие объемы данных, следя за их точностью и актуальностью.
– Купить подписку на сервис киберразведки.

Конечно, есть еще и третий вариант: ждать, надеяться на русский авось и готовить силы и средства на восстановление от атаки.

Да, можно читать блоги, отчеты и телеграм каналы разных вендоров ИБ. Можно знать, что такое брокеры доступа и в чем их опасность, но узнать, что именно к твоим серверам продается доступ так не получится. Также как не получится узнать о готовящейся под вашу компанию целевой атаке. Например, когда хакеры покупают домены, схожие с вашим, и настраивают почтовые сервера для фишинга.

Передо мной лежит выпуск газеты РБК «Салют Giga Chat».
«РБК и «Сбер» представляют совместный выпуск с использованием технологий искусственного интеллекта» - такой заголовок на первой странице.

- нейробъятия для человечества
- с какими задачами искусственный разум уже сейчас справляется лучше человека

Все было бы хорошо, если бы выпуск был от 1 апреля. Но дата стоит - 28 апреля. Моему мозгу стало больно. Зачем бумагу-то потратили?

Начну с моей любимой темы. Ох уж эти любители креативных названий продуктов.
Давайте уже поспорим на что-то существенное, что моя теорема работает.

2-ая теорема Сачкова: если хочешь сделать априори плохой продукт, то укради половину названия у известного мирового лидера.

Если команда не может придумать оригинальное название, то до алгоритмов дело не дойдёт. Если кто-то захочет опровергнуть теорему, пришлите, пожалуйста, опровергающий пример.

Собственно, когда я увидел название Giga Chat, повеяло 2001 годом. Это же надо взять мощное для начала 2000х слово «гига» и добавить украденную половинку Chat GPT. А что мы хотим дальше с этим названием? Экзамены, говорите, сдаст? (тот, что сдаст, мы лично используем в работе). А тут, повторюсь, жалко бумагу и редактора, который это пропустил (рекламный выпуск, понимаю. Но и вы меня поймите – в Лефортово интернета нет, и я рассчитывал увидеть хоть кусочек интересного и осмысленного текста в одной из любимых газет, которая выйдет в следующий раз аж 22 мая 2023 года!). Может быть, я придираюсь? Ну, меня бы из школы выгнали в том же 2001, если бы моя программа выдала такое. А тут на всю страну позор.

Геополитические друзья.

В прошлых постах я вам рассказывал, что такое киберразведка. Для того, чтобы своевременно получать информацию по киберразведке, компании покупают доступ к платформам Threat Intelligence (TI).

Многие из вас знают, что моя компания является одним из лидеров этого решения во всем мире! Конкуренты регулярно составляют батл-карты и сравнивают наше решение со своим платформами и всегда остаются на шаг позади. И это ФАКТ! То есть F.A.C.C.T, понятен замысел, да?))

Но сейчас не об этом.

Одной из важнейших функций аналитиков киберазведки является исследование действий так называемых APT групп. Это группа злоумышленников, которые используют передовые технологии, чтобы атаковать коммерческие и государственные компании. Как правило, мотивация этих групп либо получение конфиденциальной информации, либо похищение крупных денежных средств сумм.

Сегодня я вам расскажу про одну интересную APT группу. Ее название APT37, ее также знают как группа «Reaper».

Основной целью этих хакеров являются государственные компании из Южной Кореи, России, Японии и Ближнего Востока. Помимо правительственных целей они наносят удары по коммерческим и промышленным предприятиям.

Они также умудрились парализовать IT инфраструктуру Зимних Олимпийских игр в 2018 году, незадолго до церемонии открытия.

Как и любая подобная APT группа, у нее есть своя геополитическая принадлежность. Как вы могли догадаться, они располагаются и живут в странах, где их уж точно никто арестовывать не собирается. И если вы думаете, что эти ребята живут в Китае, то нет, они работают прямо из Пхеньяна в Северной Кореи.

В своих следующих письмах, я вам расскажу про интересные истории, связанные с Северо-Корейской группой APT37. И кстати, по поводу китайских APT групп. Они тоже очень активны во всем мире и очень любят атаковать правительственные, государственные и частные предприятия своих соседей. В том числе и российские. Но почему-то в последнее время об этом как-то не принято говорить и вспоминать.

Дети без опасности

Ознакомился с еще одним вредительским документом: концепция информационной безопасности детей называется. Интересный документ, написанный чиновниками для чиновников и учитывающий интересы, скорее всего, тоже чиновников.

Начинается он очень хорошими и точными словами: «Современные дети - первое поколение, чье взросление происходит на фоне стремительно развивающихся информационно-коммуникационных технологий. В своих привычках, ценностях и поведении в сети "Интернет" эта группа принципиально отличается от представителей более старшей аудитории (18 - 45 лет).»

А затем с высоты этой самой более старшей аудитории провозглашаются извечные принципы отдельных ее представителей «Держать и не пущать». Дети представляются в нем будущими девиантами, которые начитаются в интернетах всего плохого и обязательно начнут «это самое». Поэтому нужно проводить «мероприятия», на которых рассказывать детям, что интернет — это опасно и, тем самым, детей от этих опасностей защитить.

Что я увидел в этом документе:

- Изданные информационные буклеты о том, что интернет — это опасно, которые никто не читает
- Классные часы, где пожилая учительница по методичке рассказывает современным детям опасные забытые тренды двух-, трехлетней давности, вызывая смешки в классе
- Интернет-ресурсы «позитивного контента» с околонулевой посещаемостью
- Мероприятия, на которые принудительно сгоняют школьников после или даже вместо учебы.

Чего я НЕ увидел в этом документе:

- Создание широкой сети внеклассных кружков по кибербезу
- Обучение детей кибербезопасности как исследовательской деятельности
- Конкурсы детских научных работ по кибербезопасности
- Олимпиады для выявления будущих хакеров до того, как они решат попробовать себя на темной стороне
- Выездные летние кампусы-хакатоны для самых перспективных школьников
- Сотрудничество с ведущими компаниями в области защиты информации
- Самоорганизацию школьников под наблюдением опытных профессионалов в области ИБ
- Детскую программу Bug Bounty, поощряющую самостоятельное исследование

Представьте, если бы для развития космической и авиаотрасли и взращивания лучших пилотов и инженеров-конструкторов государство не радиомодельные кружки в школах организовывало, а лекции о том, что летать это опасно, можно разбиться насмерть и лучше дома сидеть. Как много детей захотело бы стать космонавтами и повторить подвиг Юрия Гагарина?

Цифровой изоляционизм

Я расскажу вам грустную историю о птице моа. Давным-давно, Новая Зеландия отделилась от Австралии, и миллионы лет там жили птицы, почти без каких-либо естественных врагов. Находясь в райском месте, они потеряли крылья (от хищников-то улетать не надо) и увеличились в размерах до 300 кг. Миллионы лет они жили в изолированном месте, наслаждаясь суверенитетом и отсутствием конкурентов. А потом в Новую Зеландию на своих каноэ приплыли племена маори и перебили всех моа за каких-то пару сотен лет, пустив их на шашлык и яичницу.

Каждый раз, когда я слышу слова “цифровой суверенитет”, “импортозамещение” или “технологическая независимость”, я вспоминаю гигантских птиц Новой Зеландии. Не бывает цифровой независимости “в отдельно взятой стране”. Если убрать Google из уравнения, то получится не Yandex, а АвтоВАЗ. Каждый раз я говорил, говорю и буду говорить одно и то же: чтобы побеждать, надо сражаться с более сильным противником. Я вижу, как многие радуются новой реальности изолированного, зачищенного от иностранных конкурентов русского ИБ мира и уже представляют, как они будут нагонять вес до 300 кг, потому что крылья совсем скоро будут уже не нужны, но тем больнее будет, когда маори все-таки приплывут (а как учит нас история, они обязательно приплывут).

Я 20 лет строил технологически передовую компанию и никогда бы не смог пройти этот путь, если бы ставил цель кого-то импортозаместить. И никто не сможет.

Поэтому заменяем в своих головах понятия “цифровой суверенитет” на “цифровая экспансия”, а “импортозамещение” на “технологический экспорт”. Нужно не ставить вопрос “как нам быть без них”, а делать все так, чтобы остальные думали “как они смогут без нас.

Друзья, говорить правду - легко! И поэтому я легко ее скажу. Еще до ареста я понимал, что против меня готовится серьезная провокация. Именно поэтому, еще в июне 2021 года я записал видеообращение ко всем, кто переживает за меня и за судьбу российской сферы кибербезопасности.

Я также обратился в правоохранительные органы и подробно изложил свою версию моего ареста. Ветры этих событий начали дуть еще несколько лет назад. Меня не раз хотели нейтрализовать под разными предлогами, поэтому было состряпано это необоснованное ничем обвинение. Но правда на моей стороне... на нашей стороне!

Отмечу, что нынешний руководитель Центра Информационной безопасности ФСБ Олег Иннокентьевич Кашенцов сработал в довольно прозрачной связке с экс-начальником отдела и американским шпионом - Сергеем Михайловым, по оговору которого я оказался в СИЗО. Это ставит вопрос о компетентности нынешнего начальства ЦИБ, выискивающего врагов там, где их нет. Но еще в более широком смысле, работа таких «экспертов» ставит на край пропасти безопасность страны в этот не простой для нее период.

Я понимаю, что вам, дорогие коллеги, может быть страшно делать то, что привлекло такие силы и события, которые упали на мою голову. Но жизнь - одна и у каждого есть предназначение. Видимо, мое состоит именно в том, чтобы вскрыть чудовищные ошибки, позволяющие преступникам, в том числе во всемогущем ведомстве, вести себя безнаказанно.
У каждого из вас, ребята, есть право понять, является ли это предназначение тем, за что вы готовы бороться? За то, что вы делаете, ежедневно раскрывая преступления в сети?

Поэтому с улыбкой на лице, вне зависимости, от того что произошло и произойдет со мной, призываю вас продолжать работу - бороться с преступностью лучше, чем кто либо другой!

Пусть тревог и забот будет меньше в 2022!

Помните я вам рассказывал про Северо-Корейскую группу APT37?

Данная группа примечательна тем, что она атакует различные государственные и коммерческие компании по всему миру, с целью сбора конфиденциальной информации в интересах Пхеньяна.

Так, например, в Северной-Кореи был оператор мобильной связи, являющийся единственным представителем услуг мобильного интернета. Компания была с Ближнего Востока, но создало совместное предприятие с Пхеньяном. В результате мобильный оператор проработал в стране более 10 лет, но под давлением международных организаций был вынужден покинуть рынок и закрыть свое представительство. Северокорейцам это не понравилось и они решили атаковать членов правления компании, чтобы собрать как можно больше информации для дальнейшего давления.

Другой пример уже ближе к нам. В конце 2021 года группа взломала учетную запись электронной почты сотрудника МИДа. Получив доступ к почте, злоумышленники решили двигаться дальше и сделали рассылку с вредоносным вложением некоторым сотрудникам МИДа. Рассылка была приурочена к поздравлениям с Новым Годом.

К письму прилагалось вредоносное вложение с поздравительной открытой. Уж не знаю, есть ли в Серверной Корее аналог моей любимой социальной сети “Одноклассники”, но что точно, северокорейскому дизайну поздравительных открыток можно позавидовать.

Дорогие друзья, у меня уже начался суд (готовлюсь, анализирую, собираюсь мыслями, в общем защищаюсь) и времени для постов стало поменьше, но время на чтение я оставляю всегда. Например, на чтение отчета ЦБ с суммой хищения денег у россиян в 4.6 млрд руб. только за первый квартал.

Интересно получается: на финансовую систему наложены санкции, трансграничные переводы затруднены, международные платежные системы ушли, а объем хищений со счетов россиян вырос на 38%. Думаю, очевидно, что интерес к подобным преступлениям может быть только у преступников или преступных групп, которые полностью или частично на территории России. Что достаточно без слов говорит об очень многом. как и об истинном патриотизме хакеров, так и об "эффективных" текущих методах борьбы с ними. Ведь одно дело сложно, когда хакер находится на территории Северной Кореи, и совсем другое дело - текущая ситуация.

Кстати, вот вам пример-подтверждение как того, что и преступные группы находятся в России, так и того, что есть специалисты, которые знают, как их ловить:

https://www.facct.ru/media-center/press-releases/jewelry-team-scam

Мне очень не нравится фраза в отчете ЦБ "Из украденных 4,5 млрд руб. банки смогли вернуть клиентам только 4,3% средств."

1 — Украли далеко не 4,5 млрд руб. Ведь это малая часть айсберга, потому что основной вектор монетизации невидим для ЦБ. Это шифровальщики и прочие преступления, где движение финансов идёт по неисследуемым государством и ЦБ маршрутам.

2 — Это не только деньги клиентов. Это зачастую еще и кредитные деньги: телефонные мошенники отбирают деньги у незащищенных слоев населения, обманом заставляя брать кредит тех, у кого денег нет.

Конечно, формально банк по закону не должен ничего возвращать в случае социальной инженерии. Да и получит он назад свое с процентами. Но не слишком ли это удобно - перекладывать защиту от мошенников с государства и банков с их бюджетами на бабушку, которой позвонили и сказали, что ее накопления в опасности и их нужно перевести на защищенный счет?

Друзья! Всего несколько дней прошло с моего последнего поста о том, что банкам стоит быть более заинтересованными бороться с мошенничеством. И вот они, радостные новости: Обязанность возместить сумму мошеннической операции за 30 дней - это очень весомый стимул, наконец, защищать не только свои деньги, но и деньги своих клиентов. Жаль только, что закон вступит в силу через целый год. На мой взгляд, в такое время можно и быстрее.

Время требуется, чтобы финансовые организации настроили транзакционные и сессионные антифрод системы, обновили, наконец, политики, чтобы бороться с мошенниками, обучили свой персонал. И я даже знаю, где и как его обучить. Ведь у нас есть не только лучшее в России решение по защите от мошенничества, но и супер актуальный курс ввода в профессию по защите от онлайн мошенничества. Не реклама, просто говорю по F.A.C.C.T.у

Но не стоит расслабляться и думать, что так можно победить киберпреступность. Что будет дальше: рост мошенничества, при котором жертв уговаривают несколько дней прятаться от всех в съемной квартире, рост ложных сообщений о мошенничестве и двойных трат денег, уход в крипту и многое другое. Для победы нам нужно изучать киберпреступность, знать, как она действует, где находится и что планирует делать.

И есть у меня надежда, что после вступления в силу этого закона в России прибавится организаций, заинтересованных не только в собственной защите, но и в нашей общей победе.

Я много тут пишу о том, как делать надо и как делать не надо. О том, что нужно привлекать технологические (частные) компании к созданию киберзащиты, о конкуренции и важности обмена данными, о кибератаках. Давайте напишу и о том, как это делают другие. Если мне не верите:

Ронен Бар, глава израильского агентства безопасности Шин Бет недавно заявил на конференции, что Тель-Авив в сотрудничестве с рядом стран разрабатывает систему "глобального кибер-железного купола" для выявления и устранения угроз с использованием искусственного интеллекта. При этом он заявил, что появляется множество альянсов, и глобальный кибер-железный купол начинает обретать форму.

О том, какие это альянсы, можно судить по заявлению главы кибербезопасности ОАЭ доктором Мохаммедом Аль-Кувейти о совместном старте платформы обмена данными о киберугрозах на межнациональном уровне "Хрустальный Шар". Интересно то, что делают это платформу американская компания Microsoft, которая в представлении не нуждается, и, возможно неизвестная вам, израильская Rafael Advanced Defense Systems - компания, разработчик тактических систем связи, систем оцифровки поля боя, ракет ПВО , космических двигателей и того самого Железного Купола.

Мне больно и грустно читать о том, как бездарно растрачивается инженерный и технологический потенциал России, как разрыв между нами и остальным миром в киберпространстве не только не сокращается, но даже увеличивается. Ведь от того, как быстро мы перейдем от новостей уровня "Роскомнадзор заказал систему защиты от DDOS у единственного поставщика за 1,5 млрд. руб." К новостям: "Алмаз-Антей вместе с Яндексом представит платформу цифровой разведки и обмена информацией о кибератаках для всех стран - участников ОДКБ", зависит судьба нашей страны.

Наверное, вы уже все видели и слышали, что прокурор попросил мне 18 лет колонии. Эта цифра не мешает мне с улыбкой, достоинством и четким холоднокровным профессионализмом делать, что должно. Я всю жизнь работаю с цифрами, числами, кодами, и ни одна из них меня в ступор не вводила.

Я точно знаю, что в любой, даже самой безвыходной или вроде бесполезной ситуации, надо сражаться, даже если очень темно и противник превосходит силой и использует гнусные методы. Вот только бой отнимает много времени и до 26 июля я вряд ли что-то высокотехнологичное здесь напишу.

И да, повторю свои слова после окончания последнего судебного заседания (прочитал в газете, что это проскользнуло в СМИ, чему очень рад): если будет обвинительный приговор, это будет одна из самых успешных операций американских спецслужб и очередной спланированный удар по российскому IT-сектору.

Дорогие друзья!
Спасибо вам огромное за поддержку, которую я получил и получаю эти дни: в суде, через письма, через адвокатов.

Пару слов о самом событии: приговор в 14 лет. Это победа тех, кому я мешал. Победа тех, кому не нужен отечественный кибербез, кому не нужна суверенная и самодостаточная Россия в вопросах информационной безопасности. Но уверяю, что этот приговор — это пиррова победа. И я так просто не сдамся, правда все равно за мной.

Уверен, что в некоторых местах в Москве, да и в других местах по всему миру открывали шампанское за мою посадку. Хочется, конечно, пожелать им в грубой форме «избежать попадания напитков в дыхательные пути», но не буду, я все-таки воспитанный человек, инженер.

Надеялся ли я на оправдательный приговор? Конечно, так как в деле слишком много противоречий и, скажем так, удивительных странностей, которые, на мой взгляд, мы с адвокатами однозначно развенчали. Но реалист внутри меня понимал, что будет обвинительный. Потому к этому дню я подошел спокойно, в отличном расположении духа. Как те музыканты на Титанике. Вы сами это видели =)

За годы в университете Лефортово я научился жить в условиях изоляции. У меня все по распорядку: спорт, питание, чтение, прогулки. Трудно найти более дисциплинированных людей, чем временных жителей этого заведения. И важно то, что в определенный момент я понял, что в таких условиях можно жить дальше, продолжить работать, общаться с родными и близкими.

Чем я буду заниматься? Все тем же — вопросами кибербезопасности. Я уже в СИЗО написал несколько высокотехнологичных решений, которые переданы в Роспатент. Мой мозг не отключить, мое желание созидать полезные обществу вещи — тоже.

Конечно,, я буду обжаловать приговор, конечно, мы с адвокатами будем идти до конца, потому верю, что рано или поздно я буду услышан, что рано или поздно кто-то посмотрит в мое уголовное дело и ужаснется.

Пока будем заниматься вопросами обжалования, я буду находиться в Лефортово и время от времени комментировать важные технологические новости (вот как, например, новость о том, что Президент РФ недавно подписал закон о внедрении цифрового рубля).

Еще раз хочу сказать спасибо всем, кто меня поддерживал и поддерживает, всем родным и близким, всей команде F.A.C.C.T. Вы самые лучшие люди на свете, вы несете свет и добро! То, что я знаю вас – уже самое важное приобретение в моей жизни!

П.С. тем, кто следит за моим вторым каналом #МемыСкрепы2 – туда я тоже кое-что написал.

Пока я читаю протокол судебного заседания и готовлюсь к обжалованию приговора, я решил рассказать вам о переходе количества в качество. Этот процесс я наблюдал много раз в своей работе. Все начинается с того, что ты по интуиции начинаешь собирать разные данные. На первый взгляд не очень полезные. Например, одноразовые почты мошенников. Или IP адреса, использующиеся в атаках на 1-2 дня. Мы были одними из первых в России, кто начал собирать не только образцы вирусов, но и все возможные следы киберпреступлений и хакерской инфраструктуры.

В наши базы данных попадало все: хакерские никнеймы, сообщения на формумах, IP адреса, почтовые заголовки спам и скам рассылок, доменные имена, SSL сертификаты и еще десятки других параметров, которые мы увязывали друг с другом и отображали в виде графа, которым сейчас мы так гордимся и который безуспешно, не понимая, что находится в его основе, пытались скопировать некоторые наши конкуренты. Хакуна Матата, конкуренты!

А потом, на определенном этапе произошла магия. Собрав достаточно очень разнообразных слепков хакерской инфраструктуры, нам стали понятны общие паттерны того, как она выглядит, как она меняется со временем, как определенные группы преступников эволюционируют, распадаются, сливаются друг с другом. И наблюдение всех эти метаморфоз доступно нашему аналитику просто по клику мыши.

Именно так и работает настоящая киберразведка. Ведь это не соревнование, кто больше образцов вирусов соберет. Киберразведка - это постоянный анализ различных индикаторов прошлых преступлений, из которого синтезируется знание о будущих атаках. Я не могу здесь раскрыть примеры, чтобы не помешать своей команде и правоохранительным органам делать свою работу. Просто запомните, что в цифровом мире скрыть все следы преступление в стократ сложнее, чем в реальном.