Atak na sektor finansowy rozpracowany: fałszywa flaga czy jednak Rosjanie?

Opisywany przez nas na początku lutego atak polski sektor finansowy mógł być największym tego typu ujawnionym zagrożeniem w Polsce. Zainfekowane zostały także sieci w USA. nic zatem dziwnego, że atak analizują najważniejsze grupy eksperckie. Według Symanteca stoi za nim grupa Lazarus, jednak BAE Systems utrzymuje, że dysponuje bardziej precyzyjnymi informacjami.

Jak informuje Zaufana Trzecia Strona, BAE Systems przygotowało i opublikowało na łamach bloga kompletną analizę ataków na polski sektor finansowy. Opisano tam wyczerpująco mechanizm działania exploita, jednak uwagę przyciąga inna kwestia – analiza próbek pod kątem języka, w jakim zostały napisane polecenia. Tym ma być transkrybowany rosyjski.

Według BAE atak miał się odbywać pod fałszywą flagą, zaś grupie miało zależeć na tym, aby wyglądał on jak przeprowadzony przez Rosjan. W poleceniach znajdziemy zatem transkrypcję grażdanki do alfabetu łacińskiego zgodną z umownymi odpowiednikami. Według BAE Systems polecenia zostały jednak napisane przez osobę, której rosyjski nie jest językiem ojczystym.

W próbkach znaleźć można bowiem takie polecenia, jak ustanavlivat, poluchit, derzhat czy vykhodit. Są to z pozbawione zmiękczającego znaku apostrofu transkrypcje bezokoliczników, a nie – jak można oczekiwać po poleceniach – czasowniki użyte w trybie rozkazującym. Ponadto są to bezokoliczniki czasowników aspektu niedokonanego. Według BAE dowodem na to, że kodu nie pisał Rosjanin jest na przykład to, że zamiast vyiti (pol. wyjdź) zostało użyte polecenie vykhodit (pol. wychodzić).

Problem w tym, że zarzuty wobec poprawności językowej poleceń są nieco chybione. Otóż w języku rosyjskim powszechnie formy bezokolicznikowe wykorzystywane są w sytuacjach, w których np. w polskim naturalne jest użycie trybu rozkazującego. Wystarczy spojrzeć na powyższe menu poczty Yandex: kolejne pozycje menu to Usunąć, Odpowiedzieć czy Przesłać (dalej). Takie standardy są powszechne w przypadku oprogramowania, mimo że w polskim spodziewalibyśmy się raczej pozycji Usuń, Odpowiedz i Prześlij.

BAE zauważa także niekonsekwencję w transkrypcji słowa klient, które w próbkach znajdziemy zapisane jako kliyent, choć jego poprawna transkrypcja nie powinna zawierać litery y. Zapis kliyent ma być bowiem transliteracją (znak do znaku), a nie transkrypcją (głoska do znaku). Nie można jednak zapominać, że akcent w pada w tym słowie właśnie na sylabę je, jota jest więc bardzo wyraźna, a to mogło wprowadzić w błąd autora kodu. Transkrypcja własnego języka na alfabet łaciński naprawdę nie jest czymś, co Rosjanie robią codziennie.

Nie można zarzucić nic analizie samego exploita, jeżeli jednak chodzi o wskazywanie sprawców na podstawie języka poleceń, to mamy do czynienia ze sporymi wątpliwościami. Współautor analizy, Siergiej Szewczenko, z jakichś powodów utrzymuje, że polecenia te byłby niezrozumiałe dla Rosjanina. W innych mediach nie brakuje nawet hipotez, że intryga jest znacznie bardziej złożona i mamy do czynienia z działaniem pod dwiema fałszywymi flagami!

Rosyjscy hakerzy świadomie mieliby się posługiwać się bezokolicznikami, które według BAE w przypadku poleceń są nienaturalne dla rosyjskiego. Dowiedliśmy już jednak, że jest inaczej. Po co mieliby to robić? Oczywiście po to, aby zasugerować analizującym, że atakujący jedynie chcą się podszyć pod Rosjan, zaś faktycznie nie mają z nimi nic wspólnego. Takie spekulacje zapewne można próbować uzasadnić, na pewno jednak dowodów nie znajdziemy w języku poleceń w przeanalizowanych próbkach.