Telefon do przyjaciela? Exploity NSA załatane miesiąc przed wyciekiem

Udostępnione w zeszły piątek przez hakerów z grupy ShadowBrokers exploitysystemów operacyjnych Microsoftu były zneutralizowane jeszcze przedich publicznym wyjawieniem. Microsoft przyznał, że doszło do tegow ramach marcowychbiuletynów bezpieczeństwa – co jeszcze bardziej uprawdopodabniatezę, że to wszystko jest grą wywiadów, a w tej rozgrywcechodziło o osłabienie ofensywnych możliwości amerykańskiejagencji NSA.

Prawdopodobnie exploity te, wraz z towarzyszącym im toolkitemFUZZBUNCH, miały pochodzić z wykradzionego w zeszłym roku zestawucyberbroni, stworzonych przez The Equation Group – elitarną grupęhakerów pracujących dla agencji bezpieczeństwa narodowego StanówZjednoczonych. Klucz deszyfrujący do całego zestawu wystawionona sprzedaż w aukcji, w której wygrywał ten, kto da więcej, aprzegrywający tracili wszystko, co wpłacili. Zachętą douczestnictwa miała być niezaszyfrowana paczka z exploitami doróżnych zapór sieciowych.

Aukcja się niespecjalniepowiodła, więc hakerska grupa zakończyła aukcję bezwyłonienia zwycięzcy, zapowiadając zarazem, że jeśli uda sięzgromadzić 10 tys. bitcoinów, to publicznie udostępni ten kluczdla wszystkich. No cóż, do tej pory na konto Shadow Brokerswpłynęło raptem 10 bitcoinów – tysiąc razy mniej, niżoczekiwana kwota, a większość transakcji to były jakieś śmiesznegrosze.

Część z tego, czego nie udało się sprzedać, trafiło dozestawu udostępnionego w ostatni piątek. Z pierwszych opiniiekspertów od bezpieczeństwa wynikało, że to bardzo poważnasprawa… potem jednak okazało się, że najwyraźniej wielu z nichzapomniało zaktualizować swoje maszyny wirtualne. MicrosoftSecurity Response Center zbadało udostępnione exploity,potwierdziłoich autentyczność i poinformowało, że wykorzystywane w nich lukisą załatane. Ostatnie działające techniki ataku na serwer SMB,tj. EternalBlue, EternalRomance i EternalSynergy zostałyzneutralizowane w marcu biuletynem MS17-010.

Trzy exploity, które łatek nie miały (EnglishmanDentist,EsteemAudit i ExplodingCan) zagrażają już tylko niewspieranymplatformom Microsoftu, tj. systemom wcześniejszym niż Windows 7 iserwerowi Exchange w wersji niższej niż 2010. Microsoft zachęcaoczywiście do aktualizacji oprogramowania do najnowszej wersji.

Taki obrót spraw każe zapytać, czemu akurat teraz Microsoftdowiedział się o tych lukach. Czy został poinformowany opotencjalnym zagrożeniu przez kogoś z NSA? Firma z Redmondkategorycznie jednak odrzuca pomówienia, jakoby współpracowała zamerykańską agencją bezpieczeństwa narodowego. Pomówienia te niecichną od 1999 roku, czasów wydania Windows NT Service Pack 5.Wtedy to Microsoft omyłkowo udostępnił wersję z symbolamidebugowania, wśród których znaleziono zmienną o bardzo ciekawejnazwie, _NSAKEY.

Inną możliwością jest to, że w jakiś sposób Microsoftzakupił informacje o wystawionych na aukcji narzędziach NSA naczarnym rynku, lub też może ktoś z samej hakerskiej grupyanonimowo doniósł do Redmond o zagrożeniu. Coś się jednakmusiało stać, niewykluczone że doszło do tego w lutym, gdyMicrosoft zaskoczył wszystkich i niewydał biuletynów bezpieczeństwa, by potem bez żadnychwyjaśnień miesiąc później wydać biuletyny marcowe, łatającewspomniane luki.

Jak było faktycznie, tego pewnie się nigdy nie dowiemy. Zperspektywy zarówno zwykłych użytkowników, jak i wrogów StanówZjednoczonych wszystko skończyło się jednak dobrze: choć niewiemy, iloma działającymi exploitami do Windowsa dysponuje dziśNSA, to na pewno jest ich mniej, niż w lutym tego roku. To zaśoznacza, że ogólne bezpieczeństwo Windowsa wzrosło. Luki takienie są bowiem wykorzystywane tylko przez agentów wywiadu ikontrwywiadu, lecz przez wszystkich tych, którzy chcą dostać siędo danych, do których dostępu mieć nie powinni.