Mikko Hyppönen: Kontraŭbatali virusojn, defendi la reton

Mi amas Interreton. Vere. Pripensu ĉion, kion ĝi alportis al ni. Pripensu ĉiujn servojn, kiujn ni uzas, ĉiujn konekteblecojn, ĉiujn amuzigojn, ĉiujn komercojn kaj negocojn. Kaj tio okazas dum nia vivtempo. Mi nepre certas ke iam oni verkos historiajn librojn jarcentojn post nun. Tiutempe nian generacion oni memoros kiel tiu generacio, kiu atingis retkonekton, tiu generacio, kiu konstruis ion vere, efektive tutmondan. Jes ja, ankau veras, ke Interreto havas problemojn, tre seriozajn problemojn, problemojn pri sekureco kaj problemojn pri privateco. Mi pasigis mian tutan karieron kontraŭbatalante tiajn problemojn.

Do lasu min montri ion al vi. Ĉi tiu estas Brain. Ĉi tiu estas supla disko -- kvin-kaj-kvaron-cola supla disko infektita de Brain A Ĝi estas la nepre unua viruso kiun ni trovis por Personaj Komputiloj. Kaj ni scias certe de kie Brain devenis. Ni scias ĉar ĝi sciigas tion ene de la programa kodo. Ni vidu. En ordo. Tio estas la eka sektoro de infektita supla disko. Kaj se ni rigardas pli proksimen, ni vidos ke ĝuste tie ĝi diras "Bonvenon al la tura kelo" Kaj plue ĝi diras 1986, Basit kaj Amjad Sed Basit kaj Amjad estas personaj nomoj, Pakistanaj personaj nomoj. Fakte, tie estas telefonnumero kaj adreso en Pakistano.

(Ridoj)

Do, 1986. Nun estas 2011. Tio estas antaŭ 25 jaroj. La problemo de komputilaj virusoj nun aĝas 25 jarojn. Tial antaŭ duona jaro mi decidis iri mem al Pakistano. Ni vidu, jen du fotoj kiujn mi fotis dum mi estis en Pakistano. Tiu ĉi devenas el la urbo Lahore, kiu estas ĉ. 300 kilometrojn sude de Abbottabad kie Bin Laden estis kaptita. Jen tipa vidaĵo de strato. Kaj jen la strato, kiu kondukas al tiu konstruaĵo t.e. 730 Nizam block en kvartalo Allama Iqbal. Kaj mi frapis ĉe la pordo. (Ridoj) Ĉu vi divenos kiu malfermis la pordon? Basit kaj Amjad, ili daŭre estas tie. (Ridoj) (Aplaŭdo) Jen la staranto estas Basit la sidanto estas lia frato Amjad. Tiuj estas la uloj, kiuj verkis la unuan komputilan viruson. Kompreneble ni havis tre interesan diskuton. Mi demandis kial. Mi demandis kion ili opinias pri tio, kion ili ekigis. Kaj mi iamaniere kontentiĝis lerninte, ke ambaŭ, kaj Basit kaj Amjad, suferis infekton de siaj komputiloj dekduojn da fojoj fare de tute aliaj senrilataj virusoj dum la pasintaj jaroj. Do finfine en la mondo estas iom da justeco.

Nuntempe la virusoj, kiujn ni kutime vidis en la 1980-aj kaj 1990-aj jaroj kompreneble ne plu estas problemoj. Do mi montru paron da ekzemploj pri kiaj ili montriĝis. Kion mi nun uzas estas sistemo, kiu permesas al mi efikigi malnovegajn programojn en nuntempa komputilo. Mi ebligu alkonekton de kelkaj diskoj. Iru tien. Jen ni havas liston de malnovaj virusoj. Do mi aktivigu kelkajn virusojn en mia komputilo.

Ekzemple, ni ekigu la viruson Centipede unue. Kiel vi povas vidi supre en la ekrano, centpiedulo trairas vian ekranon. Kiam vi infektiĝas pro tiu ĉi vi konsciiĝas pri la infekto, ĉar fakte ĝi montriĝas. Jen alia. Tiun ĉi nomatan Crash oni elpensis en Rusio en 1992. Mi montru nun unu, kiu fakte eligas iom da sono. (oni aŭdas sirenon) Kaj la lasta ekzemplo. divenu kion faras la viruso Marŝanto (Walker) Jes, iu ulo promenas tra via ekrano kiam vi iĝas infektita. Do kutime estis tre facile konsciiĝi pri infekto fare de viruso, kiam virusojn elpensis hobiuloj kaj adoleskantoj.

Nuntempe, ne plu konstruas ilin hobiuloj kaj adoleskantoj. Nuntempe, virusoj estas tutmonda problemo. Ĉi malantaŭe ni havas ekzemplon de niaj sistemoj kiujn ni uzas en niaj laboratorioj kie ni priatentas virusajn infektojn tutmonde. Do ni vere povas vidi dumokaze ke ni ĵuse blokis virusojn en Svedio kaj Tajvano kaj Rusio kaj ie ajn. Fakte, se mi konektiĝas reen al niaj serĉsistemoj pere de la reto, ni povas vidi dumokaze plimalpli kiom da virusoj, kiom da okazaĵoj de malica softvaro ni trovas ĉiutage. Jen la lasta viruso, kiun ni trovis en dosiero nomata Server.exe. Ni trovis ĝin antaŭ tri sekundoj - la antaŭlastan, antaŭ ses sekundoj. Kaj se ni inspektas malsupren, temas pri ega kvanto. Ni trovas dekmilojn, eĉ centmilojn. Kaj jen la lastaj 20 minutoj da malica softvaro ĉiun unuopan tagon.

Do, de kie ĉiuj ili devenas? Vidu, nuntempe estas organizitaj krimulaj bandoj kiuj produktas ĉi tiujn virusojn ĉar ili akiras monon per siaj virusoj. Temas pri bandoj kiel ... ni iru al GangstaBucks.com. Tio estas retejo funkcianta el Moskvo kie ili aĉetas infektitajn komputilojn. Tiel se vi estas verkisto de virusoj kaj kapablas infektigi Vindozajn komputilojn, sed ne scias kion fari per ili, vi povas vendi tiujn infektitajn komputilojn - komputilojn de iu alia - al tiuj uloj. Kaj ili efektive pagos al vi monon por tiuj komputiloj. Sed kiel tiuj uloj ricevas monon por la infektitaj komputiloj? Estas pluraj diversaj manieroj kiel la bankaj trojanoj, kiuj ŝtelos monon el via bankokonto dum vi mastrumas ĝin pere de la reto, aŭ tajpospionoj (keyloggers). Tajpospionoj sidas en via komputilo, silentaj kaj nevideblaj, kaj memoras ĉion kion vi tajpas. Do vi sidas ĉe via komputilo kaj serĉas per Guglo. Ĉiu unuopa Gugla serĉaĵo tajpita estas savita kaj sendata al la krimuloj. Ĉiu unuopa retmesaĝo el vi estas savita kaj sendata al la krimuloj Same okazas por ĉiu pasvorto kaj tiel plu.

Sed tio, kion ili plej aktive serĉas estas retsesioj en kiuj vi alretiĝas kaj perrete aĉetas el iu ajn retvendejo. Ĉar kiam vi aĉetas ĉe retvendejoj, vi tajpos vian nomon, sendadreson, kreditkartan numeron kaj sekurkodojn. Jen ekzemplo de dosiero kiun ni trovis en retservilo antaŭ du semajnoj. Jen la kreditkarta numero, jen la limdato, jen la sekureca kodo, jen la nomo de la posedanto. Post akiro de la kreditkartaj datumoj de iu alia, oni povas retkonekti kaj aĉeti kion ajn oni volas pere de tiuj datumoj. Tio nedirinde estas problemo. Nun ni havas tutan kaŝitan merkaton kaj komercan vivmedion kreitan surbaze de la perreta krimo.

Ekzemplo de kiel tiuj uloj vere kapablas enspezi monon pro siaj faroj. Ni rigardu iomete la paĝojn de INTERPOL kaj priatentu serĉatajn homojn. Ni trovas homojn kiel Bjorn Sundin, sved-devena, kaj lia kunkrimulo, kiu ankaŭ aperas en la paĝoj pri serĉatuloj de INTERPOL, S-ro Shaileshkumar Jain, usona civitano. Ĉi tiuj uloj starigis firmaon nomatan I.M.U., retkriman entreprenon per kiu ili akiris milionojn. Ambaŭ nuntempe estas fuĝantaj neniu scias kie ili estas. Usonaj oficistoj nur antaŭ du semajnoj, frostigis svisan bankokonton apartenantan al s-ro Jain, kaj tiu konto enhavis 14,9 milionojn da usonaj dolaroj.

Do la kvanto da mono produktata de la retkrimo estas rimarkinda. Tio montras ke retkrimuloj fakte povas permesi al si investi monon en siaj atakoj. Ni scias ke retkrimuloj nun dungas programistojn, dungas kontrolistojn, pruvkontrolas programan kodon, posedas komputilajn servilojn kun SQL-datumbazoj. Kaj ili povas permesi al si observi kiel ni laboras - kiel laboras ni, sekurecaj fakuloj - kaj ili klopodas trovi elturniĝon flanke de kiaj ajn sekurecbariloj kiujn ni povas starigi. Ili ankaŭ ekspluatas la tutmondan naturon de interreto por sia avantaĝo. Mi celas diri, interreto estas internacia pro tio ni nomas ĝin interreto

kaj se vi priatentas kio okazas nun en la interreta mondo, jen video farita de Clarified Networks, kiu montras kiel ununura familio de malicaj softvaoj kapablas dise moviĝi tra la mondo. Ĉi tiu iniciato, onidire devena el Estonio, moviĝas de lando al lando kiam oni klopodas fermi tiun retpaĝaron. Tial fakte ne eblas ĉesigi tiujn ulojn. Ili transiros de lando al lando, de iu jurisdikcio al alia -- moviĝante tra la mondo ekspluatante la fakton, ke ni ne kapablas fari internaciajn policajn intervenojn samspecajn. Tial interreto estas kvazaŭ iu donacus senpagajn flugbiletojn al ĉiuj retkrimuloj de la mondo. Nun krimuloj kiuj antaŭe ne kapablis atingi nin povas atingi nin.

Do kiel en la realo oni klopodas trovi retkrimulojn? Kiel fakte oni trovas iliajn spurojn? Mi montru ekzemplon al vi. Jen ĉi tie estas dosiero ekspluata. Ĉi tie mi observas la ciferan listigon de dosiero kiu entenas ekspluatan malican kodon. Tio signifas, ke se vi klopodas vidi ĉi tiun dosieron per via vindoza komputilo, ĝi fakte ekmastrumas vian komputilon kaj efektivigas sian propran malican kodon.

Nun se vi rigardas ĉi tiun bild-dosieron jen tie la komenca parto de la bildo, kaj tie komenciĝas la atakanta kodo. Kaj tiu kodo estas ĉifrita do ni malĉifru ĝin. La ĉifron oni faris per la funkcio XOR 97 Vi nur fidu min, ĝi estas tia. Do ni povas iri tien kaj vere komenci malĉifron. Bone, nun la flava parto de la kodo estas malĉifrita. Kaj mi scias, ĝi ne tre malsimilas al la origina kodo. Sed plu rigardu ĝin. Fakte vi povas vidi ĉi-sube vi povas vidi retejan adreson. unionseek.com/d/ioo.exe Kiam vi vidas ĉi tiun bildon en via komputilo ĝi fakte elŝutas tiun programon kaj lanĉas ĝin. Temas pri kaŝita enirejo tra kiu oni povas mastrumi la tutan komputilon.

Sed eĉ pli interese, se ni plu malĉifras ĝin, ni trovas ĉi tiun misteran literĉenon t.e. O600KO78RUS Tiu literĉeno estas tie je la fino de la ĉifraĵo kvazaŭ suskribo. Ĝi tute ne estas uzata por io ajn. Mi rigardis tion, emis diveni kion signifas Do kompreneble mi serĉis en Guglo Neniu trafo, ĝi ne estis tie. Mi pridiskutis tion kun serĉkolegoj. En nia teamo estas du rusaj uloj kaj unu el ili rimarkis, ho, ĝi fiiniĝas per rus kiel Russia kaj 78 estas la urbokodo por la urbo Sankta Peterburgo. Ekzemple, vi trovas ĝin en telefonnumeroj kaj aŭtaj matrikulplatoj kaj similaj aferoj. Tial mi serĉis kontaktojn en Peterburgo kaj laŭ longa ĉeno finfine ni trovis ĉi tiun apartan retejon.

Temas pri rusiano, kiu aktivis en la reto dum pluraj jaroj prizorgante propran retejon kaj li funkciigas blogon kadre de la konata Live Journal. Ĉe tiu blogo, blogo pri lia vivo, pri lia vivo en Peterburgo -- li estas iom pli ol dudekjara -- pri lia kato pri lia amatino. Li stiras belegan aŭton Fakte, tiu fraŭlo stiras Mercedes-Benz S600 V12 kun seslitra motoro kun pli ol 400 ĉevalpovoj. Nu, estas bela aŭto por 20-iom-jaraĝa fraŭlo en Peterburgo.

Kiumaniere mi scias pri tiu aŭtomobilo? Ĉar en la blogo li rakontas pri la aŭto. Fakte li havis stratakcidenton. En centra Peterburgo. Fakte li koliziis kun alia aŭto. Kaj li enmetis en la blogon fotojn pri la akcidento jen lia Mercedes -- jen la Lada Samara kiun li trafis. Kaj vi povas vidi ke la matrikulplato de tiu Samara finiĝas per 78RUS Kaj se vi detale inspektas la scenan foton, vi vidas ke la plato de tiu Mercedes estas O600KO78RUS. Nu, mi ne estas advokato, sed se mi estus ĉi foje mi dirus: "Mi rezignas pri la afero".

(Ridoj)

Do kio okazas kiam oni kaptas retkrimulojn? Bone, en plejmultaj okazoj ĝi ne atingas tiom. Pri la plejmulto de la serĉado pri retkrimoj, ni eĉ ne scias el kiu kontinento la atako venas. Kaj eĉ se ni sukcesas trovi la retkrimulojn, plejofte estas neniu rezulto. La loka polico ne agas, aŭ se ili agas, ne sufiĉas la evidentaĵoj, aŭ ial ni ne povas haltigi ilin. Mi dezirus, ke la afero estu pli facila, bedaŭrinde ne estas tiel.

Sed aferoj ankaŭ ŝanĝiĝas tre rapide paŝas. Vi ĉiuj aŭdis pri aferoj kiel Stuxnet. Do, se vi atentas kion Stuxnet faris ĝi infektigis ĉi tiujn. Tio estas Siemens S7-400 PLC programebla logika regilo (PLC). Kaj tio funkciigas nian strukturon. Tio funkciigas ĉion ĉirkaŭ ni. La PLC, jenaj etaj skatoloj sen ekrano, sen klavaro, kiujn oni programas, lokigas, kaj ili plenumas sian taskon. Ekz. la liftojn en tiu ĉi konstruaĵo plej eble regas unu el ili. Kaj kiam Stuxnet infektigas unu el ili tio estas grandskala revolucio pri la tipo de riskoj kiuj koncernas nin. Ĉar ĉio ĉirkaŭ ni estas funkciigata de ĉi tiuj. Mi celas diri, tio koncernas nian tutan strukturon. Oni iru al iu ajn fabriko, iu ajn energia aŭ ĥemia instalaĵo, iu ajn prilaborejo por nutrajoj, oni rigardu ĉirkaŭen -- ĉio estas aktivigita de komputiloj.

Ĉio estas aktivigita de komputiloj. Ĉio dependas de la funkciado de komputiloj. Ni iĝis tre dependaj de Interreto, de bazaj aferoj kiel - kompreneble - elektro, de la funkciado de komputiloj. Ĉi tio vere estas io kio kreas tute novajn problemojn por ni. Ni nepre bezonas eblon plulabori eĉ se komputiloj fuŝas.

(Ridoj)

(Aplaŭdo)

Esti pretaj implicas, ke ni povu pluagi eĉ kiam la aĵoj kutime haveblaj ne plu estas tie. Temas pri tre bazaj aferoj -- zorgi pri kontinueco, pri savado de datumoj, pri la aferoj kiuj vere gravas.

Jes ja, mi diris al vi (Ridoj) Mi amas Interreton. Tio veras. Pripensu kiom da servoj ni havas el la reto. Imagu, kio okazos se ili estos forigitaj se iutage vi ne plu havos ilin pro iu ajn kialo. Mi antaŭvidas belecon en la estonteco de Interreto sed min zorgas tio, ke ni povus ne vidi tion. Mi timas, ke nin trafos problemoj pro la interretaj krimoj. Interreta krimo estas io, kio povus depreni el ni ĉi tiujn bonaĵojn.

(Ridoj)

Mi pasigis mian vivon defendante Interreton. Kaj mi sentas, ke se ni ne kontraŭbatalas retkrimon ni vere riskas perdi ĝin tutan. Ni devas fari tion tutmonde kaj ni devas fari nun, tuj. Ni bezonas tutmondan, internacian laboron por trudi leĝon por trovi retkrimulajn bandojn - tiujn organizitajn bandojn, kiuj enspezas milionojn per siaj atakoj. Tio multe pli gravas ol utiligi kontraŭvirusojn aŭ fajromurojn. Kio vere gravas estas vere trovi la fiulojn malantaŭ tiuj atakoj. kaj eĉ pli grave ni devas trovi la homojn kiuj estas enirontaj ĉi tiun retkriman mondon, sed ankoraŭ ne eniris. Ni devas trovi la homojn kun kapablo, sed sen ŝancoj kaj doni al ili la ŝancojn uzi iliajn kapablojn boncele.

Mi multe dankas vin.

(Aplaŭdo)