C919 dziełem chińskich cyberprzestępców?

Opublikowany 14 października raport rzuca światło na jedną z najbardziej ambitnych znanych dotychczas chińskich operacji hakerskich. Celem kampanii była kradzież własności intelektualnej, aby w ten sposób zmniejszyć przewagę Zachodu w sektorze technologii przemysłu lotniczego. Państwo Środka chciało pomóc krajowemu producentowi Comac w zbudowaniu własnego samolotu, C919, który mógłby konkurować z najpopularniejszymi samolotami dwóch gigantów lotniczych – boeingiem 737 i airbusem A320.

Szeroko zakrojona akcja

Raport opracowany przez specjalistów Crowdstrike pokazuje, jak ta skoordynowana wieloletnia kampania hakerska systematycznie atakująca zagraniczne firmami, które dostarczyły komponenty do budowy C919. Według ekspertów głównym celem operacji było uzyskanie niezbędnej wiedzy na temat produkcji wszystkich komponentów, aby mogły one powstać na terenie Chin.

Crowdstrike twierdzi, że Ministerstwo Bezpieczeństwa Państwowego (MSS) zleciło akcję Biuru Jiangsu (MSS JSSD). Wspominaliśmy o tym biurze przy okazji wypłynięcia informacji o cyberatakach na Airbusa. Wedle raportu akcję koordynowało dwóch oficerów. Jeden był odpowiedzialny za zespół hakerów, podczas gdy drugi miał za zadanie rekrutację osób pracujących w firmach lotniczych i kosmicznych.

Jak przypomina ZDNet, grupa chińskich cyberprzestępców w latach 2010-2015 przeprowadzała zorganizowane cyberataki  wymierzone w firmy sektora lotniczego, w tym czołowych dostawców komponentów. Jednak w przeciwieństwie do innych złośliwych kampanii prowadzonych przez państwowych hakerów, tym razem Chiny zaangażowały specjalistów wojskowych, a także lokalnych ekspertów.

Według Crowdstrike oraz Departamentu Sprawiedliwości USA odpowiedzialni za przeprowadzanie cyberataków hakerzy byli rekrutowani z „lokalnej podziemnej sceny hakerskiej w Chinach”. Specjaliści firmy podkreślają, że część z nich ma karierę cyberprzestępczą sięgającą 2004 roku.

Zgodnie z raportem w zdecydowanej większości przypadków hakerzy używali niestandardowego oprogramowania, które zostało opracowane specjalnie dla tej kampanii. Jak wskazuje ZDNet, grupa, którą eksperci Crowdstrike nazwali Turbine Panda, odniosła ogromny sukces. Gdy w rzadkich przypadkach nie udawało wykraść informacji za pomocą Sieci, do gry wchodził oficer, który pozyskiwał Chińczyka pracującego w danej firmie i ten przy pomocy zwykłego pendrive infekował komputery. Specjaliści wskazali, że w 2016 roku, czyli po prawie sześciu latach prowadzenia złośliwej kampanii cyberataków, chińska firma Aero Engine Corporation (AECC) uruchomiła silnik CJ-1000AX, który jest kopią mechanizmu opracowanego przez zagraniczną firmę CFM International. Spółkę joint venture między amerykańską firmą GE Aviation i francuską firmą lotniczą Safran, która dostarczył silniki turbinowe do C919.

Zdecydowana reakcja USA

Przez długi czas działalność chińskich hakerów pozostawała niezauważona. Sytuacja zmieniła się w momencie, gdy cyberprzestępcy popełnili błąd i zaatakowali większe podmioty, na przykład US Office of Personnel Management. Wówczas włamania zwróciły uwagę amerykańskiego rządu, który sprawnie połączył fakty ze sobą, dochodząc do jednoznacznego wniosku.

Wkrótce po tych wydarzeniach Yu, twórca złośliwego oprogramowania Sakula, został aresztowany podczas konferencji poświęconej bezpieczeństwu w Los Angeles, a następnie oskarżony o udział w zorganizowanej kampanii hakerskiej. Aresztowanie Yu wywołało burzę na chińskiej scenie politycznej. W odpowiedzi na działania Stanów Zjednoczonych Pekin zakazał chińskim naukowcom uczestniczenia w zagranicznych konferencjach dotyczących bezpieczeństwa, obawiając się, że władze USA mogą zdobyć inne „aktywa”.

Jednak najważniejszym wydarzeniem było aresztowanie w 2018 roku przez zachodnie służby Xu Yanjuna, oficera MSS JSSD odpowiedzialnego za rekrutację osób do złośliwej kampanii. Zatrzymanie, o którym mowa, uznaje się za jedno z najważniejszych w środowisku wywiadowczym od czasów zimnej wojny, poza sprawą Snowdena.

Jednak specjaliści Crowdstrike wskazują, że „w rzeczywistości wielu innych hakerów, którzy stworzyli operacje Turbine Panda, prawdopodobnie nigdy nie zobaczy celi więziennej”. Taki stan rzeczy wynika z faktu, że Chiny nie wydały jeszcze żadnego obywatela oskarżonego o przestępstwa związane z cyberatakami – podkreśla ZDNet.

Chiny chcą nadgonić świat

W wyniku wykrycia i aresztowania czołowych postaci operacje prowadzone przez Turbine Panda zostały przejęte przez inne chińskie grupy szpiegowskie, takie jak Emissary Panda, Nightshade Panda, Sneaky Panda, Gothic Panda czy Anchor Panda. W opinii ekspertów złośliwa kampania ze strony Chin będzie kontynuowana i należy spodziewać się kolejnych incydentów. Taki stan rzeczy wynika z niezadowolenia Beijingu w odniesieniu do postępu prac związanych z budową odrzutowca Comac.

Od lat mówi się, że Chiny budują swoją potęgę gospodarczą na bazie innych krajów oraz zagranicznych konkurentów. Raport Crowdstrike dobitnie pokazuje, w jaki sposób Beijing wykorzystuje hakerów dla swoich celów. Dzięki cyberprzestępcom Państwo Środka staje się potęgą. A w tym wszystkim przemysł lotniczy jest tylko jedną z części układanki. Podobne działania hakerskie objęły również wiele innych branż, od przemysłu morskiego po produkcję sprzętu, od badań akademickich po biotechnologię.