Anonymous помогли деанонимизировать китайских хакеров

Несколько дней назад был опубликован отчёт Mandiant с результатами контрразведывательной операции против китайских хакеров из группировки APT1. Американские специалисты сумели проследить десятки случаев реальных взломов и изучить активность на серверах хакерской группировки, которые привязаны к местоположению в Шанхае (Китай), где базируется P.L.A. Unit 61398. Предположительно, именно это «компьютерное подразделение» занимается проведением специфических операций разведывательного характера в США и других западных странах.

Специалистам Mandiant удалось записать скринкаст с компьютера одного из хакеров, а также деанонимизировать нескольких сотрудников хакерской группировки. Как выяснилось сейчас, это было сделано при невольной помощи хактивистов Anonymous.

В попытках установить личности хакеров, компания Mandiant сконцентрировалась на псевдонимах, которые чаще всего встречались в коде. Например, часто встречалось имя UglyGorilla. Этот хакер указан как автор первого образца вредоносной программы MANITSME, обнаружённой ещё в 2007 году. В коде программы стоял комментарий “v1.0 No Doubt to Hack You, Writed by UglyGorilla, 06/29/2007”. В последующие годы имя UglyGorilla встречалось и в других образцах кода, но американские специалисты никак не могли выйти на след этого разработчика. Удача повернулась к ним после того, как хактивисты Anonymous взломали HBGary Federal в начале 2011 года.

Взлом HBGary был многоходовой операцией, на одном из этапов которой хакеры взломали проект rootkit.com, среди зарегистрированных пользователей оказался некто с почтовым адресом uglygorilla@163.com, а его пароль подошёл к другим доменам, которые зарегистрировал UglyGorilla, и IP-адрес 58.246.255.28 соответствовал тем, которые использовала хакерская группировка APT1 на серверах Народно-освободительной армии Китая. Узнав пароль, компания Mandiant начала изучать аккаунты UglyGorilla на других веб-сайтах, где общаются программисты. Поскольку он использовал этот пароль на многих из них, то в итоге удалось установить его имя: Wang Dong.

С помощью базы HBGary удалось узнать почту и пароль ещё одного китайского хакера, известного под ником SuperHard_M. С ним было проще. Хакер зарегистрировался с того же шанхайского IP-адреса, используя адрес электронной почты mei_qiang_82@sohu.com, на некоторых подпольных форумах он указал имя Mei Qiang.