מבצע אורורה

מבצע אורורה היה סדרה של מתקפות סייבר שכללו  ובוצעו על ידי קבוצת אלדרווד שבסיסה בבייג'ינג, סין, עם קשרים לצבא השחרור העממי. המתקפות נחשפו לראשונה בפומבי על ידי גוגל (שהייתה גם אחת הקורבנות) ב-12 בינואר 2010 בבלוג הרשמי של החברה. הם החלו באמצע 2009 ונמשכו עד דצמבר 2009.

המתקפה כוונה נגד עשרות ארגונים. אדובי מערכות, , , ו אישרו בפומבי שהם היו על הכוונת. על פי דיווחים בתקשורת, יאהו, סימנטק, נורת'רופ גראמן, מורגן סטנלי, ודאו כימיקלים היו גם הם בין המטרות.

כתוצאה מהמתקפה, גוגל הצהירה בבלוג שלה כי היא מתכננת להפעיל גרסה לא מצונזרת לחלוטין של מנוע החיפוש שלה בסין "במסגרת החוק, אם בכלל", והודתה שאם זה לא יתאפשר, היא עשויה לעזוב את סין ולסגור את משרדיה במדינה. מקורות סיניים רשמיים טענו שזה חלק מאסטרטגיה של ממשלת ארצות הברית.

המתקפה כונתה "מבצע אורורה" על ידי , סגן נשיא למחקר איומים בחברת אבטחת הסייבר מקאפי. מחקר של מעבדות מקאפי גילה כי "אורורה" היה חלק מנתיב הקבצים במחשב של התוקף, שנכלל בשניים מהקבצים הבינאריים של התוכנות הזדוניות שלדעתה של מקאפי היו קשורים למתקפה. "אנו מאמינים שהשם היה השם הפנימי שנתנו התוקפים למבצע", אמר מנהל הטכנולוגיה הראשי של מקאפי, . לפי מקאפי, המטרה העיקרית של המתקפה הייתה להשיג גישה ואולי לשנות מאגרי קוד מקור בחברות של קבלני היי-טק, אבטחה וביטחון. לפי אלפרוביץ', "המאגרים היו פתוחים לרווחה. אף אחד מעולם לא חשב לאבטח אותם, אבל אלה היו היהלומים שבכתר של רוב החברות הללו במובנים רבים - הרבה יותר יקרי ערך מכל מידע פיננסי או אישי שאולי יש להם והם משקיעים כל כך הרבה זמן ומאמץ בהגנה עליהם".

 היסטוריה 
ממוזער|הפרחים מחוץ למטה גוגל
ב-12 בינואר 2010 חשפה גוגל בבלוג שלה שהיא נפלה קורבן למתקפת סייבר. החברה מסרה כי המתקפה התרחשה באמצע דצמבר ומקורה בסין. גוגל הצהירה כי יותר מ-20 חברות אחרות הותקפו. מקורות אחרים ציינו מאז כי יותר מ-34 ארגונים היו על הכוונת. כתוצאה מהמתקפה, גוגל אמרה שהיא בוחנת את עסקיה בסין. באותו יום פרסמה מזכירת המדינה של ארצות הברית הילרי קלינטון הודעה קצרה המגנה את המתקפות ומבקשת תגובה מסין.

ב-13 בינואר 2010 דיווחה סוכנות הידיעות  כי הקונגרס של ארצות הברית מתכנן לחקור את טענותיה של גוגל כי ממשלת סין השתמשה בשירות החברה כדי לרגל אחר פעילי זכויות אדם.

בבייג'ינג, מבקרים השאירו פרחים מחוץ למשרדי גוגל. עם זאת, אלה הוסרו מאוחר יותר, כאשר מאבטח סיני הצהיר כי מדובר ב"מחווה לא חוקית לפרחים". ממשלת סין טרם פרסמה תגובה רשמית, אם כי פקיד אנונימי הצהיר כי סין מחפשת מידע נוסף על כוונותיה של גוגל.

 זהות התוקפים 
ראיות טכניות כולל כתובות IP, שמות דומיינים, חתימות תוכנות זדוניות וגורמים אחרים, מראות שקבוצת אלדרווד עמדה מאחורי מבצע אורורה. הקבוצה נקראה כך על ידי סימנטק (על שם משתנה קוד מקור ששימש את התוקפים), ומכונה גם "קבוצת בייג'ינג". הקבוצה השיגה חלק מקוד המקור של גוגל, כמו גם גישה למידע על פעילים סינים. אלדרווד התמקדה גם בחברות רבות אחרות במגזרי הספנות, האווירונאוטיקה, הנשק, האנרגיה, הייצור, ההנדסה, האלקטרוניקה, הפיננסים והתוכנה. קבוצה של אנליסטים אנונימיים חשפה בהמשך את זהות מי שלדעתם עמדו מאחורי התקיפה בשם הקוד APT17.

קבוצת אלדרווד התמחתה בתקיפה וחדירה לספקים מהשורה השנייה בתעשייה הביטחונית, כאלה שמייצרים רכיבים אלקטרוניים או מכניים עבור חברות ביטחוניות גדולות. חברות אלה הופכות לאחר מכן ל"קרש קפיצה" כדי לקבל גישה לקבלני ההגנה הגדולים. נוהל תקיפה אחד שבו משתמשת אלדרווד הוא להדביק אתרים לגיטימיים שעובדים של חברת היעד פוקדים אותם - מה שמכונה מתקפת "בור מים". Elderwood מדביקה את האתרים הפחות מאובטחים האלה בתוכנות זדוניות שיורדות למחשב שממנו מתבצעת כניסה לאתר. לאחר מכן, הקבוצה מחפשת בתוך הרשת שאליה מחובר המחשב הנגוע, מוצאת ומורידה הודעות דואר אלקטרוני ומסמכים קריטיים של מנהלים על תוכניות החברה, החלטות, רכישות ועיצובי מוצרים.

 ניתוח המתקפה 
בפוסט בבלוג שלה, גוגל הצהירה שחלק מהקניין הרוחני שלה נגנב. הפוסט רמז כי התוקפים מעוניינים לגשת לחשבונות Gmail של מתנגדי משטר סינים. על פי הפייננשל טיימס, שני חשבונות ששימשו את איי וייוויי הותקפו, תוכנם נקרא והועתק. חשבונות הבנק שלו נחקרו על ידי סוכני ביטחון המדינה שטענו שהוא נחקר בגין "חשד לפשעים לא מוגדרים". עם זאת, התוקפים הצליחו לצפות רק בפרטים של שני חשבונות ופרטים אלה הוגבלו למידע כמו שורת הנושא ותאריך יצירת החשבונות.

מומחי אבטחה ציינו מיד את התחכום של המתקפה. יומיים לאחר שהמתקפה התפרסמה, מקאפי דיווחה כי התוקפים ניצלו מתקפות אפס ימים לכאורה באינטרנט אקספלורר. שבוע לאחר הדיווח של מקאפי, מיקרוסופט פרסמה תיקון לבעיה, והודתה שהם ידעו על ליקוי האבטחה בו נעשה שימוש מאז ספטמבר. נקודות חולשה נוספות נמצאו ב-, תוכנת גרסת קוד המקור המשמשת את גוגל לניהול קוד המקור שלה.

מעבדות iDefense של  טענו כי המתקפות בוצעו על ידי "סוכנים של המדינה הסינית או שליחיה".

על פי מברק דיפלומטי משגרירות ארצות הברית בבייג'ינג, מקור סיני דיווח כי הפוליטביורו הסיני ניהל את החדירה למערכות המחשב של גוגל. המברק רמז כי המתקפה הייתה חלק מקמפיין מתואם שבוצע על ידי "סוכני ממשל, מומחי ביטחון ציבורי ופורעי חוק באינטרנט שגויסו על ידי ממשלת סין". הדו"ח מצביע על כך שזה היה חלק מקמפיין מתמשך שבו תוקפים "פרצו למחשבי הממשל האמריקאי ולמחשבים של בעלות ברית מערביות, הדלאי לאמה ועסקים אמריקאים מאז 2002". על פי הדיווח של הגרדיאן על ההדלפה, ההתקפות "תוכננו על ידי חבר בכיר בפוליטביורו שהקליד את שמו בגרסה הגלובלית של מנוע החיפוש ומצא מאמרים שמתחו עליו ביקורת אישית".

ברגע שהמערכת של הקורבן נפגעה, חיבור דלת אחורית שהתחזה לחיבור SSL הפעיל בוטנט בשרתי פיקוד ובקרה שפעלו באילינוי, טקסס וטאיוואן, כולל מכונות שהשתמשו בחשבונות לקוחות גנובים של רקספייס. המחשב שנפגע החל לחקור את האינטראנט הארגוני המוגן שהוא חלק ממנו, תוך שהוא מחפש מערכות פגיעות אחרות, וכמו גם מקורות של קניין רוחני, במיוחד את התוכן של מאגרי קוד המקור.

ההערכה היא שהמתקפות הסתיימו סופית ב-4 בינואר כאשר שרתי הפיקוד והבקרה הושבתו, אם כי לא ידוע בשלב זה אם התוקפים השביתו אותם בכוונה או לא. עם זאת, התקיפות עדיין התרחשו נכון לפברואר 2010.

 תגובות והשלכות 
ממשלות גרמניה, אוסטרליה וצרפת פרסמו אזהרות פומביות למשתמשי אינטרנט אקספלורר לאחר המתקפה, וייעצו להם להשתמש בדפדפנים חלופיים לפחות עד לתיקון פרצת האבטחה.

ב-14 בינואר 2010 אמרה מיקרוסופט כי תוקפים המכוונים לגוגל ולחברות אמריקאיות אחרות השתמשו בתוכנה המנצלת פגם באינטרנט אקספלורר. הפגיעות משפיעה על Internet Explorer בגרסאות 6, 7 ו-8 ב-Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2 וכן ב-IE 6 Service Pack 1 ב-Windows 2000 Service Pack 4.

קוד הניצול של Internet Explorer ששימש במתקפה שוחרר לנחלת הכלל, ושולב בתוכנית בדיקות החדירה של פרויקט Metasploit. עותק הועלה ל-Wepawet, שירות לאיתור וניתוח תוכנות זדוניות מבוססות אינטרנט המופעל על ידי קבוצת אבטחת המחשבים באוניברסיטת קליפורניה, סנטה ברברה. ג'ורג' קורץ ממקאפי הזהיר כי "השחרור הפומבי של קוד הניצול מגדיל את האפשרות להתקפות נרחבות באמצעות הפגיעות של אינטרנט אקספלורר. קוד המחשב הציבורי כעת עשוי לעזור לפושעי סייבר לתכנן התקפות המשתמשות בפגיעות כדי לסכן מערכות Windows".

מיקרוסופט הודתה כי ליקוי האבטחה בו נעשה שימוש היה ידוע להם מאז ספטמבר. העבודה על עדכון קיבלה עדיפות וביום חמישי, 21 בינואר 2010, מיקרוסופט פרסמה תיקון אבטחה שנועד להתמודד עם החולשה, הפרצות שפורסמו המבוססות עליה ומספר נקודות חולשה אחרות שדווחו באופן פרטי.

חוקרי אבטחה המשיכו לחקור את המתקפות. , חברת אבטחה, פרסמה דו"ח שבו טענה שעובדיה מצאו כמה סמנים משמעותיים שעשויים לעזור לזהות את מפתח הקוד. החברה גם אמרה כי הקוד מבוסס על השפה הסינית, אך לא ניתן לשייך אותו ספציפית לשום ישות ממשלתית.

ב-19 בפברואר 2010 טען מומחה אבטחה החוקר את מתקפת הסייבר על גוגל, כי האנשים שביצעו את המתקפה היו אחראים גם למתקפות הסייבר שבוצעו על מספר חברות Fortune 100 בשנה וחצי האחרונות. במסגרת מעקב אחרי מקורות המתקפה, נטען כי מדובר בשני בתי ספר סיניים, אוניברסיטת ג'יאו טונג שאנגחאי ו. כפי שהודגש על ידי הניו יורק טיימס, לשני בתי הספר הללו יש קשרים עם מנוע החיפוש הסיני Baidu, יריב של גוגל סין. שני המוסדות הכחישו את ההאשמה.

 רטרוספקטיבה של גוגל 
ב-3 באוקטובר 2022, גוגל פרסמה ביוטיוב סדרה בת שישה פרקים העוסקת באירועים שהתרחשו במהלך מבצע אורורה, עם פרשנות ממקורבים שהתמודדו עם המתקפה, אם כי הדגש העיקרי של הסדרה היה להרגיע את הציבור המשתמש בגוגל כי קיימים אמצעים נגד ניסיונות פריצה.

 ראו גם 
 לוחמת רשת
 ריגול תעשייתי
 GhostNet
 Vulcanbot
 Muscular

 הערות שוליים 

קטגוריה:מתקפות סייבר בעשור הראשון של המאה ה-21
קטגוריה:יחסי ארצות הברית – סין
קטגוריה:גוגל
קטגוריה:מיקרוסופט
קטגוריה:2009