Operatsioon Aurora

**Operatsioon Aurora** oli küberrünnakute sari, mille korraldasid kinnisründeohuallikad (*advanced persistent threats*), eelkõige Hiinas Pekingis asuv Elderwoodi grupp, mis on seotud Hiina Rahva Vabastusarmeega. Google avaldas teate rünnakute kohta 12. jaanuaril 2010 ajaveebipostituses. Rünnakud algasid 2009. aasta keskel ja jätkusid vähemalt 2009. aasta detsembrini. 

Rünnak oli suunatud veel kümnetele teistele organisatsioonidele, kellest Adobe Systems, Akamai Technologies, Juniper Networks ja Rackspace on avalikult kinnitanud, et nad olid rünnaku all. Meedia teatel olid sihtmärkide hulgas ka Yahoo, Symantec, Northrop Grumman, Morgan Stanley, Dow Chemical ja BlackBerry . 

Rünnaku tagajärjel teatas Google oma ajaveebis, et kavatseb Hiinas kasutada oma otsimootori täiesti tsenseerimata versiooni "seaduse piires, kui üldse", ja tunnistas, et kui see pole võimalik, võib ta Hiinast lahkuda ja sulgeda oma Hiina kontorid. Hiina ametlikud allikad väitsid, et see on osa USA valitsuse välja töötatud strateegiast. 

Rünnak sai nime Operatsioon Aurora küberturbeettevõtte McAfee ohtude uurimise asepresidendilt Dmitri Alperovitchilt. McAfee Labsi uuringud avastasid, et sõna "Aurora" sisaldus ründaja süsteemis kahe pahavarafaili mäluaadressis, mis McAfee sõnul olid rünnakuga seotud. "Me usume, et see oli nimi, mida ründajad omavahel selle operatsiooni kohta kasutasid," ütles McAfee tehnoloogiajuht George Kurtz ajaveebipostituses. 

McAfee väitel oli rünnaku peamine eesmärk pääseda ligi ja potentsiaalselt muuta lähtekoodi hoidlaid sihtmärgiks olnud kõrgtehnoloogia ja turvalisusega seotud ettevõtetes. "Nende konfiguratsioonihaldus oli välistele jõududele avatud," ütles Alperovitch. "Keegi ei mõelnud nende kaitsmisele, ometi olid need enamiku nende ettevõtete kroonijuveelid mitmes mõttes - palju väärtuslikumad kui mis tahes finants- või isikuandmed, mis neil võivad olla ja mille kaitsmiseks kulub nii palju aega ja vaeva."  

## Ajalugu

12. jaanuaril 2010 paljastas Google oma ajaveebis, et on langenud küberrünnaku ohvriks. Ettevõtte sõnul toimus rünnak detsembri keskel ja pärines Hiinast. Google teatas, et rünnati ka üle 20 teise ettevõtte; muud allikad on hiljem viidanud, et sihtrühma hulgas oli rohkem kui 34 organisatsiooni. Rünnaku tulemusel teatas Google, et kaalub oma tegevuse mittejätkamist Hiinas. Samal päeval esitas Ameerika Ühendriikide riigisekretär Hillary Clinton lühikese avalduse, milles mõistis rünnakud hukka ja palus Hiinalt vastust. 

13. jaanuaril 2010 teatas uudisteagentuur All Headline News, et USA kongress kavatseb uurida Google'i väiteid, nagu kasutanuks Hiina valitsus ettevõtte teenust inimõiguste aktivistide järel nuhkimiseks.

Pekingis jätsid külastajad lilli Google'i kontori juurde. Need koristati hiljem ära ning Hiina turvatöötaja teatas, et tegemist oli ebaseadusliku lillede asetamisega. Hiina valitsus ei ole veel ametlikku vastust välja andnud, ehkki anonüümne ametnik teatas, et Hiina otsib Google'i kavatsuste kohta lisateavet. 

## Ründajad
Tehnilised tõendid, sealhulgas IP-aadressid, domeeninimed, pahavara signatuurid ja muud tegurid näitavad, et operatsiooni Aurora taga oli Elderwoodi rühm. Rühmale andis nime Symantec ründajate kasutatud lähtekoodimuutuja järgi. Dell Secureworks on seda nimetanud Pekingi rühmaks. Rühm hankis osa Google'i lähtekoodist, samuti juurdepääsu teabele Hiina aktivistide kohta. Elderwood sihtis ka paljusid teisi laevanduse, lennunduse, relvade, energeetika, töötleva tööstuse, inseneri-, elektroonika-, finants- ja tarkvarasektori ettevõtteid. 

Google'i ründamise eest vastutavate Hiina ründajate APT-tähis on APT17. 

Elderwood on spetsialiseerunud ründama teise taseme kaitsetööstuse tarnijaid, kes toodavad kõrgeimatele kaitseettevõtetele elektroonilisi või mehaanilisi komponente. Nendest ettevõtetest saab küberhüppelaud, et pääseda tipptasemel kaitse-ettevõteteni. Üks rünnakuprotseduur, mida Elderwood kasutas, on veebisaitide nakatamine, mida külastavad sihtettevõtte töötajad, ehk kaevurünne (nimi on tulnud sellest, et röövloomad varitsevad tihti oma saakloomi veekogu ääres, kuhu need jooma tulevad). Elderwood nakatab neid vähem turvalisi saite pahavaraga, mis laaditakse alla kasutaja arvutisse. Pärast seda saab rühm ligipääsu võrgule, millega nakatunud arvuti on ühendatud, ning seejärel otsib ja laadib alla juhtide e-kirju ja olulisi dokumente ettevõtte plaanide, otsuste, omandamiste ja tootedisainide kohta. 

## Rünnaku analüüs
Google väitis oma ajaveebipostituses, et osa tema intellektuaalomandist on varastatud. Postituses pakuti välja, et ründajad on huvitatud Hiina dissidentide Gmaili kontodele juurdepääsu saamisest. Financial Timesi andmetel rünnati kahte Ai Weiwei kasutatud kontot, nende sisu loeti ja kopeeriti; tema pangakontosid uurisid riigi julgeoleku esindajad, kes väitsid, et teda uuritakse "määratlemata kuritegude osas". Kuid ründajad suutsid vaadata ainult kahe konto üksikasju ja need piirdusid näiteks kirjade teemarea ja konto loomise kuupäevaga. 

Julgeolekueksperdid märkisid kohe rünnaku keerukust. Kaks päeva pärast rünnaku avalikustamist teatas McAfee, et ründajad olid Internet Exploreris ära kasutanud väidetavaid nullpäeva turvaauke (parandamata ja süsteemi arendajatele varem tundmatuid) ja nimetanud rünnaku operatsioon Auroraks. Nädal pärast McAfee aruannet esitas Microsoft turvaprobleemile paranduse ja tunnistas, et nad olid turvaaugust teadlikud juba alates septembrist. Täiendavaid turvaauke leiti Perforce'ist, Google'i kasutatavast lähtekoodi muutmise tarkvarast. 

VeriSign iDefense Labs väitis, et rünnaku panid toime "Hiina riigi esindajad või nende volitatud esindajad". 

USA Pekingi saatkonna diplomaatilise läkituse kohaselt teatas üks Hiina allikas, et Hiina poliitbüroo suunas sissetungi Google'i arvutisüsteemidesse. Läkitus pakkus välja, et rünnak oli osa kooskõlastatud kampaaniast, mille viisid läbi "valitsuse töötajad, avaliku julgeoleku eksperdid ja Hiina valitsuse värvatud Interneti-lindpriid". Aruande kohaselt oli see osa käimasolevast kampaaniast, kus ründajad on "tunginud Ameerika valitsuse arvutitesse ja lääneliitlaste, Dalai Laama ja Ameerika ettevõtete arvutitesse alates 2002. aastast". The Guardiani lekke kohta esitatud teate kohaselt "korraldas rünnakuid poliitbüroo vanemliige, kes kirjutas oma nime otsingumootori globaalsesse versiooni ja leidis artikleid, mis kritiseerisid teda isiklikult". 

Kui ohvri arvutisüsteemi rünnati, loodi tagaukse kaudu SSL-iks maskeeritud ühendus botneti serveritega USA Illinoisi ja Texase osariigis ning Taiwanil, sealhulgas arvutitega, millel rakendati Rackspace'i varastatud kliendikontosid. Seejärel hakkas ohvri masin uurima ettevõtte kaitstud sisevõrku, kuhu see kuulus, otsides nii teisi haavatavaid süsteeme kui ka intellektuaalse omandi allikaid, eriti lähtekoodide hoidlate sisu. 

Arvatakse, et rünnakud lõppesid lõplikult 4. jaanuaril, kui botneti serverid maha võeti, ehkki praegu pole teada, kas ründajad panid need tahtlikult kinni või mitte. Rünnakuid esines endiselt 2010. aasta veebruaris. 

## Reageerimine ja tagajärjed
Saksamaa, Austraalia ja Prantsusmaa valitsus edastasid pärast rünnakut Internet Exploreri kasutajatele avalikke hoiatusi, soovitades neil kasutada alternatiivseid brausereid vähemalt seni, kuni turvaauk on parandatud. Saksamaa, Austraalia ja Prantsusmaa valitsus pidasid Internet Exploreri kõiki versioone haavatavaks või potentsiaalselt haavatavaks. 

Microsoft ütles 14. jaanuaril 2010 antud nõuandes, et Google'i ja teiste USA ettevõtete vastu suunatud ründajad kasutasid tarkvara, mis kasutab ära Internet Exploreri turvaauku. See haavatavus mõjutas Internet Exploreri versioone 6, 7 ja 8 opsüsteemides Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2, samuti IE 6 hoolduspaketti 1 Windows 2000 hoolduspaketis 4. 

Rünnakus kasutatud Internet Exploreri kood on lastud avalikku omandisse ja on lisatud Metasploit Frameworki testimistööriista. Ründekoodi koopia laaditi üles Wepaweti (veebipõhise pahavara tuvastamise ja analüüsimise teenus, mida haldab California ülikooli Santa Barbara arvutiturbegrupp). "Ründekoodi avalikustamine suurendab Internet Exploreri haavatavust kasutavate laiaulatuslike rünnakute võimalust," ütles McAfee tehnoloogiajuht George Kurtz. "Avalik kood võib aidata küberkurjategijatel ette valmistada rünnakuid, mis kasutavad seda haavatavust Windowsi süsteemide ohustamiseks."  

Turvaettevõte Websense teatas, et tuvastas IE-i haavatavuse "piiratud avaliku kasutamise" kasutajate suhtes, kes külastasid pahatahtlikke veebisaitie.   "Internet Exploreri kasutajad on haavatavuse avalikustamise ja rünnakukoodi avaldamise tõttu reaalses ohus ja laiaulatuslike rünnakute võimalus on suurenenud," ütles McAfee tehnoloogiajuht George Kurtz. Seda spekulatsiooni kinnitades tuvastas Websense Security Labs 19. jaanuaril rünnakutega seotud täiendavad saidid. Ahnlabi teadete kohaselt levis üks URL Lõuna-Korea populaarse sõnumsuhtluse rakenduse Misslee Messenger kaudu.    

Microsoft tunnistas, et kasutatav turvaauk oli neile teada juba septembrist. Töö värskendusega seati prioriteediks ja neljapäeval, 21. jaanuaril 2010 andis Microsoft välja turvaparanduse, mille eesmärk on selle nõrkuse, sellel põhinevate avaldatud rünnete ja paljude muude eraviisiliselt teatatud turvaaukude vastu võitlemine. Nad ei selgitanud, kas mõnda neist mainitutest olid ründajad kasutanud või avaldanud või kas neil oli mingit seost Aurora operatsiooniga, kuid tervet värskendust peeti enamiku Windowsi versioonide, sealhulgas Windows 7 jaoks ülitähtsaks. 

Turbeteadlased jätkasid rünnakute uurimist. Turbeettevõtte HBGary avaldas aruande, milles nad väitsid olevat leidnud mõned olulised markerid, mis võivad aidata koodi autorit tuvastada. Firma ütles ka, et kood põhineb hiina keelel, kuid seda ei saa konkreetselt siduda ühegi valitsusüksusega. 

19. veebruaril 2010 Google'i küberrünnakut uurinud turbeekspert väitis, et rünnaku taga olevad inimesed vastutasid ka viimase poolteise aasta jooksul mitme Fortune 100 ettevõtte vastu korraldatud küberrünnaku eest. Samuti on nad jälitanud rünnakut tagasi selle lähtepunktini, milleks näib olevat kaks Hiina kooli, Shanghai Jiao Tongi ülikool ja Lanxiangi kutsekool . Nagu The New York Times rõhutas, on mõlemal koolil sidemeid Hiina otsingumootori Baiduga, mis on Google'i Hiina rivaal. Nii Lanxiangi kutsekool kui ka Jiaotongi ülikool on süüdistused tagasi lükanud. 

2010. aasta märtsis tuvastas Google'i rünnakut uurinud Symantec, et Shaoxingist lähtub 21,3% (12 miljardit) kogu maailmas saadetud pahatahtlikest e-kirjadest. 

Et vältida tulevasi küberrünnakuid nagu operatsioon Aurora, on Kommunitaarpoliitika Uuringute Instituudi esindaja Amitai Etzioni soovitanud USA-l ja Hiinal leppida kokku vastastikku tagatavas vaoshoituse poliitikas küberruumi kaitseks. See tähendaks lubada mõlemal riigil võtta vajalikke meetmeid, mida nad peavad enesekaitseks vajalikuks, nõustudes samal ajal hoiduma ründavate sammude astumisest; see tähendaks ka nende kohustuste täitmise kontrollimist. 

## Vaata ka

* Kübersõda 
* Tööstusspionaaž 
* Titan Rain 
* Hydraq 

## Viited