1. Связь с Беларусью
В ваших публикациях неоднократно фигурирует Беларусь. Вы активно следили за реакцией белорусских СМИ на взлом TEZ TOUR, положительно оценивали их работу, а также проявляли интерес к проверке, начатой белорусским Национальным центром защиты персональных данных. При этом вы утверждали, что ваши действия не связаны с политикой. Насколько ваша группировка в действительности связана с Беларусью? Есть ли среди участников граждане или жители этой страны, либо повышенное внимание к ней объясняется другими причинами?
Привет! Нет, мы не связаны с этой страной, а повышенное внимание объясняется тем, что именно белорусские СМИ среагировали первыми на взлом TEZ TOUR.
2. Простые уязвимости и работа пентестеров
Судя по вашим техническим разборам, для получения доступа к инфраструктуре крупных компаний нередко достаточно довольно распространенных уязвимостей и ошибок администрирования. Возникает закономерный вопрос: почему эти проблемы не обнаружили раньше другие хакеры, специалисты по информационной безопасности и профессиональные пентестеры, которым компании платят за поиск подобных недостатков? Вы находите то, что другие упускают, или намеренно упрощаете описание атак, оставляя за кадром наиболее сложную часть работы?
Большая часть работы в действительности остается за рамками разборов, публикуемых в нашем канале.
Почему не обнаружили? Может, не досмотрели, может, где-то поленились, недостаточно вникали - много причин можно найти, и однозначно не определишь.
3. Критерии выбора компаний
Есть ли у вас определенные признаки, по которым вы уже на начальном этапе понимаете, что компанию стоит исследовать дальше, или, наоборот, лучше прекратить попытки? Например, насколько на ваше решение влияют качество мониторинга, скорость реакции специалистов ИБ и общая защищенность инфраструктуры? Бывали ли случаи, когда вы отказывались от первоначально выбранной цели, поскольку ее защита оказалась значительно серьезнее ожидаемой?
Случаи отказов были, варианта два:
К примеру, мы видим, что база данных маленькая или не содержит интересной информации - скип и прекращение работы, откладывание в долгий ящик.
SOC - тогда некоторое время еще работаем, ищем альтернативные варианты, если безрезультативно - закрываем работу.
Критерии выбора: большое количество личной информации людей (какие данные именно хранит компания, примерное количество), или как в случае с АТБ - способность вызвать резонанс в СМИ.
4. Продажа утечек сервисам пробива
Вы неоднократно заявляли о продаже похищенных баз, в том числе TEZ TOUR, а также о планах передать данные клиентов других компаний сервисам пробива. При этом в подобных сервисах источник информации нередко скрывается за обезличенными названиями вроде «клиенты», «заказы» или «доставка», без указания конкретной организации. Как вы считаете, зачем владельцы таких сервисов маскируют происхождение данных? Это их собственная инициатива, требование поставщиков баз или способ избежать претензий? И сохраняете ли вы какой-либо контроль над дальнейшим распространением данных после продажи?
Не могу ответить на данный вопрос. Возможно, способ избежать претензий. Может быть, через некоторое время переименуют.
Да, сохраняем - либо продаем в одни руки, либо в две. Иного не предусмотрено.
5. Следующие цели и мотивация
За относительно короткий период вы заявили об атаках на крупного туроператора, международную сеть пиццерий и украинскую торговую сеть. При этом в публикациях подчеркиваете не только финансовую составляющую, но и желание вызвать общественный резонанс. Что для вас сегодня важнее - деньги, известность или демонстрация слабости корпоративной информационной безопасности? Можете ли рассказать, какое направление станет следующим: финансы, ретейл, госы или что-то другое? И есть ли уже завершенные атаки, о которых вы пока публично не сообщали?
Деньги и резонанс.. Есть еще куча атак, которые мы завершили, скачали базы данных, получили доступ к инфраструктуре, но о них мы никогда не заявим в канале. Пусть это будет секретом до определенного момента.