Wikileaks опубликовала исходники инструмента Marble, который помогает ЦРУ «заметать следы»
На страницах Wikileaks появилась новая публикация из цикла Vault 7. Напомню, что такое имя носит огромный дамп секретных документов Центрального разведывательного управления (ЦРУ) США, который Wikileaks начала обнародовать 7 марта 2017 года.
Первая публикация получила название «Год зеро» (Year Zero) и содержала 8761 документов и файлов из закрытой сети Центра радиотехнической и электронной разведки ЦРУ в Лэнгли. Вторая партия документов получила имя «Темная материя» (Dark Matter), и эти бумаги посвящены ряду проектов спецслужб, при помощи которых технику Apple (Mac, iPhone) заражают устойчивой малварью, которая продолжает «жить» в прошивке даже после переустановки ОС.
Стоит подчеркнуть, что Wikileaks обнародовала только саму документацию, пусть и под грифом «секретно», а хакерские инструменты спецслужб, которым посвящены все эти инструкции, служебные заметки и другие бумаги, опубликованы не были. Джулиан Ассандж сообщил, что доступ к эксплоитам и малвари спецслужб пока будет предоставлен только представителям компаний, чьи продукты оказались под ударом. «После этого, когда мы “разоружим” эти программы, удалив критические компоненты, мы опубликуем дополнительные детали случившегося», — заявил Ассандж.
Теперь Wikileaks обнародовала один из наиболее «безобидных» инструментов в арсенале ЦРУ – это фреймворк Marble и 676 файлов с его исходными кодами. По данным Wikileaks, версия v1.0 появилась в 2015 году, и инструмент использовался вплоть до 2016 года.
По сути, сам Marble нельзя назвать вредоносным, так как это лишь инструмент для обфускации кода, который позволяет «сбить со следа» киберкриминалистов и обмануть антивирусные решения (в комплекте поставляется и деобфускатор). Представители Wikileaks пишут, что ЦРУ, очевидно, использовало Marble для внедрения в код своей малвари так называемых «фальшивых флагов» — ложных следов, указывающих на какую-либо хакерскую группу или даже страну. Дело в том, что исходники Marble содержат тестовые образцы не только на английском языке, но также на фарси, китайском, корейском, арабском и русском языках.
Впрочем, некоторые эксперты не согласны с выводами Wikileaks и СМИ, которые уже поспешили обвинить ЦРУ в том, что оно выдавало свои атаки за «деяния» зарубежных правительственных хакеров. К примеру, основатель Rendition Infosec Джейк Уильямс (Jake Williams) пишет, что изучил исходники Marble и полагает, что образцы на китайском и русском языках говорят лишь о том, что инструмент тестировался и поддерживает юникод, но не более того.
Based on less than 30 minutes of code review, I emphatically disagree with the @wikileaks assertion that Marble is used for false flag ops.
— Jake Williams (@MalwareJake) March 31, 2017
.@wikileaks The Chinese and Russian examples noted by WL only show that the tool was tested for Unicode support, nothing more.
— Jake Williams (@MalwareJake) March 31, 2017