Oudot markkinat: nettihyökkäyksiä kaupan – laillisesti

  7.5.2013 MB, Samuli Kotilainen

Laittoman ja laillisen rajat hämärtyvät oudoilla markkinoilla, joissa myydään turva-aukkoja ja valmiita hyökkäystyökaluja. F-Securen tutkimusjohtaja Mikko Hyppönen kertoo, että lukuisat laillisesti toimivat yritykset rakentavat ja myyvät hyökkäyksiä valtioille. Viime vuosina syntynyt tilanne on mielenkiintoinen.

Mikko Hyppönen kertoo hyökkäysaseiden markkinoista Maanpuolustuskorkeakoulun julkaisemassa 250-sivuisessa kirjassa The Fog of Cyber Defence (pdf). Kirjassa kerrotaan verkkosodankäynnistä.
Hyppönen selittää kirjan osiossa, että verkkohyökkääjät kuuluvat yleensä kolmeen ryhmään. Nettirikolliset tekevät hyökkäyksiä tienatakseen rahaa. ”Haktivistit”, esimerkiksi Anonymousin tapaiset liikkeet, tekevät iskuja protestien yhteydessä tai poliittisten tarkoitusten vuoksi.
Kolmas hyökkääjien ryhmä on valtiot. Ne käyttävät nettihyökkäyksiä esimerkiksi vakoiluun ja vihollistensa sabotointiin.
Vaikka hyökkäysten motiivit ja tekotavat ovat erilaisia, yksi asia on yhteistä. Hyökkääjät tarvitsevat turva-aukkoja ja niistä rakennettuja valmiita hyökkäyksiä, joilla uhrikoneille päästään murtautumaan.

Stuxnet mullisti markkinat

Hyökkäysten kysyntä kasvoi merkittävästi, kun nettiin alkoi ilmestyä ammattimaisia rikollisjengejä. He ostavat hyökkäystyökaluja netin alamaailman markkinoilta.
Hyppösen mukaan tilanne muuttui vielä enemmän vuonna 2010, kun Stuxnet-haittaohjelma löydettiin. Kyseessä oli todennäköisesti Yhdysvaltojen ja Israelin rakentama haittaohjelma, jota käytettiin vakoiluun ja operaatioihin Lähi-idässä. Erityinen kohde oli Iranin ydinaseohjelma.
Stuxnet oli erikoinen monilla tavoilla, mutta yksi erikoisuuksista liittyi turva-aukkoihin. Haittaohjelma hyödynsi neljää niin sanottua nollapäiväaukkoa. Nämä turva-aukot eivät olleet yleisessä tiedossa, eikä niihin ollut korjauksia. Neljän nollapäiväaukon käyttäminen yhdessä haittaohjelmassa on alan ennätys.
Hyppönen arvioi, että Stuxnet käynnisti netin hyökkäystyökalujen ”kyberasevarustelun”. Samalla turva-aukkojen – erityisesti nollapäiväaukkojen – kysyntä kasvoi.

Joku myy tykkejä – toinen turva-aukkoja

Kun hallitukset tarvitsevat aseita tai muuta sotilaallista välineistöä, apuun otetaan alihankkijoita, sotateollisuuden yrityksiä. Kun hallitukset tajusivat tarvitsevansa turva-aukkoja ja netti-iskujen hyökkäystyökaluja, käyttöön otettiin sama malli.
Hyppönen kertoo, että eri puolille maailmaa on noussut yrityksiä, jotka etsivät ohjelmistojen turva-aukkoja. Kun niitä löytyy, turva-aukoista tehdään valmiita hyökkäyksiä, joita voidaan käyttää erilaisissa nettiaseissa. Näitä hyökkäyksiä myydään valtioille.
Tällaisia yrityksiä on esimerkiksi Yhdysvalloissa, Britanniassa, Saksassa, Ranskassa, Italiassa ja Aasian maissa. Hyppönen mainitsee nimeltä vain aseteollisuuden yhdysvaltalaisen jätin Northrop Grummanin. Toinen tunnettu esimerkki on pienehkö ranskalaisyritys Vupen, joka on erikoistunut turva-aukkojen etsintään ja hyökkäyskoodin rakentamiseen.
Yhdysvalloissa hyökkäystyökaluja rakentavat useat eri aseteollisuuden suuryritykset. Hyppönen toteaa, että joillakin näistä yrityksistä on yli sata avointa työpaikkaa, joihin haetaan turvaluokituksen saaneita henkilöitä. Työntekijöitä etsitään selvästi useammin hyökkäys- kuin puolustustyökalujen rakentamiseen. Joissain työhakemuksissa mainitaan erikseen, että tarkoitus on luoda hyökkäyksiä iPhone- ja Android-puhelimiin sekä iPad-tabletteihin.
Monet hyökkäyksiä luovista yrityksistä esiintyvät ”tietoturvayrityksinä”. Todellisuudessa tilanne on toinen, sanoo Hyppönen. Yhtiöt etsivät turva-aukkoja, ja niiden tiedot pimitetään sovellusten valmistajilta – muutenhan yhtiöt korjaisivat aukot ja hyökkäykset menisivät hukkaan. Tällä tavalla nettiaseiden tekijät lisäävät internetin turvauhkia.