Sådan arbejder Kinas statshackere, som USA nu retsforfølger

Det kommer efterhånden ikke bag på nogen, at verdens stormagter bruger cyberspionage i stor stil, men det er sjældent, at den slags ender i en retssag.

USA har nu sigtet fem statsansatte kinesere for at have hacket en række amerikanske virksomheder og stjålet forretningshemmeligheder, som kan hjælpe kinesiske firmaer i konkurrencen, og den kinesiske stat har rutinemæssigt nægtet alle anklager.

Men sikkerhedsfirmaet Fireeye bemærker, at der er sket en ændring i Kinas svar på anklagerne. I februar 2013 offentliggjorde Fireeye – dengang under navnet Mandiant – nemlig en række spor, som alle kraftigt pegede i retning af en slagkraftig hackerstyrke i Kinas hær, som arbejdede fra et højhus i Shanghai.

Rapporten fra Fireeye blev nemlig dengang afvist med begrundelsen, at det ikke var bevis for noget, mens Kinas officielle svar nu er, at beviserne er blevet fabrikerede.

I anledning af USA’s forsøg på at retsforfølge de fem kinesiske cyberkrigere har Fireeye lagt mere information ud, som blandt andet viser, hvordan hacergruppen APT1, som ifølge anklagerne er lig med afdelingen PLA Unit 61398 i Kinas forsvar, brugte en tjeneste til at få dynamiske DNS-adresser. Aktiviteten her passer nærmest præcist med de kinesiske arbejdstider og tidszonen i Shanghai.

De knap 2.000 angreb, der er observeret over to år, stammer også næsten alle sammen fra computere, der har kinesisk tastaturopsætning og fra kinesiske IP-adresser. Så hvis det ikke peger i retning af, at hackerangrebene mod amerikanske firmaer stammer fra netop denne del af Shanghai, så er der nogle andre hackere, som bruger masser af resurser og gør sig stor umage for at få det til at se netop sådan ud, lyder konklusionen fra Fireeye.

I rapporten fra 2013 gennemgår Fireeye sporene, som peger mod statslig hacking fra Kinas side. Siden 2006 har den samme hackergruppe, som Fireeye døbte APT1, haft held med at hacke 141 virksomheder i 20 forskellige industrier, primært i USA, og det kan bare være toppen af isbjerget.

I gennemsnit har APT1-hackerne haft adgang til ofrenes data i et år, men i nogle tilfælde meget længere tid, op til næsten fem år. Og mængden af data, de kan hente ud, er stor. Alt fra e-mails til arbejdstegninger bliver støvsuget, når der er mulighed for det, så der i et tilfælde blev hentet 6,5 terabyte komprimerede data ud fra et offer i løbet af ti måneder.

Hackerne er disciplinerede og går altid kun efter forretningsdata, uden nogen forsøg på at tjene hurtige penge, hvilket også adskiller dem fra de typiske it-kriminelle. Hackergruppen råder over mindst tusind servere, og ud fra de fysiske rammer at dømme er det mange hundrede, måske tusinder, som arbejder på stedet, vurderer Fireeye.

Siden rapporten blev frigivet, har Edward Snowdens læk af NSA-dokumenter omvendt også kastet lys over, hvor langt USA’s regering selv går for at indhente information, der kan hjælpe USA’s erhvervsliv. Myndighederne i USA mener dog selv, at der er en væsentlig forskel, nemlig at NSA’s hackere ikke vil hacke for eksempel Airbus for at hente fortrolige dokumenter og give dem til Boeing, men at man derimod gennem hacking får adgang til modpartens dokumenter, når der skal forhandles internationale handelsaftaler. Det skriver New York Times.

Afsløringerne omfatter dog også mange eksempler på, at NSA har hacket og udspioneret statsdrevne oliefirmaer, hvilket USA’s myndigheder mener ikke kan sammenlignes med private firmaer.