Поделиться
Один из самых старых вредоносов АНБ США искажал результаты ядерных симуляций
Программа fast16, о которой стало известно в апреле 2026 г., призвана была замедлить ядерную программу путём внесения искажений в вычисления в пакетах инженерной разработки.
Солнечному миру - да, да, да, ядерному взрыву - нет, нет, нет
Вредоносная программа fast16, о существовании которой стало известно после «слива» в 2017 году хакерских инструментов АНБ США, по-видимому, была предназначена для саботажа ядерных программ на этапе вычислительных симуляций. Об этом говорится в публикации Symantec/Carbon Black Threat Hunter Team. В частности, вредоносная программа явно была нацелена на два популярных в середине 2000-х инженерных пакета - LS-DYNA и AUTODYN и их модули симуляции ядерных взрывов.
По сообщению исследователей, fast16 активировался только если плотность материала в основе симуляции превышала 30 г/см3; уран, в частности, достигает такой плотности только под воздействием взрывной компрессии в имплозивном боезаряде.
По-видимому, речь шла о том, чтобы заставить LS-DYNA и AUTODYN системно выдавать некорректные результаты и тем самым насколько возможно затормозить разработку ядерного оружия.
В апреле 2026 г. компания SentinelOne опубликовала свой анализ fast16, назвав его фреймворком для саботажа. По мнению исследователей, fast16 появился на свет не позднее 2005 года. Самая ранняя известная версия скандального «боевого червя» Stuxnet (Stuxnet 0.5) появилась на два года позже.
В SentinelOne назвали наиболее вероятными целями для компрометации, помимо LS-DYNA, такие пакеты как Practical Structural Design and Construction Software (PKPM) и Modelo Hidrodinâmico (MOHID).
Сам по себе fast16, по сведениям исследователей Threat Hunter Team, сочетает служебный исполняемый файл, а также модуль обработчиков прерываний (hooks), функционирующий на основе фиксированного набора правил. Служебный исполняемый файл разворачивает виртуальную машину, написанную на ранней версии Lua 5.0, а также загрузочный драйвер файловой системы, который модифицирует исполняемый код при считывании того с диска. Компонент обработчиков прерываний, в свою очередь, предназначен для перезаписи конкретных последовательностей инструкций внутри целевых приложений.
В целом исследователи насчитали 101 правило, в соответствии с которыми fast16 начинал подменять результаты математических вычислений в указанных инженерных пакетах; эти обработчики можно объединить в 9-10 групп, каждая из которых предназначалась для конкретных версий LS-DYNA или AUTODYN. Это указывает, что разработчики отслеживали изменения в целевых пакетах и адаптировали вредонос под них.
Более того, обработчики для старых версий сохранялись наряду с новыми, поскольку, вероятнее всего, были подозрения, что операторы целевых пакетов, обнаружив несоответствия в результатах вычислений, будут пытаться откатиться к предыдущим версиям.
Неслыханный уровень компетенции
Любопытной особенностью fast16 является то, что он просто не запустится в системах, в которых установлены определённые защитные средства. Если же он запускается, то сразу распространяется по всем конечным точкам сети, к которой относится первая скомпрометированная машина, заражая все копии целевых пакетов.
Технический директор компании Symantec Викрам Такур (Vikram Thakur), в разговоре с журналистом Кимом Зеттером (Kim Zetter), назвал уровень технической экспертизы разработчиков fast16 «головокружительным», особенно для 2005 года: даже сейчас настолько глубокое понимание внутренних процессов целевых разработок, по словам Такура, встречается очень нечасто, а для тех времён это было необычно вдвойне.
Существование более современной версии fast16 на данный момент нельзя ни подтвердить, ни опровергнуть.
Предыстория
Источником первых данных о самом существовании fast16 стал «слив» анонимной группой The Shadow Brokers огромного набора хакерских инструментов и эксплойтов, предположительно принадлежавших Equation Group. Под этим названием фигурирует, согласно наиболее распространённой версии, подразделение Агентства национальной безопасности США, которое занимается спецоперациями по оперативному проникновению в компьютерные сети противников. Первой о существовании этого APT-объединения заявила в 2015 году «Лаборатория Касперского», отметив, что самые ранние признаки его активности относятся к 2001 году.
Наиболее известным (но далеко не единственным) продуктом Equation Group является Stuxnet, вредоносная программа, чьё назначение было скрытно нейтрализовать центрифуги по обогащению ядерных материалов в Иране. Из-за программной ошибки в коде Stuxnet вышел за пределы назначенного ему периметра и был в итоге перехвачен в сетях предприятия в Беларуси.
В 2016 году прежде неизвестная хакерская группировка The Shadow Brokers объявила о том, что ей удалось украсть большое количество хакерских инструментов и эксплойтов Equation, а через год, после безуспешных попыток найти покупателя, весь этот транш был слит в открытый доступ.
Набор содержал, помимо прочего, такие инструменты как DANDERSPRITZ, ODDJOB, FUZZBUNCH, DARKPULSAR, ETERNALSYNERGY, ETERNALROMANCE, ETERNALBLUE, EXPLODINGCAN и EWOKFRENZY. Эксплойты были нацелены, в частности, на ОС Windows, и, что интересно, Microsoft устранила соответствующие уязвимости аккурат за месяц до того, как The Shadow Brokers выгрузили всю свою добычу в открытый доступ (точнее, просто опубликовали пароль к зашифрованным файлам, выложенным ещё годом ранее).
Хотя Microsoft приняла контрмеры ещё за месяц до этой публикации, огромное количество систем в мире оставались уязвимыми, и в течение следующих двух недель более 200 тысяч машин по всему миру были успешно атакованы. В мае 2017 года началась лавина атак со стороны шифровальщика-вымогателя WannaCry, который успешно использовал эксплойт ETERNALBLUE. Со временем его адаптировали и другие кластеры угроз.
«Cамым важным фактом в данном случае может быть дата создания и запуска fast16: если это действительно 2005 год, то это свидетельствует о том, что кибервойны тихо велись уже давно, а не были всего лишь "пугалками" для обывателей, и многое из того, что частью публики рассматривалось как параноидальные теории заговора - нашло свои подтверждения в реальности - отмечает Дмитрий Гвоздев, генеральный директор компании «Информационные технологии будущего». - Однако нельзя исключать, что, как и Stuxnet, этот вредонос не смог в полной мере оправдать возложенные на него надежды создателей и заказчиков. В некотором роде, на этот вариант указывает сам факт запуска Stuxnet. Если бы поставленных целей удалось добиться с помощью fast16, то и необходимости запускать Stuxnet, возможно, не было бы. Со временем могут открыться самые неожиданные факты, относящиеся к истории международных кибервойн».
Поделиться
Короткая ссылка
