Duhovi u Mreži: Kako su Kineski Hakeri Nečujno Stigli do Mreža 37 Vojnih Baza

Analize, svedočenja vodećih bezbednosnih stručnjaka poput Kevina Mandije (Kevin Mandia), kao i zvanični izveštaji američkih obaveštajnih agencija (FBI, CISA), ukazuju na to da globalna sajber-geopolitika ulazi u novu, izuzetno opasnu fazu. U toj novoj realnosti, tradicionalna špijunaža zamenjena je strateškom pripremom za potencijalni oružani sukob u fizičkom svetu.

Iako senzacionalistički naslovi o „upadima u 37 vojnih baza“ često sažimaju kompleksne operacije, stvarnost u pozadini je daleko složenija, tehnički naprednija i sistemski opasnija nego što to staje u jednu rečenicu.

1. Lik i delo Kevina Mandije: Čovek koji je razotkrio kinesku sajber-mašineriju

Da bi se razumeo značaj bilo koje procene u vezi sa državno sponzorisanim hakerskim napadima, mora se prvo razumeti ko je Kevin Mandia.

Mandia je svoju karijeru započeo kao oficir i računarski analitičar u Američkim ratnim vazduhoplovnim snagama (USAF), specijalizovan za kontraobaveštajne poslove i kompjutersku forenziku u oblasti odbrane. Godine 2004. osniva kompaniju Mandiant, koja će u narednim decenijama postati globalni zlatni standard za odgovor na najsloženije sajber-incidente (Incident Response).

Svetsku slavu Mandiant i Mandia stiču 2013. godine objavljivanjem istorijskog izveštaja o hakerskoj grupi APT1. Zapadne obaveštajne službe do tada su uglavnom u tajnosti pratile kineske sajber-operacije. Mandiant je bio prva privatna kompanija koja je javno skinula veo sa tajnosti i sa 100% preciznosti mapirala napade na tačnu geografsku lokaciju: zgradu na periferiji Šangaja u kojoj je bila smeštena Jedinica 61398 Narodnooslobodilačke armije Kine (PLA).

Mandia je time utemeljio modernu analitiku pretnji (Threat Intelligence) i dokazao da države ne mogu zauvek ostati nevidljive iza svojih tastatura. Kompaniju Mandiant je kasnije kupio Google Cloud u poslu vrednom preko 5,4 milijarde dolara, a Mandia je ostao jedan od najuticajnijih savetnika Pentagona, Bele kuće i najvećih globalnih korporacija. Kada Kevin Mandia govori o kineskim sajber-kapacitetima, bezbednosna zajednica to pažljivo sluša.

2. Anatomija pretnje: Doktrina od “krađe intelektualne svojine” do “predpozicioniranja”

Da bi se razumela priroda upada u vojne i kritične infrastrukture, mora se uočiti ključna evolucija u načinu na koji kineske državne akterske grupe deluju. Ova evolucija se deli u tri istorijske faze:

Faza 1: Industrijska i tehnološka špijunaža (2000–2015)

Tokom ove faze, napadi su bili izuzetno masovni, ali tehnički “bučni”. Kineski hakeri su krađom nacrta, poslovnih tajni i vojnih dokumenata nastojali da premoste tehnološki jaz u odnosu na Zapad. Primeri uključuju kompromitovanje odbrambenih industrija i krađu nacrta za avione poput F-35.

Faza 2: Politička i personalna obaveštajna špijunaža (2015–2020)

Fokus se pomera na prikupljanje ogromnih baza podataka – poput provale u sistem američke Službe za upravljanje kadrovima (OPM), gde su ukradeni lični podaci i bezbednosne provere miliona vladinih i vojnih službenika.

Faza 3: Strateško predpozicioniranje i pretnja infrastrukturi (2021–Danas)

Ovo je era u kojoj se nalazimo danas, a ključni akter je napredna grupa poznata pod nazivom Volt Typhoon (kao i srodne operacije poput Salt Typhoon i TGR-STA-1030).

Cilj više nije krađa dokumenata niti klasična špijunaža. Zvaničnici američkog Nacionalnog bezbednosnog saveta i FBI-ja ističu da je cilj ove faze potajno ubacivanje u operativne mreže (OT/ICS) kritičnih objekata i vojnih baza. Hakeri ulaze u sisteme kontrolera električne energije, vodoizvorišta, telekomunikacionih čvorišta i transportne logistike vezane za vojne instalacije.

Razlog? U slučaju potencijalnog sukoba oko Tajvana ili u Južnom kineskom moru, Peking ne želi samo da posmatra, već da ima tehničku mogućnost da pritisne “dugme” koje bi izazvalo regionalne nestanke struje, otkazivanje vodovodnih mreža i pad komunikacija. Time bi se direktno usporila ili paralizovala mobilizacija vojske i logistička podrška vojnim bazama.

┌─────────────────────────────────────────────────────────────────┐

│               EVOLUCIJA KINESKIH SAJBER OPERACIJA              │

├──────────────────────────────┬──────────────────────────────────┤

│ Faza 1 (2000–2015)           │ Krađa nacrta i poslovnih tajni   │

│ Faza 2 (2015–2020)           │ Krađa baza podataka i OPM provala│

│ Faza 3 (2021–Danas)          │ Predpozicioniranje u kritičnoj   │

│                              │ infrastrukturi (Volt Typhoon)    │

└──────────────────────────────┴──────────────────────────────────┘

3. Tehnički modaliteti: Kako se kompromituju vojne baze bez uspostavljanja “zavjesa”?

Pitanje koje se nameće jeste: Kako je moguće da mreže najsavremenijih vojnih baza i povezanih struktura budu hakovane, a da to godinama promakne detekciji?

Kevin Mandia i bezbednosni forenzičari objašnjavaju da moderni državni napadači više ne koriste klasične računarske viruse niti šablonske malvere. Umesto toga, oslanjaju se na napredne taktike:

“Living off the Land” (LotL) tehnika:

Zaboravite na instaliranje štetnih fajlova koje antivirusni softver lako prepoznaje. Napadači koriste legitimne, ugrađene alate unutar samog operativnog sistema (kao što su PowerShell, WMI ili Windows Command Shell). Za nadzorni sistem, aktivnosti hakera izgledaju potpuno isto kao uobičajeni rad sistemskog administratora.

Eksploatacija mrežnih uređaja na ivici (Edge Devices):

Umesto napada na same računare radnika, napadaju se ruteri, požarni zidovi (firewall), VPN uređaji i industrijski mrežni prolazi proizvođača poput Ivanti, Fortinet ili Cisco. Ovi uređaji često nemaju instalirane tradicionalne antivirusne agente, što ih čini idealnom “slepom mpeg-tačkom”.

Infiltracija kroz “SOHO” botnete: 

Da bi sakrili svoje prave IP adrese i kinesko poreklo, napadači stvaraju botnet mreže kompromitovanjem hiljada stambenih i malih poslovnih ruter-uređaja (SOHO – Small Office/Home Office) širom SAD i sveta. Kada haker pristupa vojnoj ili infrastrukturi odbrane, saobraćaj izgleda kao da dolazi iz komšiluka, od običnog korisnika kablovskog interneta.

Napad na lanac snabdevanja i civilne dobavljače:

Vojna baza nije izolovano ostrvo. Otići direktno na ultra-obezbeđenu mrežu Ministarstva odbrane je teško. Međutim, vojna baza struju dobija od lokalne civilne elektrodistribucije, vodu od opštinskog komunalnog preduzeća, a hranu i opremu od privatnih logističkih firmi. Kompromitovanjem 37 povezanih civilnih čvorišta i dobavljača, napadač indirektno drži u šahu samih 37 vojnih baza.

4. Geopolitičke implikacije i problem “doktrine odvraćanja”

Kao što je Mandia više puta naglašavao u svojim javnim istupanjima, najveći problem sajber-prostora leži u nepostojanju jasne doktrine odvraćanja.

U nuklearnom ili konvencionalnom ratovanju pravila su jasna: ako raketa pređe granicu druge države, to je čin rata i sledi nemilosrdan odgovor. U sajber-prostoru granice su mutne. Da li se ulazak kineskih hakerskih alata u kontrolni sistem strujne mreže pored vojne baze smatra špijunažom (što sve države rade jedne drugima) ili činom agresije i predpoljem za rat?

Dokle god Zapad ne definiše jasne “crvene linije” i ne uredi sistem sankcionisanja i odgovora na sajber-upade, akteri sponzorisani od strane država nastaviće sa agresivnim predpozicioniranjem unutar mreža od ključnog nacionalnog značaja.

5. Šta organizacije i države moraju preduzeti?

Izveštaji kompanija za sajber-bezbednost i svedočenja stručnjaka nude jasan plan delovanja za suzbijanje ove pretnje:

Prelazak na Zero Trust arhitekturu: Pretpostavka da je mreža već kompromitovana. Nijedan korisnik, uređaj niti aplikacija ne sme imati automatsko poverenje, bez obzira da li se nalazi unutar ili van vojne mreže.

Segmentacija OT i IT mreža: Fizičko i logičko odvajanje poslovnih računarskih mreža od operativnih mrežnih sistema koji upravljaju strujom, hlađenjem, gorivom i mehanizacijom.

Fokus na dešavanja na nivoima protokola i logova: Pošto alati poput antivirusa ne prepoznaju Living off the Land napade, bezbednosni timovi moraju analizirati ponašanje i neobične obrasce pristupa bazama i ruterima.

Javno-privatno partnerstvo: Državne vojne strukture moraju blisko sarađivati sa privatnim kompanijama koje održavaju mreže, jer je kritična infrastruktura u najvećem broju zemalja u privatnom vlasništvu.

Razotkrivanja koja su potekla od stručnjaka poput Kevina Mandije predstavljaju poziv na buđenje. Okršaji modernog doba se ne dešavaju samo na vidljivim frontovima, već tiho i neprimetno – u linijama koda koje napajaju i povezuju ključne vojne i civilne sisteme sveta.

Ako vas zanima detaljniji uvid u to kako su vodeće svetske službe i analitičari razotkrili najambicioznije kineske sajber-operacije u istoriji, možete pogledati dokumentarnu analizu u nastavku:

Inside China’s most ambitious cyber hack | The Global Story

Ovaj video pruža izuzetan uvid u strukturu kineskih sajber-napadnih grupa, načine infiltracije u ključne mrežne sisteme i geopolitičke posledice digitalnog rivalstva velesila.