KT Corporation (ранее известная как Korea Telecom) похоже внедряла вредоносы на устройства клиентов

В новостной репортаже компании JTBC (Joongang Tongyang Broadcasting Company) из Южной Кореи рассказывается о том, что интернет-провайдер KT активно устанавливал вредоносное ПО на компьютеры более полумиллиона абонентов. Вредоносное ПО было предназначено для вмешательства в трафик BitTorrent, предположительно, для реализации возможности его уменьшения. Полиция считает, что на сей подвиг компанию подтолкнули традиции экономить, присущие локальным пользователям. История началась в 2020 году, однако волну разгоняют сейчас. 

В Южной Корее p2p-файлообмен по-прежнему активно используется, но работает иначе, чем в большинстве других стран. Там весьма популярны службы, именуемые «Webhard» (сокращенно от Web Hard Drive). Это платные службы с поддержкой BitTorrent, которые также предлагают выделенные веб-сиды (то есть стабильные хранилища), чтобы гарантировать, что файлы остаются доступными.

Услуги Webhard основываются на распределенной p2p-сети с поддержкой BitTorrent, которая стала настолько популярной в Корее, что интернет-провайдеры начали ее замечать. Поскольку эти передачи торрентов фактически обеспечивают большую пропускную способность, которая в стране очень дорога , провайдеры предпочли бы не допускать эту файлообменную активность в своих сетях.

KT, один из крупнейших интернет-провайдеров Южной Кореи с более чем 16 миллионами абонентов, ранее был уличен во вмешательстве в распределенную p2p-сеть. В 2020 году их действия по регулированию привели к судебному разбирательству, в котором интернет-провайдер указал расходы на «управление сетью» как главную причину вмешательства. Дескать вмешательство выглядело просто как ограничение объема
торрент-траффика. В результате суд внял таким объяснениям и встал на сторону KT, положив конец делу в его пользу. Но это не стало действительно финалом.

Расследование, начатое полицией в то время, продолжается. Новые опубликованные отчеты содержат информацию о визите силовиков в центр обработки данных KT, в ходе которого было установлено, что в «процессе регулирования» использовались десятки специализированных устройств, и они в реальности делали намного больше, чем просто ограничивали пропускную способность.

Когда четыре года назад пользователи Webhard начали сообщать о проблемах, они не просто жаловались на медленную загрузку. На самом деле, главной проблемой было то, что некоторые службы Webhard отключались или сообщали о, казалось бы, необъяснимых ошибках. Поскольку все жалующиеся пользователи были подписчиками KT, претензии были направлены к КТ.

Так вот, согласно расследованию JBTC, интернет-провайдер активно устанавливал вредоносное ПО на компьютеры с сервисами Webhard. Эта деятельность была широко распространена и затронула около 600 000 подписчиков KT только за один месяц.

Южное полицейское управление Кёнгидо, которое ведет расследование и навещало ЦОД КТ, считает, что это была организованная попытка взлома. Специальная группа KT якобы внедрила вредоносное ПО, чтобы прослушивать абонентов и мешать их личным передачам файлов.

«В состав группы входили отдел «разработки вредоносного ПО», отдел «распространения и эксплуатации» и отдел «прослушки», которые в режиме реального времени отслеживали данные, отправляемые и получаемые пользователями KT», — поясняется в материале JBTC, размещенном 20 июня 2024 года.

К эффекту разорвавшейся бомбы привело озвученное обвинение KT в доступе и изменении данных на компьютерах пользователей для ограничения торрент-трафика.

По информации, озвученной представителем компании-разработчика программного обеспечения, проблемы возникали и возникают только у клиентов КТ. Вредоносное ПО на компьютере пользователя создает странные папки, делает файлы невидимыми, полностью отключает саму программу обмена и т.д. В результате были случаи, когда компьютер вообще переставал работать.

Представитель компании, проводившей анализ инцидентов заявил: "В результате анализа было установлено, что действует вредоносное ПО, созданное для сокрытия файлов. И при этом проводилась фактически непрерывная атака с целью нарушения работы программы обмена."

По оценкам, только в течение месяца пострадало около 600 000 пользователей. Атака на пользователей (на тот момент - необъяснимая) длилась почти пять месяцев, и число жертв продолжало расти.

Полицейские расследования еще не завершены и полная картина пока не зафиксирована, но полиция уже выявила более дюжины лиц, представляющих интерес с точки зрения расследования, и информация он них была передана в прокуратуру.

Почему KT якобы распространяла вредоносное ПО и что именно оно намеревалось сделать - пока окончательно не установлено.

Сама КТ утверждает, что она просто намеревалась управлять трафиком в своей сети, чтобы все работало стабильно и производительно.

В то же время журналисты имеют несколько отличное мнение. В качестве побуждающего мотива атаки они считают потерю доходов провайдеров в связи с p2p-распространением контента. Например, они упоминают местные музыкальные серверы и сервисы потокового видео Naver и Afreeca TV, которые теряют заметные объемы выручки в условиях, когда пользователи обмениваются контентом самостоятельно.