Anklagene USAs myndigheter har rettet mot Nord-Korea i forbindelse med angrepet på Sony Pictures Entertainment i november er omdiskuterte. Dette skyldes delvis at bevisene som har blitt lagt fram ikke har vært spesielt gode. Blant annet er det fullt mulig å forfalske IP-adresser. Ikke minst mange IT-sikkerhetsspesialister har derfor stilt seg kritiske til USAs påstander.

Søndag kom New York Times med en artikkel hvor det avsløres detaljer som i betydelig større grad kan forklare hvorfor amerikanske myndigheter med slik tyngde kan hevde at det er Nord-Korea som står bak, samt hvordan dette kunne fastslås så raskt.

2010
Allerede i 2010 skal NSA ha greid å bryte seg inn i datasystemer i Nord-Korea, tilsynelatende uten å ha blitt oppdaget. Nord-Korea er forbundet med internett via Kina, og NSA skal i Malaysia ha valgt ut forbindelser som ofte brukes av nordkoreanske hackere. Via disse skal den amerikanske organisasjonen ha trengt seg direkte inn i nordkoreanske systemer – delvis med bistand for Sør-Korea og andre amerikanske allierte.

New York Times oppgir at informasjonen stammer fra både personer, amerikanske og utenlandske, som tidligere har vært tilknyttet virksomheten, fra sikkerhetseksperter som senere har blitt gjort kjent med disse operasjonene, samt fra nylig avslørte NSA-dokumenter. Ingen av kildene er navngitt.

Skadevare
Dette NSA-programmet skal først og fremst ha handlet om å plante skadevare i datamaskiner og nettverk som brukes av nordkoreanske hackere.

– Å avgjøre hvor angrep kommer fra er utrolig vanskelig og tidkrevende, sier James A. Lewis, en kyberkrig-ekspert ved Center for Strategic and International Studies i USA, til New York Post.

– Med den hurtigheten og sikkerheten som avgjørelsene om Nord Korea ble tatt, fortalte deg at det var noe annerledes her – at de hadde en eller annen form for innsyn, sier Lewis. Ifølge New York Times har amerikanske myndigheter aldri tidligere eksplisitt anklaget myndighetene i et annet land for å stå bak en kyberangrep mot amerikanske mål.

Iran
Teknologien som skal ha blitt brukt, skal være mye av den samme som tidligere ble brukt i angrep mot Irans atomprogram. Den skal ha blitt brukt i omtrent et tiår og ha kostet milliarder av dollar å utvikle.

Normalt skulle man tro at de amerikanske systemene ville oppdage forløpene til angrep tilsvarende det som rammet Sony, typisk gjennom en form for «spear phishing» – målrettet utsending av e-post med lenker til ondsinnede websider.

Stjålet passord
Men det er først i ettertid at man har oppdaget at innloggingsinformasjonen til en av Sonys systemadministratorer har blitt stjålet. I mer enn to måneder skal angriperne ha brukt på kartlegging og planlegging av selve angrepet.

– De har vært utrolig nøye og tålmodige, sier en person med kjennskap til etterforskningen. Han mener dog at selv med innsikten i Nord-Koreas datasystemer ikke gjorde det mulig for amerikanske etterretningsorganisasjoner å forstå alvorligheten av ødeleggelsen som kom som en følge av angrepet som startet den 24. november.

Middag
Det nevnes av New York Times at James R. Clapper jr., tidligere general og nåværende Director of National Intelligence i USA, skal ha spist middag med sin nordkoreanske motpart i Pyongyang i begynnelsen av november. Temaet under det den gang hemmelige møtet skal ha vært løslatelsen av to amerikanere i nordkoreansk fangenskap. Verken Sony eller kyberangrep skal ha blitt tatt opp under møtet. Men Clapper skal senere ha sagt i en tale at Kim Yong-chol, som leder Nord-Koreas generalbyrå for rekognosering – og dermed også den tilhørende kyberangrepsetaten Byrå 121, skal ha vært ansvarlig for angrepet mot Sony. Clapper skal dog ikke på forhånd ha visst hvem han kom til å møte i Nord-Korea.

Avsløringene som New York Times kommer med er dog et tveegget sverd for amerikanske myndigheter. Avsløringene vil kanskje bidra til mindre skepsis til anklagene mot Nord-Korea blant USAs allierte. Samtidig gir de et tydelig signal til Nord-Koreas kyberforsvar om at systemene er kompromitterte.