Ko nas napada? Ko je haker, a ko običan kriminalac?

Pretpostavka je majka svih grešaka

Popularna kultura - pre svega filmovi i mediji - decenijama gradi specifičan i postojan arhetip hakera. Uvek je to neki izolovani i neshvaćeni genije: figura sa margine društva, ali sa gotovo natprirodnom moći nad digitalnim svetom. U mračnoj sobi, okružen monitorima na kojima se tope zelena slova, jednim pritiskom tastera on ruši sisteme, korporacije i čitave države. Ta slika, iako dramaturški efektna, postala je deo kolektivne svesti i, još banalnije, temelj na kojem marketing bezbednosnih proizvoda često gradi svoje narative. Kampanje koje upozoravaju na sve sofisticiranije (uzgred, užasna reč) pretnje i elitne hakerske grupe nesvesno održavaju taj mit, pa prosečnom korisniku ne preostaje ništa drugo do osećaja distance i nemoći. Problem u tome nije samo spontani otklon od realnosti, već psihološki efekat koji ovaj mit podstiče.

Kada se napadač percipira kao mitsko biće koje raspolaže natprirodnim tehničkim veštinama, prirodna reakcija je pasivnost. Ako verujemo da nas ugrožava entitet iz druge dimenzije, naša odgovornost se svodi na „šta se tu može" i „valjda neće mene". Kad se tako gleda na stvar, bezbednost postaje pitanje sudbine ili sreće, a ne rezultat konkretnih odluka i adekvatnog ponašanja. Tu mit prestaje da bude samo pogrešna predstava i postaje aktivna prepreka u razumevanju rizika. Fokus se pomera sa svakodnevne higijene – osnovna zaštita, lozinke, ažuriranje, privilegije i daj da vidimo gde smo šuplji – na apstraktne i udaljene pretnje od kojih nema pomoći. Slikovitije, svi se nadaju da grom neće baš u njihovo dvorište, ili barem ne dva puta na isto mesto.

Odlike čopora

Stvarnost je, međutim, znatno prizemnija. Većina onih koji danas u digitalnom prostoru prave ozbiljnu štetu nisu ni nalik mitološkim bićima i digitalnim polubogovima. Zapravo, u pitanju su udružene grupe običnih ljudi koji uče, beleže i eksperimentišu sa našim ranjivostima. Mnogi od njih imaju redovan posao, studiraju ili administriraju poslovne mreže. Razlika je samo u tome kako svoje znanje primenjuju kada ih niko ne gleda. U tom smislu, maliciozni akter nije tip osobe, niti jedna osoba, već kolektivni izbor. Isti alati, isti resursi i ista dokumentacija stoje na raspolaganju i onima koji disciplinuju sopstvene sisteme i onima koji traže kako da ih zloupotrebe.

Tehnologija je neutralna, ali etika nije.

Savremeni sajber napadi nisu rezultat akcija neshvaćenih genija, već su deo šireg, uhodanog mehanizma za otimanje para. Pojedinac koji odluči da pređe granicu gotovo uvek se oslanja na postojeće resurse, tuđe alate i već izgrađenu, kriminalnu infrastrukturu. Istovremeno, Internet je beskrajna mreža podataka, servisa i komunikacije koju svakodnevno koristimo, i u toj džungli najpre nastrada tele izolovano od krda, nedovoljno svesno zakona majke prirode.

Kriminalna infrastruktura

U klasičnom kriminalu, infrastruktura podrazumeva ljude, logistiku i teren gde organizacija operiše. Aktivnosti podrazumevaju kontakte, skloništa, posrednike, transport. Svaki susret nosi visoku stopu rizika, svaki korak ostavlja trag i svaka operacija zahteva planiranje, poverenje i jasnu podelu uloga. U digitalnom prostoru ta logika se ne menja, ali je sveukupni rizik drastično manji.

U sajber okruženju, infrastrukturu preuzimaju tehnologije. Kriminalci se ne kriju iza lažnih dokumenata, već iza servisa koji razdvajaju onlajn aktivnosti od stvarnog identiteta i fizičke lokacije. Komunikacija se ne odvija redovnim kanalima koji su podložni nadzoru, već kroz tehnologije koje favorizuju anonimnost. Umesto fizičkih posrednika, digitalne platforme povezuju ponudu, potražnju i reputaciju učesnika. U takvom okruženju, potera za izvršiocima je daleko složenija nego u stvarnom svetu.

Znanje se ne prenosi usmeno niti se gradi u izolaciji, već cirkuliše kroz forume, zatvorene zajednice i digitalna tržišta na kojima se razmenjuju iskustva, alati i metodi napada. Greške se analiziraju, uspešne prakse ponavljaju, a pojedinac se uklapa u sistem bez potrebe da razume celinu. Infrastruktura tako postaje samoodrživ mehanizam, u kojem svako ima jasno definisanu ulogu.

Digitalna sredstva koja se koriste u samim napadima dolaze na kraju procesa, ne na početku. Pre toga se razrađuju taktike, utvrđuju obrasci ponašanja i definišu procedure koje obezbeđuju ponovljivost i maksimalni učinak. Da bi se razumelo kako kriminalna infrastruktura funkcioniše u praksi, potrebno je sagledati određene tehnologije, servise i alate koji jasno ilustruju koliko je tehnički prag za ulazak u ovaj prostor postao nizak.

Tehnologije

VPN

VPN je jedan od stubova oslonaca savremene kriminalne infrastrukture. Ne zato što je u pitanju neka egzotična tehnologija, već upravo suprotno – zato što je postao deo svakodnevice i široko prihvaćen kao legitiman alat. Njegova osnovna funkcija je razdvajanje onlajn aktivnosti od fizičke lokacije korisnika.

U legitimnom okruženju, VPN se koristi za zaštitu privatnosti, rad na daljinu i bezbedan pristup kompanijskim servisima. U kriminalnom kontekstu, ista tehnologija omogućava stvaranje distance između konkretnih aktivnosti i identiteta prestupnika. Kada se VPN koristi, servis kojem se pristupa ne vidi stvarnu mrežnu adresu korisnika, već posredničku adresu VPN infrastrukture, iza koje stoje serveri raspoređeni u više država i pod različitim jurisdikcijama.

Snaga VPN-a nije u potpunoj anonimnosti, već u pomeranju granice odgovornosti i otežavanju atribucije. On ne briše tragove niti štiti od loših odluka, ali značajno komplikuje početnu fazu analize i reagovanja na incidente. U tom smislu, VPN nije pomoćno sredstvo, već temeljni sloj kriminalne infrastrukture na koji se nadograđuju ostali mehanizmi skrivanja i operativne sigurnosti.

Tor mreža

VPN i Tor rešavaju sličan problem, ali na različite načine. VPN uvodi jednu posredničku tačku između korisnika i interneta. Sav saobraćaj prolazi kroz infrastrukturu provajdera, koji vidi i ulaz i izlaz ostvarene komunikacije. Spoljašnji servisi vide samo posredničku adresu, dok sam VPN servis ima kompletnu sliku.

Tor problemu pristupa drugačije i razlaže komunikaciju na više koraka. Saobraćaj se ne prosleđuje direktno od korisnika do odredišta, već prolazi kroz nekoliko nezavisnih servera u lancu, tj. čvorišta. Svako čvorište zna samo ono što mora da zna: od koga je primilo podatke i kome ih prosleđuje dalje. Nijedno čvorište nema potpunu sliku cele komunikacije.

U praksi, to znači da ne postoji jedno mesto koje povezuje identitet korisnika sa sadržajem i odredištem. Čak i ako se deo lanca nadzire, on ne pruža dovoljno informacija da se razume ceo tok, pa praćenje zahteva znatno više vremena, resursa i koordinacije.

U odnosu na VPN, Tor nije ni jači ni slabiji. Razlika je u modelu poverenja. VPN zahteva poverenje u isporučioca servisa. Tor to poverenje razlaže na više nezavisnih tačaka, od kojih nijedna sama ne može da rekonstruiše celinu. Dodatno, Tor mreža ne skladišti korisničke podatke: komunikacija postoji samo dok traje, a po dizajnu ne postoji mesto na kojem se zapisuje istorija saobraćaja.

Dark veb

Dark veb je deo interneta koji nije dostupan kroz standardne pregledače i javno dostupne servise. Na dark veb se ide preko Tor Browsera, koji omogućava anoniman pristup prikrivenim sajtovima bez uvida u to gde se oni fizički nalaze i ko sa njima rukovodi. Sam po sebi, dark veb nije ni dobar ni loš – on je tehničko okruženje nastalo iz potrebe za privatnošću, anonimnom komunikacijom i zaobilaženjem cenzure. Njegove prednosti i danas koriste novinari, aktivisti i pojedinci koji žive u represivnim okruženjima, ali oni nisu fokus ove priče.

U kontekstu sajber kriminala, dark veb funkcioniše kao operativni resurs i prostor u kojem se razmenjuju roba, informacije i usluge. Na forumima i u zatvorenim zajednicama mogu se pronaći baze kompromitovanih naloga, ukradeni kredencijali, pristupi sistemima potencijalnih žrtava, kao i opisi napada koji su se pokazali uspešnim u praksi. Razmenjuju se iskustva o konkretnim organizacijama, procenjuje njihova tehnička zrelost i razmatra da li su pregovori i plaćanje otkupa izvesni. Reč je o prostoru u kojem se kriminalne aktivnosti ne planiraju apstraktno, već krajnje operativno.

Važno je razumeti da se servisi sajber kriminala ne nalaze u nekom izdvojenom ili paralelnom internetu. Oni se tehnički oslanjaju na istu infrastrukturu kao i legalni sajtovi - na komercijalne servere, virtuelne mašine, privatne veb servere, cloud okruženja i kompromitovane sisteme. Razlika nije u tehnologiji, već u načinu skrivanja identiteta i odgovornosti. Tor mreža, tolerantni hosting provajderi i zloupotrebljeni resursi omogućavaju da lokacija i vlasništvo ostanu prikriveni, a da servis bude dostupan svima koji znaju gde da ga traže.

U taj prostor redovno ulaze i policijske i obaveštajne službe koje praktikuju dugotrajnu infiltraciju, građenje odnosa i uspostavljanje poverenja unutar zatvorenih zajednica. Zbog toga kriminalna infrastruktura nije statična, već se neprestano prilagođava, fragmentira i obnavlja, svesna da nadzor nije izuzetak, već konstanta.

Na kraju, na dark vebu su i sajtovi za objavu ukradenih podataka. Oni ne služe samo za ucenu žrtava, već i kao javna potvrda uspešno izvedenih napada. Time se gradi reputacija unutar kriminalnog ekosistema u kojem su popularnost i poverenje važni za privlačenje novih saradnika.

Alati

Jedna od najvećih zabluda u vezi sa sajber kriminalom jeste scenario gde neko upada u mrežu bez da zna šta ga čeka i sa veštom improvizacijom hakuje ceo sistem. U praksi, većina ozbiljnih incidenata ima prepoznatljiv obrazac. Sajber kriminalne grupe se često razaznaju po već viđenim taktikama, tehnikama, alatima, šablonima i procedurama koje koriste. Forenzika obično pokaže da tragovi nisu haotični, već baš naprotiv, da su dovoljno dosledni i ostavljaju prepoznatljiv pečat određenog napadača.

Alati koji se pritom koriste nisu nikakva egzotika namenjena malom krugu najveštijih pojedinaca. Većinom su javno dostupni, dobro dokumentovani i razvijani za legitimne potrebe: administraciju sistema, testiranje bezbednosti i unapređenje otpornosti infrastrukture. Razlika između odbrane i napada ne leži u alatima, već u nameri i kontekstu njihove upotrebe. I što je najgore, upravo ta standardizacija omogućava da se napadi izvode skalabilno i efikasno, bez dubokog tehničkog razumevanja svakog pojedinačnog koraka.

Nmap služi za mapiranje mrežne infrastrukture. Detektuje aktivne uređaje, njihove adrese i otvorene portove, kao i usluge koje iza njih stoje (mejl server, veb server, database server itd.) Kada jednom uđe, napadaču Nmap omogućava pregled celokupne mreže i potragu za izloženim servisima. Dovoljno je da se utvrdi šta je dostupno i koje tačke deluju ranjivo, pa da se pređe na sledeću fazu napada.

Metasploit objedinjuje poznate ranjivosti, kao i načine za njihovo iskorišćavanje. Njegov zadatak je da cilja konkretne verzije softvera i unapred poznate ranjivosti tih verzija. Za kriminalca to znači da ne mora da gubi vreme i sam pronalazi rupe u sistemu. Dovoljno je da sazna koji se softver koristi, pa da okine već pripremljeni scenario. Dobrim momcima Metasploit služi da vide gde su bušni i da zakrpe rupe, a lošima da te rupe iskoriste za svoje kriminalne ciljeve.

Cobalt Strike je alat namenjen simulaciji napada u okviru penetracionog testiranja, ali se često zloupotrebljava u stvarnim incidentima. Omogućava skriveno prisustvo, neprimetno izvršavanje komandi i lateralno kretanje kroz mrežu. U kriminalnom kontekstu, njegov značaj je veliki. Napadač ne mora da deluje brzo i upadljivo. Može da ćuti, posmatra, čeka i bira najbolji trenutak za napad.

Mimikatz je alat za izvlačenje autentifikacionih podataka iz operativnog sistema. U praksi, to znači da može da dođe do lozinki, hash vrednosti tih lozinki, Kerberos tiketa i drugih akreditiva koji se nalaze u memoriji uređaja ili u bezbednosnim komponentama operativnog sistema. U legitimnom okruženju, koristi se za testiranje i proveru da li se pravilno štite osetljivi podaci. U kriminalnom kontekstu, Mimikatz omogućava napadaču da na kompromitovanoj mašini pronađe podatke neophodne za dalje širenje po mreži.

Burp Suite omogućava nadzor nad komunikacijom između pregledača i veb servera. Prikazuje sve zahteve koje pregledač šalje, kao i odgovore koje veb server vraća, zajedno sa parametrima koji u interfejsu aplikacije inače nisu vidljivi. Menjanjem i ponavljanjem tih zahteva, napadač analizira kako server reaguje kada dobije neočekivan ili neusklađen unos i u kom trenutku se oslanja na pretpostavku umesto na stvarnu proveru. Kada precizno utvrdi gde aplikacija popušta u logici, napadač zna gde server prestaje da proverava korisnika i počinje da mu veruje. Na tim mestima može da zaobiđe bezbednosna ograničenja, pristupi proširenim funkcionalnostima i utiče na tok obrade podataka.

Hydra je alat za automatizovano testiranje autentifikacije na mrežnim servisima. Podržava sijaset protokola i servisa, od SSH i FTP-a, preko RDP-a i baza podataka, do veb aplikacija sa formama za prijavljivanje. U praksi, Hydra omogućava brzo i sistematsko isprobavanje velikog broja kombinacija korisničkih imena i lozinki. Umesto ručnog unosa, alat preuzima ponavljanje, tempo i paralelizaciju zahteva. Napadač ne mora da pogađa. Dovoljno je da ima listu mogućih kredencijala ili već prikupljene informacije sa drugih sistema. Kada naiđe na servis koji ne ograničava broj pokušaja unosa ili koristi slabe ili reciklirane lozinke, Hydra daje brze rezultate. Time napadač dobija legitiman pristup komponentama sistema. Bez eksploatacija ranjivosti, bez ostavljanja tehničkih tragova i bez previše buke. Uspeh ne zavisi od samog alata, već od toga koliko je sistem osetljiv na pogrešne unose.

Kali Linux je operativni sistem koji objedinjuje veliki broj alata za testiranje bezbednosti, analizu mreža i proveru otpornosti sistema. Razvijen je kao radno okruženje za stručnjake koji se bave ofanzivnom bezbednošću, ali je u isto vreme javno dostupan svima. U praksi, Kali omogućava da se kompletan proces napada izvede sa jednog mesta: od mapiranja mreže i prikupljanja informacija, preko testiranja autentifikacije i analize aplikacija, do eksploatacije i lateralnog kretanja kroz mrežu. Alati poput Nmapa, Hydre, Burp Suite-a i Mimikatz-a dolaze preinstalirani na Kaliju, u unapred podešenom okruženju koje eliminiše potrebu za ručnom konfiguracijom. Kali spušta prag ulaska u svet sajber kriminala jer objedinuje znanje, alate i procedure na jednom mestu. Umesto dubokog razumevanja svakog pojedinačnog alata i njegove uloge, često je dovoljno pratiti ustaljeni tok rada. Zbog toga se većina poznatih kriminalnih grupa može prepoznati po kombinaciji alata, skripti i redosledu koraka koje koriste. Njihov pečat nije u tehničkoj veštini, već u taktici koju retko menjaju.

OSINT – ne moraju da vas hakuju da bi znali sve o vama

Pre bilo kakvog napada, sajber kriminal bira svoje žrtve. Ta početna faza naziva se Open-Source Intelligence (OSINT) i svodi se na prikupljanje i analizu informacija iz javno dostupnih izvora.

OSINT nije hakovanje. Ne podrazumeva probijanje ili zaobilaženje mehanizama zaštite, niti neovlašćen pristup sistemima. Reč je o veštini pronalaženja, povezivanja i tumačenja podataka koje su organizacije i pojedinci učinili dostupnima - kroz internet servise, dokumente, konfiguracije i digitalne tragove koje svakodnevno ostavljaju za sobom. Količina takvih podataka je ogromna, a specijalizovani OSINT alati omogućavaju da se oni sistematizuju i pretvore u operativnu sliku potencijalne mete.

U praksi, izviđanje najčešće započinje mapiranjem tehničke izloženosti. Alati poput Shodana i Censysa skeniraju internet u potrazi za logički povezanim uređajima i onlajn servisima. Otkrivaju sisteme dostupne sa interneta, servise koje ti sistemi nude, verzije softvera koje koriste, kao i izloženost poznatim ranjivostima. Kompanijska infrastruktura vidljiva spolja - poput mejl i veb servera - uvek je meta provere, a svaka identifikovana ranjivost predstavlja potencijalnu ulaznu tačku za dalju infiltraciju.

Paralelno sa tim, prikupljaju se informacije o zaposlenima i odnosima unutar organizacije. Maltego se koristi za povezivanje podataka iz različitih javnih izvora i njihovu vizuelizaciju u obliku mreže međusobnih odnosa. Polazeći od jednog podatka - domena, imena ili imejl adrese - moguće je rekonstruisati povezane IP adrese, profile zaposlenih, vlasničke strukture i obrasce komunikacije. Fragmenti informacija koji pojedinačno deluju bezazleno u ovoj fazi počinju da grade smislenu celinu.

Za automatizaciju OSINT izviđanja koriste se alati poput TheHarvestera, Recon-nga i SpiderFoota. Oni sistematski pretražuju desetine izvora - pretraživače, DNS zapise, društvene mreže i javne baze podataka - i prikupljaju imejl adrese, imena zaposlenih, poddomene i druge tehničke detalje. Rezultat nije dubinsko razumevanje sistema, već brza i dovoljno precizna slika organizacije, dobijena bez ikakvog direktnog kontakta sa njenom infrastrukturom.

Postoje i alati koji ne automatizuju prikupljanje, već pomažu u snalaženju kroz brojne izvore podataka. OSINT Framework i OSINTCombine funkcionišu kao mape javno dostupnih baza i servisa, grupišući ih po tipu informacija koje nude.

U OSINT-u posebno mesto zauzima korišćenje naprednih Google Dorks pretraga. Sa nekoliko precizno formiranih upita, moguće je pronaći iznenađujuću količinu korisnih informacija: interne dokumente, konfiguracione fajlove, backup arhive, pa čak i javno dostupne pristupe internim servisima. U tim slučajevima nije u pitanju krađa kroz neovlašćen pristup - podaci su već izloženi greškom i indeksirani kao bilo koji drugi veb sadržaj.

OSINT se ne završava na infrastrukturi i dokumentima. Alati poput Namechk-a i Sherlock-a omogućavaju pretragu korisničkih imena na velikom broju platformi istovremeno, čime se gradi mapa digitalnog identiteta određenog pojedinca. Ono što korisnici doživljavaju kao razdvojene identitete na različitim servisima, u praksi se često vidi kao kontinuitet.

Na kraju, tu su alati za analizu metapodataka, poput ExifTool-a, FOCA-e i Metagoofil-a. Iz dokumenata i slika koje organizacije javno objavljuju moguće je izvući podatke o korisničkim imenima, verzijama softvera, internim putanjama fajlova, pa čak i geografskim lokacijama. Dokumenti, iako sadržajno bezazleni, često otkrivaju više nego što bi trebalo.

OSINT faza omogućava napadaču mapiranje terena pre bilo kakve akcije. Otkriva se tehnološki stek i struktura organizacije, crtaju se potencijalne mete za socijalni inženjering i beleže slabe tačke koje vredi dalje istraživati. Sve se odvija tiho, bez alarmiranja zaštite i bez napada u klasičnom smislu. Uspeh ove faze ne zavisi od slabosti infrastrukture, već od kolektivne nepažnje zaposlenih i nedostatka kontrole nad digitalnim otiskom kompanije.

Sa završetkom OSINT-a, napadač ima dovoljno informacija da odluči da li će dalje nastaviti sam - ili će taj posao prepustiti organizovanom sajber kriminalu, kroz model koji ga je uzdigao na nivo globalne industrije.

RaaS (Ransomware-as-a-Service) kriminalni model

Dostupnost alata sama po sebi ne stvara kriminalca. Ona samo snižava tehnički prag. Pravi preokret u savremenom sajber kriminalu nastao je u trenutku kada su ti alati uklopljeni u organizovan, ponovljiv i profitno orijentisan poslovni model. Umesto pojedinačnih napada i improvizacije, sredinom prošle decenije pojavljuju se strukture koje funkcionišu kao i većina legalne softverske industrije danas. Najjasniji primer tog pomaka je model poznat kao Ransomware-as-a-Service (RaaS).

RaaS funkcioniše po principu franšize. Jedna grupa - RaaS operatori - razvija i održava maliciozni softver, komandno-kontrolnu infrastrukturu, portale za komunikaciju sa žrtvama, sisteme za plaćanje i sajtove za objavu ukradenih podataka. Operatori sami ne sprovode napade. Umesto toga, regrutuju tzv. afilijate: saradnike ili partnere koji koriste njihovu platformu da bi napadali konkretne organizacije. Afilijati dele prihod sa operatorima, ali zauzvrat dobijaju gotov sistem, jasna uputstva i tehničku podršku.

Dok se operatori bave razvojem malvera, unapređenjem tehnika za izbegavanje detekcije i stabilnošću infrastrukture, afilijati se fokusiraju na pronalaženje žrtava, inicijalni pristup mrežama i vođenje pregovora. Najčešći model podele prihoda ostavlja veći deo otkupnine afilijatu - obično između 70 i 80 procenata - dok ostatak ide operatorima. Rezultat je kontinuirani rast broja napada, jer ista tehnološka platforma omogućava desetinama ili stotinama afilijata paralelno sprovođenje kampanja.

Istorijski gledano, grupe poput REvil (Sodinokibi), DarkSide i LockBit dovele su ovaj model do nivoa korporativne efikasnosti. Razlikovale su se u procentima podele profita, kvalitetu podrške i načinu regrutovanja, ali su sve pokazale istu suštinu: sajber kriminal više ne zavisi od pojedinaca ili izolovanih timova, već funkcioniše kao ekosistem koji se stalno širi i unapređuje.

Najkonkretniji uvid u unutrašnje funkcionisanje ovakvog modela pruža slučaj grupe Conti, čiji su interni razgovori i dokumentacija procureli 2022. godine. Ti podaci otkrivaju organizaciju koja po strukturi podseća na legitimnu tehnološku kompaniju. Postojali su jasno definisani timovi: programeri, testeri, administratori, stručnjaci za reverzni inženjering i operativci zaduženi za inicijalni pristup mrežama. Organizacija je imala i kadrovsko odeljenje, sa oglasima za posao objavljivanim na javnim sajtovima za zapošljavanje, uz pažljivo biran jezik koji je prikrivao ilegalnu prirodu posla.

Novi zaposleni prolazili su kroz onboarding proces, dok je stvarna priroda posla često predstavljana kao siva zona u zadacima testiranja bezbednosti. Da bi se smanjio rizik, rad je bio fragmentisan: pojedinci su radili na izolovanim delovima sistema, bez potpunog uvida u celinu. Postojali su i interni materijali za obuku, uključujući kurseve za korišćenje alata koje smo ranije spomenuli. Sve to ukazuje na organizaciju koja razmišlja o produktivnosti, riziku i kontinuitetu svojih „usluga".

Sličan poslovni pristup potvrđen je i u kasnijim curenjima podataka drugih kriminalnih grupa, gde su vođene precizne evidencije o radu afilijata, stopama uspešno okončanih pregovora, početnim zahtevima za otkup i popustima tokom pregovaračkog procesa. Razlike u rezultatima pokazuju da nisu svi jednako vešti, ali i da RaaS omogućava i prosečnom operativcu da postigne merljive rezultate. Ovde se ne govori o hiljadama, već o milionima dolara profita u kriptovalutama.

Implikacije za žrtve su očigledne. Napadi dolaze od afilijata koji koriste kupljeni ili iznajmljeni pristup, prate unapred definisane procedure i sprovode napade kao deo šire operacije. Cilj nije destrukcija, već efikasna primena poslovnog modela. Žrtva nije personalizovana meta, već još jedna stavka u portfoliju – posledica industrijalizacije sajber kriminala, a ne lične motivacije napadača.

Initial Access Brokers (IAB) - što da se mučim kad mogu da kupim

Kada velika kompanija poput Googla doživi curenje podataka, milioni korisničkih imena, imejl adresa i lozinki neretko završe na dark vebu, spakovani u baze koje se prodaju po iznenađujuće niskim cenama. Njihova vrednost ne leži nužno u napadu na kompaniju iz koje potiču, već u iskorišćavanju jedne dobro poznate ljudske navike: recikliranja lozinki. Korisnik koji je istu kombinaciju imejl adrese i lozinke koristio na kompromitovanom servisu i na poslovnom nalogu postaje laka meta za tzv. credential stuffing napade, gde se procureli kredencijali automatizovano isprobavaju na velikom broju drugih servisa.

Osim samih podataka, na dark vebu se trguje i gotovim pristupima. Initial Access Brokers (IAB) su specijalizovane grupe ili pojedinci čiji je jedini posao da ostvare inicijalni ulaz u mreže organizacija. Oni koriste phishing kampanje, slabe lozinke, procurele kredencijale ili tehničke ranjivosti da bi upali u sistem, a zatim taj pristup prodaju dalje - najčešće RaaS afilijatima. Cena zavisi od veličine kompanije, njenog prihoda i nivoa privilegija koji je ostvaren; administratorski pristup vredi neuporedivo više od običnog korisničkog naloga.

Za korisnike i organizacije to znači da sajber kriminal retko napada od nule. Napad obično započinje kupovinom kompromitovanog resursa. Lozinka koja je procurela pre nekoliko godina sa zaboravljenog foruma ili servisa može danas biti ključ za poslovni imejl i internu poslovnu mrežu. Digitalna prošlost ne nestaje i stalno je u opticaju. Preprodaje se i čeka trenutak da ponovo dobije na vrednosti.

U tom smislu, bezbednost nije samo zaštita od budućih napada, već i upravljanje posledicama onih koji su se već desili.

Geopolitički okvir i operacije sa državnim predznakom

Iako je fokus ovog teksta na ekonomski motivisanom sajber kriminalu koji pogađa najširi spektar organizacija, važno je napraviti jasnu razliku u odnosu na drugu kategoriju pretnji, tj. napade koje sprovode ili sponzorišu države. Reč je o tzv. nation-state i state-sponsored operacijama, koje funkcionišu po drugačijoj logici i sa bitno drugačijim ciljevima.

Za razliku od kriminalnih grupa, ovde finansijska dobit nije primarni motiv. Državni akteri koriste sajber prostor za špijunažu, politički pritisak, krađu intelektualne svojine, sabotažu infrastrukture i ostvarivanje vojno-strateških prednosti. Mete su usko definisane i pažljivo birane: državne institucije, kritična infrastruktura, vojni sistemi, energetski i industrijski sektori. To su operacije drugog reda - dugotrajne, resursno zahtevne i vođene geopolitičkim interesima, a ne brzim profitom.

Napadi na energetsku infrastrukturu u Ukrajini ili sabotaže nuklearnih postrojenja u Iranu ilustruju kako sajber operacije mogu biti direktan produžetak klasičnih geopolitičkih sukoba. U tim slučajevima cilj nije bio finansijski pritisak, već destabilizacija, demonstracija moći ili testiranje sposobnosti protivnika.

Primer NotPetya napada dodatno osvetljava granicu između državnih operacija i kriminalnih posledica. Iako je u početku predstavljen kao ransomver incident, ubrzo je postalo jasno da finansijski motiv nije bio primarni cilj. NotPetya je imao destruktivnu logiku bez realnog mehanizma za oporavak podataka, što ukazuje na operaciju sa strateškom namenom. Napad je započeo kroz kompromitovani softver za poresko izveštavanje u Ukrajini, ali se nekontrolisano proširio globalno, pogađajući multinacionalne kompanije i nanoseći milijarde dolara štete. Ovaj slučaj pokazuje kako alati razvijeni ili korišćeni u okviru državnih sajber kapaciteta mogu da pobegnu iz originalnog konteksta i proizvedu posledice koje više liče na pandemiju nego na preciznu vojnu operaciju.

Ovi primeri su tu da pojasne širinu spektra današnjih sajber pretnji. U ovom domenu ne postoje nevine strane - mnoge države aktivno razvijaju ofanzivne sajber kapacitete i koriste ih kao deo svoje bezbednosne i spoljnopolitičke strategije.

Ipak, važno je zadržati perspektivu. Iako su ovakve operacije ozbiljne i potencijalno destabilizujuće, one nisu dominantna pretnja za većinu kompanija i pojedinaca. Svakodnevnu realnost i dalje oblikuju automatizovani napadi, ekonomski motivisan kriminal, tehnički dug i banalne, ponavljajuće slabosti. Razumevanje razlike između ova dva sveta pomaže da se pažnja usmeri tamo gde je rizik stvaran, a ne tamo gde je geopolitički atraktivan.

I dobro, ko nas na kraju napada?

Posle svih slojeva – kriminalne infrastrukture i korporativnih modela operisanja, neutralnih tehnologija i alata koji se koriste u pogrešne svrhe - ostaje pitanje koje se samo nameće: ko je taj koji pritiska okidač i kompanije širom sveta zavija u crno?

Kada se popularna kultura i marketing sklone u stranu, odgovor je jednostavniji nego što se to obično misli. Većinu organizacija ne napadaju državne službe, elitni hakeri ili geopolitički akteri. Napada ih tržište. Napada ih ekosistem u kojem su svi potrebni alati dostupni, procedure standardizovane, a pristup se prodaje kao roba. Napadač je najčešće poslednja karika u lancu - operativac koji koristi gotove resurse i prati unapred definisane procedure.

U tom lancu učestvuju različiti akteri. Neko prikuplja podatke kroz OSINT koji kasnije cirkulišu na tržištu. Neko je ostvario inicijalni pristup mreži i prodao ga dalje. Neko je iskoristio RaaS platformu i pokrenuo napad. Retko ko od njih ima kontrolu nad celim mehanizmom, a još ređe lični odnos prema žrtvi. Napadi najčešće nisu poruka, osveta ili demonstracija moći, već još jedna transakcija u nizu. Na LockBit sajtu za objavu podataka nalazi se preko 2000 kompanija širom sveta, od pekare u Peruu do kliničkog centra negde u Evropi.

Jer, za napadače smo svi potencijalna meta.

Većina incidenata ne počinje spektakularno, već banalno. Preko slabe lozinke. Kroz neažuran servis. Zbog pogrešne konfiguracije ili informacije koja se činila bezazlenom. Kroz ranjivost koju su zatrpali drugi prioriteti. U takvom okruženju, napadač ne mora da bude naročito vešt. Dovoljno je da bude uporan, strpljiv i da koristi ono što već postoji.

Kada se pogleda profil tih ljudi, razlika između mita i stvarnosti postaje još očiglednija. Napad najčešće ne dolazi od nekoga obdarenog izvanrednim intelektom, već od nekoga ko je u određenom trenutku odlučio da pređe crvenu liniju. Ta odluka retko je vođena željom za destrukcijom ili haosom. U najvećem broju slučajeva, motivi su daleko prizemniji i duboko ukorenjeni u ekonomskim, društvenim i psihološkim okolnostima.

Finansijska dobit je dominantan pokretač. U regionima sa slabijom ekonomijom, ograničenim tržištem rada i niskim IT platama, sajber kriminal postaje racionalna alternativa. Istočna Evropa, delovi Jugoistočne Azije i pojedini regioni Afrike često se navode kao žarišta ne zato što su ljudi tamo skloniji kriminalu, već zato što postoji spoj tehničkog znanja, širokog pristupa internetu i slabih mehanizama kontrole i pravnog gonjenja. U nekim slučajevima, kriminalne grupe deluju iz okruženja u kojima se njihova aktivnost prećutno toleriše, sve dok ne ugrožava lokalne interese. To su sigurne luke za moderne pirate iz kojih se globalni napadi sprovode gotovo bez posledica.

Psihološki profil takođe odstupa od stereotipa. To najčešće nisu socijalno izolovani pojedinci, već tehnički radoznali ljudi koji postepeno ulaze u svet sajber kriminala. Alati za anonimizaciju i rad na daljinu stvaraju distancu između napadača i žrtve. Posledice ostaju apstraktne, a etička granica se pomera postepeno, sve dok ne nestane. Mnogi od njih nemaju kriminalnu prošlost u klasičnom smislu. Njihov ulazak u sajber kriminal rezultat je niza malih, racionalnih odluka u okruženju koje takvo ponašanje nagrađuje.

U tom smislu, napadač nije izuzetak niti anomalija. On je proizvod konteksta globalnog digitalnog prostora u kojem su svi resursi na raspolaganju, gde je odgovornost poprilično razuđena, a rizik daleko manji od potencijalne nagrade. Razumevanje te realnosti ukazuje na to da se većina napada ne dešava zbog nečije genijalnosti, već zbog okruženja koje to omogućava. Ili, kako bi se šeretski reklo – jer, tako su u mogućnosti.

I za kraj, reč dve o pravim hakerima i stvarnoj ulozi znanja

Bilo bi nepošteno završiti ovu priču bez osvrta na one zbog kojih je pojam „haker" uopšte i nastao i dobio smisao. Pravi hakeri i dalje postoje. Postojali su i pre kriminalnih modela, pre dark veba i pre industrijalizacije napada. Njihova uloga nikada nije bila destrukcija, već razumevanje kako sistemi rade, gde greše i zašto.

Za razliku od kriminalnog ekosistema koji se oslanja na ponovljivost, automatizaciju i poznate ranjivosti, pravi hakeri deluju iz radoznalosti i potrebe da se tehnologija učini boljom. Oni pronalaze greške u operativnim sistemima, protokolima, hardveru i aplikacijama. Upozoravaju proizvođače na kritične ranjivosti, često i pre nego što postanu javno poznate i zloupotrebljene. Pokazuju gde je savremena tehnologija krhka, gde su pretpostavke pogrešne i gde bezbednost postoji samo na papiru.

Važna razlika u odnosu na prošlost jeste što danas ti ljudi više nisu nužno na marginama društva. Umesto anonimnog delovanja i sukoba sa sistemom, njihova uloga je institucionalizovana. Bug bounty programi, akademska istraživanja, nezavisni bezbednosni timovi, fondacije i otvorene zajednice omogućili su da se znanje kanališe u konstruktivan društveni angažman. Mnogi od najvažnijih bezbednosnih pomaka poslednjih decenija nisu došli iz zalaganja velikih korporacija, već iz rada pojedinaca i malih timova koji su ukazivali na probleme koje proizvođači nisu želeli da vide.

U kontekstu sajber kriminala, njihova uloga je presudna. Dok jedni brane sisteme i jure napadače, drugi unapred razbijaju iluzije i pokazuju da se bezbednost ne podrazumeva. Da kompleksnost ne znači otpornost i da nove tehnologije donose i nove slabosti. Upravo zahvaljujući njihovom radu, mnoge ranjivosti se krpe pre nego što kriminalne infrastrukture mogu da ih iskoriste.

Zato je važno napraviti jasnu razliku. Savremeni sajber kriminal ne pokreću genijalci, već tržište. Sa njime ne upravljaju pioniri tehnologija, već operativci koji koriste tuđa dostignuća u pogrešne svrhe. Pravi hakeri stoje na drugoj strani tog procesa - kao korektiv, protuteža i podsetnik da tehnologije bez razumevanja mogu biti opasne i po one koji ih grade, kao i po one koji je koriste.

U tom smislu, oni nisu romantični izuzetak i relikt slavne prošlosti. Pravi hakeri su jedan od razloga zašto digitalno društvo, uprkos svemu, i dalje napreduje. I zašto odbrana od sajber kriminala nije samo pitanje alata i procedura, već i kulture, znanja i spremnosti da se suočimo sa sopstvenim ranjivostima.