| Atacurile hackerilor asupra Ucrainei | |
|---|---|
| Monitorul unui computer infectat cu un virus | |
| data | 27 iunie 2017 |
| Loc |
mai întâi Ucraina mai târziu SUA Rusia Polonia Franţa Italia India Germania Marea Britanie Spania Estonia România |
| Rezultat | sunt blocate activitățile întreprinderilor de stat și comerciale, site-urilor web, autorităților executive |
| Suspect(i) | Rusia (conform aplicației Ucrainei, SUA, Marea Britanie, Australia) |
Atacurile hackerilor asupra Ucrainei sunt vizate pe scară largă [1] [2] [3] atacuri hackeri asupra rețelelor întreprinderilor de stat, instituțiilor, băncilor, mass-media și altele asemenea ucrainene, care au avut loc pe 27 iunie 2017 . Ca urmare a acestor atacuri, activitățile unor întreprinderi precum Aeroportul Boryspil , Centrala nucleară de la Cernobîl , Ukrtelecom , Ukrposhta , Oschadbank , Ukrzaliznytsia și o serie de mari întreprinderi comerciale [4] [5] au fost blocate .
Site-ul web al Cabinetului de Miniștri al Ucrainei [6] , canalul de televiziune Inter , holdingul media TRK Lux , care include Canalul 24, Radio Lux FM , Radio Maximum , diverse publicații online, precum și site-uri web Consiliul orașului Lviv , Administrația de stat a orașului Kiev și Serviciul de Comunicații Speciale al Ucrainei [7] .
Emisiile de programe au fost oprite de canalele „ Primul Automobile ” și TRK „Kiev” .
Infecția cu virus a început prin distribuirea unei actualizări pentru programul MEDoc pe 27 iunie 2017. Programul MEDoc este utilizat pe scară largă pentru depunerea situațiilor financiare în Ucraina [8] , conform specialiștilor în securitatea informațiilor, compania avea aproximativ 400.000 de clienți la momentul infectării, ceea ce reprezintă aproximativ 90% din toate organizațiile din țară [9] [10 ] ] . Aparent, serverul de actualizare a fost compromis și a fost folosit pentru distribuția primară a malware-ului [11] . O infecție similară a avut loc pe 18 mai 2017, când o aplicație MEDoc distribuită a fost infectată cu ransomware-ul XData [12] .
Ransomware-ul în sine s-a bazat pe codul malware-ului cunoscut anterior Petya din 2016, primind de la acesta propriul său Petya.A. Odată ajuns în sistem, ransomware-ul folosește o vulnerabilitate cunoscută în protocolul EternalBlue SMB pentru a obține un punct de sprijin în sistem, criptează conținutul hard diskului, distruge definitiv fișierele originale și repornește forțat computerul [13] [14] . După repornire, utilizatorului i se prezintă un ecran care îi cere să transfere suma în bitcoini , echivalentă la acel moment cu 300 de dolari [15] [16] . În același timp, virusul încearcă să caute computere vulnerabile în rețeaua locală și infectează în continuare prin vulnerabilitatea EternalBlue.
Cu toate acestea, în ciuda nivelului destul de ridicat de implementare a virusului în sine, dezvoltatorii săi au folosit o modalitate extrem de vulnerabilă și nesigură de a comunica cu victimele, ceea ce dă impresia că extorcarea nu a fost motivul principal [17] : toate victimele sunt invitate să transfere bitcoini. în valoare de 300 USD în portofelul autorului virusului și transferați codul lung afișat pe ecran la adresa de e-mail specificată.
Serviciul poștal, unde era înregistrată căsuța poștală a atacatorilor, a blocat-o la doar câteva ore după începerea atacului (făcând astfel imposibilă comunicarea victimelor cu atacatorii) și a raportat că lucrează activ cu Serviciul Federal de Securitate a Informațiilor din Germania în investigarea acestui eveniment [18] . Adică, plata unei răscumpărare nu are sens, deoarece se garantează că nu va da rezultatul dorit [19] .
La început, poliția cibernetică a speculat [20] , iar specialiștii în securitate informatică Microsoft au confirmat că atacul a început din sistemul de actualizare automată a programului MEdoc pe 27 iunie 2017, în jurul orei 10:30 GMT (13:30 ora Kiev, cibernetica). poliția susține că atacul a început la 10:30 ora Kiev) [21] . Dezvoltatorul programului MEDoc, IT Expert, a postat pe site-ul său un mesaj în care a recunoscut sursa atacului, dar a eliminat-o curând. Ulterior, a fost postat un nou mesaj în care compania a negat orice implicare în răspândirea virusului sau piratarea sistemelor sale informatice [22] .
Efectul dăunător al unui virus depinde de drepturile pe care le are procesul său și de ce procese rulează în sistemul de operare . Virusul calculează un simplu hash al numelor proceselor care rulează și, dacă se găsesc coduri predefinite, se poate opri răspândirea sau chiar abandona acțiunea dăunătoare.
În primul rând, virusul modifică Master Boot Record (MBR) cu codul său de lansare, setează un cronometru aleatoriu (cel puțin 10, dar nu mai mult de 60 de minute) pentru a reporni computerul și distruge toate intrările din jurnalele de sistem. După încărcare, datorită modificărilor MBR, în locul sistemului de operare este încărcat un virus, care atrage un fals pe ecran sub interfața programului de verificare a integrității hard diskului Chkdsk . În același timp, începe procesul de criptare a datelor în fișiere dintr-o listă predefinită de tipuri (există mai mult de 60). După finalizarea criptării, ecranul se transformă într-un mesaj de atac de succes care solicită o plată de răscumpărare.
Pentru fiecare computer, virusul calculează o nouă cheie a algoritmului de criptare simetrică AES-128 , care criptează perechile de chei ale atacatorilor cu o cheie publică RSA de 800 de biți și o salvează pe hard disk.
În funcție de drepturile obținute, virusul încearcă să ștergă Master Boot Record (MBR) și Volume Boot Record (VBR).
Cu mai puțin de trei ore înainte de începerea atacului hackerilor, pe 27 iunie , la ora 8:15 dimineața, o mașină a explodat în districtul Solomensky, condusă de comandantul unui detașament al forțelor speciale din Direcția Principală de Informații, colonelul Maxim Shapoval. . Dintr-o explozie puternică, a murit pe loc [23] .
La aproximativ 10:30 a.m., un val de descărcări a început pentru a actualiza programul MEDoc, care purta codul programului virus. În câteva ore, virusul a lovit o serie de rețele guvernamentale.
Secretarul Consiliului de Securitate și Apărare Națională al Ucrainei, Oleksandr Turchynov [24] a prezentat teoria că aceste două evenimente sunt legate și au constituit un dublu atac rusesc dedicat Zilei Constituției Ucrainei.
Aproape simultan cu Ucraina, calculatoarele lui Rosneft [25] , Bashneft [26] au încetat să mai funcționeze în Rusia , ceea ce a dus la oprirea producției de petrol la mai multe locații.
Cu toate acestea, marile întreprinderi rusești s-au dovedit a fi protejate împotriva răspândirii viermelui, dar nu suficient de protejate de infecția cu acesta (în ciuda faptului că este puțin probabil să folosească programul pentru compilarea rapoartelor fiscale ucrainene) [27] .
În urma Ucrainei și Rusiei, atacurile au început să fie efectuate online în Spania, India [28] , Irlanda, Marea Britanie [29] și alte țări și orașe din UE și SUA [30] . Potrivit McAfee , în SUA au fost înregistrate mai multe computere infectate decât în Ucraina, cu toate acestea, statisticile ESET antivirus susțin că mai mult de 80% dintre infecțiile înregistrate au avut loc în Ucraina.
După aceea, atelierele de construcții ale companiei EhituseABC [31] și-au oprit activitatea în Estonia .
În cursul zilei de la începutul atacului, Departamentul de poliție cibernetică al Ucrainei a primit peste 1.000 de mesaje despre interferența în funcționarea rețelelor de calculatoare, ceea ce a dus la eșecuri în activitatea lor. Dintre acestea, 43 de companii au depus oficial plângeri la poliție. La data de 28 iunie au fost inițiate 23 de procese penale pe faptele de imixtiune neautorizată în sistemele electronice de calcul atât ale instituțiilor, organizațiilor, întreprinderilor publice, cât și private (articolul 361 din Codul penal al Ucrainei ). Pentru alte 47 de fapte este în curs de soluționare problema introducerii informațiilor în Registrul Unificat de Investigații Prealabile [32] .
Începând cu 29 iunie 2017, 1.508 de persoane juridice și persoane fizice au depus la Poliția Națională a Ucrainei cu sesizări de blocare a funcționării echipamentelor informatice cu ajutorul unui virus de criptare. Dintre aceștia, 178 au apelat la poliție cu declarații oficiale. În special, 152 de organizații din sectorul privat și 26 de apeluri din sectorul public al țării. 115 astfel de fapte sunt înregistrate în jurnalul Registrului unificat al încălcărilor penale comise și al altor evenimente. Problema calificării lor juridice este în curs de rezolvare. Pentru 63 de fapte, informații au fost incluse în ERDR în temeiul articolului 361 din Codul penal al Ucrainei [33] .
În plus, în anchetă au fost implicați specialiști de la Departamentul de Contrainformații Protecția Intereselor Statului în Sfera Securității Informaționale al Serviciului de Securitate al Ucrainei . Interacțiunea a fost organizată cu agenții de aplicare a legii partenere, servicii speciale ale statelor străine și organizații internaționale specializate în securitate cibernetică. Specialiștii SBU, în cooperare cu specialiști de la FBI al SUA , Agenția Națională a Crimei din Marea Britanie (NCA), Europol , precum și instituții de top de securitate cibernetică, iau măsuri comune coordonate pentru a localiza răspândirea malware Petya A , pentru a determina în cele din urmă metodele de implementarea acestei acțiuni de terorism cibernetic, pentru a stabili sursele de atac, autorii acesteia, organizatorii și clienții [34] .
Șeful Departamentului de poliție cibernetică, Serghei Demidyuk, a spus că reprezentanții poliției cibernetice au mers la întreprinderile care au anunțat atacul virusului. El a menționat, de asemenea, că cooperarea pentru eliminarea consecințelor atacurilor virale poate continua la nivel internațional. Secretarul de presă al SBU , Elena Gitlyanskaya, a sugerat că atacurile au fost organizate de pe teritoriul Rusiei sau din Donbass [35] .
Potrivit consilierului Ministerului Afacerilor Interne Anton Gerashchenko , un atac masiv al hackerilor a fost efectuat împotriva statului Ucrainei folosind o versiune a virusului WannaCry modificată pentru Ucraina - „criptolocker”. În opinia sa, un astfel de atac se pregătea de cel puțin o lună. Scopul final al atacului este destabilizarea situației din economia ucraineană .
Pe 4 iulie 2017, pentru a opri imediat răspândirea viermelui Petya, a fost luată decizia de a efectua căutări și de a sechestra software-ul și hardware-ul companiei, care a fost folosit pentru distribuirea de software rău intenționat. Perchezițiile au fost efectuate de reprezentanți ai Departamentului de Poliție Cibernetică, anchetatori și cu participarea Serviciului de Securitate al Ucrainei. Au fost confiscate calculatoarele de lucru ale personalului și echipamentele server prin care era distribuit software-ul [36] .
În ciuda faptului că virusul pare a fi un exemplu comun de ransomware creat pentru a îmbogăți atacatorii, o serie de cercetători au sugerat că, de fapt, acest mit servește drept acoperire pentru un atac cibernetic la scară largă din partea unui stat împotriva altuia. Astfel, scopul principal al virusului nu putea fi extorcarea, ci distrugerea datelor importante și perturbarea funcționării normale a marilor instituții publice și private [37] [38] .
Datorită faptului că toate tranzacțiile Bitcoin sunt complet publice, oricine poate vedea statisticile transferurilor către proprietarul virusului. Jurnalistul și programatorul din New York Keith Collins a creat un cont de Twitter care se actualizează automat după fiecare tranzacție și arată starea curentă a contului atacatorului.
Începând cu ora 14:00, ora Kievului, pe 28 iunie, atacatorul a primit mai mult de 10.000 de dolari.
Pe 28 iunie 2017, Cabinetul de Miniștri al Ucrainei a anunțat că un atac pe scară largă a hackerilor asupra rețelelor corporative și guvernamentale a fost oprit [39] .
Pe 30 iunie, secretarul Consiliului Național de Securitate și Apărare Turchynov a anunțat posibilitatea ca infractorii cibernetici să utilizeze tehnologiile Tor și VPN [40] . La începutul lunii iulie 2017, Serviciul de Securitate al Ucrainei a anunțat implicarea serviciilor speciale ruse în atacul cu virusul Petya [41] .