| Hackerské útoky na Ukrajinu | |
|---|---|
| Monitorování počítače infikovaného virem | |
| datum | 27. června 2017 |
| Místo |
nejprve Ukrajina později USA Rusko Polsko Francie Itálie Indie Německo Velká Británie Španělsko Estonsko Rumunsko |
| Výsledek | je blokována činnost státních a obchodních podniků, webových stránek, výkonných orgánů |
| Podezřelí | Rusko (podle aplikace Ukrajiny, USA, Spojeného království, Austrálie) |
Hackerské útoky na Ukrajinu jsou zaměřeny na rozsáhlé [1] [2] [3] hackerské útoky na sítě ukrajinských státních podniků, institucí, bank, médií a podobně, ke kterým došlo 27. června 2017 . V důsledku těchto útoků byla zablokována činnost takových podniků, jako je letiště Boryspil , Černobylská jaderná elektrárna , Ukrtelecom , Ukrposhta , Oschadbank , Ukrzaliznytsia a řada velkých komerčních podniků [4] [5] .
Webové stránky Kabinetu ministrů Ukrajiny [6] , televizní kanál Inter , mediální holding TRK Lux , který zahrnuje Channel 24, Radio Lux FM , Radio Maximum , různé online publikace a také webové stránky Městská rada Lvov , Státní správa města Kyjeva a Speciální komunikační služba Ukrajiny [7] .
Vysílání programů bylo zastaveno kanály " First Automobile " a TRK " Kyiv " .
Virová infekce začala distribucí aktualizace programu MEDoc dne 27. června 2017. Program MEDoc je hojně využíván pro ukládání účetních výkazů na Ukrajině [8] , podle specialistů na informační bezpečnost měla společnost v době infekce asi 400 000 klientů, což je asi 90 % všech organizací v zemi [9] [10 ] . Podle všeho byl aktualizační server kompromitován a byl použit pro primární distribuci malwaru [11] . K podobné infekci došlo 18. května 2017, kdy byla distribuovaná aplikace MEDoc infikována ransomwarem XData [12] .
Samotný ransomware byl založen na kódu dříve známého malwaru Petya z roku 2016, který od něj obdržel vlastní Petya.A. Jakmile se ransomware dostane do systému, využívá známou zranitelnost v protokolu EternalBlue SMB , aby se v systému uchytil, zašifruje obsah pevného disku, trvale zničí původní soubory a násilně restartuje počítač [13] [14] . Po restartu se uživateli zobrazí obrazovka s výzvou k převodu částky v bitcoinech , což je v té době ekvivalent 300 dolarů [15] [16] . Současně se virus pokouší vyhledat zranitelné počítače v místní síti a dále infikovat prostřednictvím zranitelnosti EternalBlue.
Navzdory poměrně vysoké úrovni implementace samotného viru však jeho vývojáři použili extrémně zranitelný a nespolehlivý způsob komunikace s oběťmi, což vyvolává dojem, že vydírání nebylo hlavním motivem [17] : všechny oběti jsou vyzvány k převodu bitcoinů v hodnotě 300 $ do peněženky autora viru a přeneste dlouhý kód zobrazený na obrazovce na zadanou e-mailovou adresu.
Poštovní služba, kde byla schránka útočníků registrována, ji zablokovala jen několik hodin po začátku útoku (a znemožnila tak obětem komunikovat s útočníky) a oznámila, že aktivně spolupracuje s německou Federální službou pro informační bezpečnost v vyšetřování této události [18] . To znamená, že platit výkupné nedává smysl, protože zaručeně nepřinese požadovaný výsledek [19] .
Nejprve kybernetická policie spekulovala [20] a specialisté na počítačovou bezpečnost společnosti Microsoft potvrdili, že útok začal ze systému automatické aktualizace programů MEdoc dne 27. června 2017 kolem 10:30 GMT (13:30 kybernetického času policie tvrdí, že útok začal v 10:30 kyjevského času) [21] . Vývojář programu MEDoc, IT Expert, zveřejnil na svém webu zprávu, v níž přiznal zdroj útoku, ale brzy ji odstranil. Následně byla zveřejněna nová zpráva, ve které společnost popírá jakýkoli podíl na šíření viru nebo hackování svých informačních systémů [22] .
Škodlivý účinek viru závisí na právech, která má jeho proces , a na tom, jaké procesy běží v operačním systému . Virus vypočítá jednoduchý hash názvů běžících procesů, a pokud jsou nalezeny předdefinované kódy, může se zastavit šíření nebo dokonce upustit od škodlivé akce.
Nejprve virus změní svůj spouštěcí kód Master Boot Record (MBR), nastaví náhodný časovač (nejméně 10, ale ne více než 60 minut) pro restart počítače a zničí všechny záznamy v systémových protokolech. Po načtení se díky změnám v MBR načte místo operačního systému virus, který pod rozhraním programu pro kontrolu integrity pevného disku Chkdsk vykreslí na obrazovku padělek . Zároveň je spuštěn proces šifrování dat v souborech z předem definovaného seznamu typů (je jich více než 60). Po dokončení šifrování se obrazovka změní na zprávu o úspěšném útoku požadující platbu výkupného.
Pro každý počítač virus vypočítá nový klíč symetrického šifrovacího algoritmu AES-128 , který zašifruje páry klíčů útočníků pomocí 800bitového veřejného klíče RSA a uloží jej na pevný disk.
V závislosti na získaných právech se virus pokusí vymazat Master Boot Record (MBR) a Volume Boot Record (VBR).
Necelé tři hodiny před začátkem hackerského útoku, 27. června v 8:15 ráno, vybuchlo v okrese Solomensky auto, které řídil velitel oddílu speciálních sil Hlavního zpravodajského ředitelství plukovník Maxim Shapoval . . Silným výbuchem na místě zemřel [23] .
Přibližně v 10:30 začala vlna stahování aktualizace programu MEDoc, který nesl kód virového programu. Během několika hodin virus zasáhl řadu vládních sítí.
Tajemník Rady národní bezpečnosti a obrany Ukrajiny Oleksandr Turčynov [24] předložil teorii, že tyto dvě události spolu souvisí a tvoří dvojitý ruský útok věnovaný Dni ústavy Ukrajiny.
Téměř současně s Ukrajinou přestaly v Rusku fungovat počítače Rosněft [25] , Bashneft [26] , což vedlo k zastavení těžby ropy na několika místech.
Ukázalo se však, že velké ruské podniky jsou proti šíření červa chráněny, ale nejsou dostatečně chráněny před infekcí (přesto, že je nepravděpodobné, že by program pro sestavování ukrajinských daňových výkazů využívaly) [27] .
Po Ukrajině a Rusku se online útoky začaly provádět ve Španělsku, Indii [28] , Irsku, Velké Británii [29] a dalších zemích a městech v EU a USA [30] . Podle McAfee bylo v USA zaznamenáno více infikovaných počítačů než na Ukrajině, nicméně antivirové statistiky ESET tvrdí, že více než 80 % zaznamenaných infekcí se odehrálo na Ukrajině.
Poté stavební dílny společnosti EhituseABC [31] ukončily svou činnost v Estonsku .
Během dne od začátku útoku obdrželo kybernetické policejní oddělení Ukrajiny více než 1000 zpráv o rušení provozu počítačových sítí, což vedlo k selháním v jejich práci. Z toho 43 firem oficiálně podalo stížnost na policii. K 28. červnu bylo zahájeno 23 trestních řízení ve věci neoprávněných zásahů do elektronických výpočetních systémů veřejných i soukromých institucí, organizací, podniků (článek 361 ukrajinského trestního zákoníku ). U dalších 47 skutečností se rozhoduje o vkládání informací do Jednotného registru přípravných vyšetřování [32] .
Ke dni 29. června 2017 se na Národní policii Ukrajiny obrátilo 1 508 právnických a fyzických osob s oznámením o blokování provozu počítačového vybavení pomocí šifrovacího viru. Z toho 178 se obrátilo na policii s oficiálními vyjádřeními. Zejména 152 organizací soukromého sektoru a 26 výzev z veřejného sektoru země. 115 takových skutečností je evidováno ve věstníku Jednotné evidence spáchaných trestných činů a jiných událostí. Řeší se otázka jejich právní kvalifikace. U 63 skutečností byly do ERDR zařazeny informace podle článku 361 trestního zákoníku Ukrajiny [33] .
Dále byli do vyšetřování zapojeni specialisté z odboru kontrarozvědné ochrany státních zájmů v oblasti informační bezpečnosti Bezpečnostní služby Ukrajiny . Byla organizována interakce s partnerskými orgány činnými v trestním řízení, speciálními službami cizích států a mezinárodními organizacemi specializujícími se na kybernetickou bezpečnost. Specialisté SBU ve spolupráci se specialisty z americké FBI , Britské národní kriminální agentury (NCA), Europolu a předních institucí kybernetické bezpečnosti přijímají koordinovaná společná opatření k lokalizaci šíření malwaru Petya A , aby konečně určili metody provádění této kyberteroristické akce s cílem stanovit zdroje útoků, jejich pachatele, organizátory a zákazníky [34] .
Vedoucí oddělení kybernetické policie Sergej Demidyuk řekl, že zástupci kybernetické policie šli do podniků, které oznámily útok viru. Poznamenal také, že spolupráce na odstraňování následků virových útoků může pokračovat na mezinárodní úrovni. Tisková tajemnice SBU Elena Gitlyanskaya navrhla, že útoky byly organizovány z území Ruska nebo z Donbasu [35] .
Podle poradce ministerstva vnitra Antona Geraščenka byl proti státu Ukrajina proveden masivní hackerský útok pomocí verze viru WannaCry upravené pro Ukrajinu – „cryptolocker“. Podle jeho názoru se takový útok připravoval minimálně měsíc. Konečným cílem útoku je destabilizace situace v ukrajinské ekonomice .
4. července 2017 bylo za účelem okamžitého zastavení šíření červa Petya přijato rozhodnutí o provedení prohlídek a zabavení softwaru a hardwaru společnosti, které sloužily k distribuci škodlivého softwaru. Prohlídky provedli zástupci oddělení kybernetické policie, vyšetřovatelé a za účasti Bezpečnostní služby Ukrajiny. Byly zabaveny pracovní počítače zaměstnanců a serverová zařízení, jejichž prostřednictvím byl software distribuován [36] .
Navzdory skutečnosti, že se virus zdá být běžným příkladem ransomwaru vytvořeného za účelem obohacení útočníků, řada výzkumníků navrhla, že ve skutečnosti tento mýtus slouží jako zástěrka pro rozsáhlý kybernetický útok jednoho státu proti druhému. Hlavním účelem viru tedy nemohlo být vydírání, ale zničení důležitých dat a narušení běžného provozu velkých veřejných i soukromých institucí [37] [38] .
Vzhledem k tomu, že všechny bitcoinové transakce jsou zcela veřejné, může kdokoli vidět statistiky převodů na majitele viru. Newyorský novinář a programátor Keith Collins si vytvořil účet na Twitteru , který se po každé transakci automaticky aktualizuje a zobrazuje aktuální stav účtu útočníka.
Od 14:00 kyjevského času 28. června útočník obdržel více než 10 000 dolarů.
Dne 28. června 2017 kabinet ministrů Ukrajiny oznámil, že rozsáhlý hackerský útok na firemní a vládní sítě byl zastaven [39] .
Dne 30. června oznámil tajemník Rady národní bezpečnosti a obrany Turčynov možnost kyberzločinců využívajících technologie Tor a VPN [40] . Začátkem července 2017 Bezpečnostní služba Ukrajiny oznámila zapojení ruských speciálních služeb do útoku pomocí viru Petya [41] .