| Hakkerihyökkäykset Ukrainaan | |
|---|---|
| Viruksen saastuttaman tietokoneen monitori | |
| päivämäärä | 27. kesäkuuta 2017 |
| Paikka |
ensin Ukraina myöhemmin USA Venäjä Puola Ranska Italia Intia Saksa Iso-Britannia Espanja Viro Romania |
| Tulos | valtion ja kaupallisten yritysten, verkkosivustojen, toimeenpanoviranomaisten toiminta on estetty |
| epäilty(t) | Venäjä (Ukrainan, USA:n, Iso-Britannian, Australian hakemuksen mukaan) |
Hakkerihyökkäykset Ukrainaan kohdistuvat laajamittaisiin [1] [2] [3] hakkerihyökkäuksiin Ukrainan valtion yritysten, laitosten, pankkien, median ja vastaavien verkkoihin, jotka tapahtuivat 27. kesäkuuta 2017 . Näiden hyökkäysten seurauksena tällaisten yritysten, kuten Boryspilin lentoaseman , Tšernobylin ydinvoimalan , Ukrtelecomin , Ukrposhtan , Oschadbankin , Ukrzaliznytsan ja useiden suurten kaupallisten yritysten [4] [5] toiminta estettiin .
Ukrainan ministerikabinetin verkkosivusto [6] , TV-kanava Inter , TRK Lux mediaholding , johon kuuluvat Channel 24, Radio Lux FM , Radio Maximum , erilaisia verkkojulkaisuja sekä verkkosivustoja Lvivin kaupunginvaltuusto , Kiovan kaupungin hallinto ja Ukrainan erityisviestintäpalvelu [7] .
Kanavat " First Automobile " ja TRK "Kyiv" pysäyttivät ohjelmien lähetykset .
Virustartunta alkoi MEDoc- ohjelman päivityksen jakelusta 27.6.2017 . MEDoc-ohjelmaa käytetään laajalti tilinpäätösten tekemiseen Ukrainassa [8] , tietoturvaasiantuntijoiden mukaan yrityksellä oli tartuntahetkellä noin 400 000 asiakasta, mikä on noin 90 % maan kaikista organisaatioista [9] [10 ] . Ilmeisesti päivityspalvelin vaarantui ja sitä käytettiin haittaohjelman ensisijaiseen jakeluun [11] . Samanlainen tartunta tapahtui 18. toukokuuta 2017, kun hajautettu MEDoc-sovellus sai tartunnan XData ransomwarella [12] .
Itse kiristysohjelma perustui aiemmin tunnetun 2016 haittaohjelman Petya koodiin, joka oli saanut sieltä oman Petya.A:n. Järjestelmään päästyään kiristysohjelma käyttää tunnettua EternalBlue SMB -protokollan haavoittuvuutta saadakseen jalansijaa järjestelmään, salaa kiintolevyn sisällön, tuhoaa pysyvästi alkuperäiset tiedostot ja käynnistää tietokoneen väkisin uudelleen [13] [14] . Uudelleenkäynnistyksen jälkeen käyttäjälle avautuu näyttö, jossa häntä pyydetään siirtämään summa bitcoineina , joka vastaa tuolloin 300 dollaria [15] [16] . Samaan aikaan virus yrittää etsiä haavoittuvia tietokoneita lähiverkosta ja tartuttaa edelleen EternalBlue-haavoittuvuuden kautta.
Huolimatta itse viruksen melko korkeasta toteutustasosta sen kehittäjät käyttivät kuitenkin erittäin haavoittuvaa ja epäluotettavaa tapaa kommunikoida uhrien kanssa, mikä antaa vaikutelman, että kiristys ei ollut päämotiivi [17] : kaikkia uhreja pyydetään siirtämään bitcoineja . 300 dollarin arvoinen viruksen tekijän lompakkoon ja siirrä näytöllä näkyvä pitkä koodi määritettyyn sähköpostiosoitteeseen.
Postipalvelu, johon hyökkääjien postilaatikko rekisteröitiin, esti sen vain muutaman tunnin kuluttua hyökkäyksen alkamisesta (mikä teki uhrien mahdottomaksi kommunikoida hyökkääjien kanssa) ja ilmoitti työskentelevänsä aktiivisesti Saksan liittovaltion tietoturvapalvelun kanssa tämän tapahtuman tutkiminen [18] . Eli lunnaiden maksaminen ei ole järkevää, koska se ei taatusti anna toivottua tulosta [19] .
Aluksi kyberpoliisi spekuloi [20] , ja Microsoftin tietoturvaasiantuntijat vahvistivat, että hyökkäys alkoi MEdocin automaattisesta ohjelmapäivitysjärjestelmästä 27. kesäkuuta 2017 noin klo 10.30 GMT (13.30 Kiovan aikaa, kyber poliisi väittää, että hyökkäys alkoi klo 10.30 Kiovan aikaa) [21] . MEDoc-ohjelman kehittäjä IT Expert julkaisi verkkosivuillaan viestin, jossa tunnusti hyökkäyksen lähteen, mutta poisti sen pian. Myöhemmin lähetettiin uusi viesti, jossa yritys kiisti osallisuutensa viruksen leviämiseen tai tietojärjestelmiensä hakkerointiin [22] .
Viruksen haitallinen vaikutus riippuu sen prosessin oikeuksista ja siitä, mitä prosesseja käyttöjärjestelmässä on käynnissä . Virus laskee yksinkertaisen tiivisteen käynnissä olevien prosessien nimistä, ja jos ennalta määritettyjä koodeja löytyy, se voi joko lopettaa leviämisen tai jopa luopua haitallisesta toiminnasta.
Ensinnäkin virus muuttaa Master Boot Record (MBR) käynnistyskoodillaan, asettaa satunnaisen ajastimen (vähintään 10, mutta enintään 60 minuuttia) käynnistämään tietokoneen uudelleen ja tuhoaa kaikki merkinnät järjestelmälokeista. Latauksen jälkeen MBR-muutosten ansiosta käyttöjärjestelmän sijaan ladataan virus, joka piirtää väärennöksen näytölle kiintolevyn eheyden tarkistusohjelman Chkdsk käyttöliittymän alle . Samalla käynnistetään tiedostojen tietojen salaus ennalta määritetystä tyyppiluettelosta (niitä on yli 60). Kun salaus on valmis, näyttö muuttuu onnistuneesta hyökkäysviestistä, jossa vaaditaan lunnaita.
Virus laskee jokaiselle tietokoneelle uuden symmetrisen AES-128- salausalgoritmin avaimen, joka salaa hyökkääjien avainparit 800-bittisellä julkisella RSA -avaimella ja tallentaa sen kiintolevylle.
Saatuista oikeuksista riippuen virus yrittää tyhjentää Master Boot Record (MBR) ja Volume Boot Record (VBR).
Alle kolme tuntia ennen hakkerihyökkäyksen alkua, 27. kesäkuuta , aamulla kello 8.15, auto räjähti Solomenskyn alueella, jota ajoi tiedustelupääosaston erikoisjoukkojen komentaja eversti Maxim Shapoval . . Voimakkaasta räjähdyksestä hän kuoli paikalla [23] .
Noin klo 10.30 latausaalto alkoi päivittää MEDoc-ohjelmaa, joka sisälsi virusohjelman koodin. Muutamassa tunnissa virus osui useisiin valtion verkostoihin.
Ukrainan kansallisen turvallisuus- ja puolustusneuvoston sihteeri Oleksandr Turchynov [24] esitti teorian, jonka mukaan nämä kaksi tapahtumaa liittyvät toisiinsa, ja muodostivat Venäjän kaksoishyökkäyksen, joka oli omistettu Ukrainan perustuslain päivälle.
Melkein samanaikaisesti Ukrainan kanssa Rosneftin [25] , Bashneftin [26] tietokoneet lakkasivat toimimasta Venäjällä , mikä johti öljyntuotannon pysähtymiseen useilla paikoilla.
Suuret venäläiset yritykset osoittautuivat kuitenkin suojatuiksi madon leviämiseltä, mutta eivät riittävästi sen tartunnalta (huolimatta siitä, että ne eivät todennäköisesti käyttäisi ohjelmaa Ukrainan veroraporttien laatimiseen) [27] .
Ukrainan ja Venäjän jälkeen hyökkäyksiä alettiin tehdä verkossa Espanjassa, Intiassa [28] , Irlannissa, Isossa-Britanniassa [29] sekä muissa EU:n ja USA:n maissa ja kaupungeissa [30] . McAfeen mukaan Yhdysvalloissa kirjattiin enemmän tartunnan saaneita tietokoneita kuin Ukrainassa, mutta ESETin virustorjuntatilastot väittävät, että yli 80 % rekisteröidyistä tartunnoista tapahtui Ukrainassa.
Sen jälkeen EhituseABC :n [31] rakennusliikkeet lopettivat toimintansa Virossa .
Päivän aikana hyökkäyksen alkamisesta Ukrainan kyberpoliisiosasto sai yli 1000 viestiä tietokoneverkkojen toiminnan häiriintymisestä, mikä johti epäonnistumiseen heidän työssään. Näistä 43 yritystä teki virallisen valituksen poliisille. Kesäkuun 28. päivään mennessä on aloitettu 23 rikosoikeudellista menettelyä, jotka koskivat sekä julkisten että yksityisten laitosten, organisaatioiden ja yritysten sähköisiin tietotekniikkajärjestelmiin liittyvää luvatonta puuttumista ( Ukrainan rikoslain 361 artikla ). Toisen 47 seikan osalta ratkaistaan kysymys tietojen kirjaamisesta yhtenäiseen esitutkintarekisteriin [32] .
29.6.2017 mennessä 1 508 oikeushenkilöä ja yksityishenkilöä haki Ukrainan kansalliselle poliisille ilmoituksia tietokonelaitteiden toiminnan estämisestä salausviruksen avulla. Heistä 178 kääntyi poliisin puoleen virallisilla lausunnoilla. Erityisesti 152 yksityisen sektorin organisaatiota ja 26 vetoomusta maan julkiselta sektorilta. 115 tällaista seikkaa on rekisteröity rikosrikosten ja muiden tapahtumien yhtenäisen rekisterin päiväkirjaan. Heidän lainopillisen pätevyytensä kysymystä ollaan ratkaisemassa. Ukrainan rikoslain 361 artiklan mukaiset tiedot sisältyivät ERDR:ään 63 tosiseikan osalta [33] .
Lisäksi tutkimukseen osallistui asiantuntijoita Ukrainan turvallisuuspalvelun valtion etujen suojaamisesta tietoturvan alalla . Vuorovaikutusta järjestettiin yhteistyökumppaneiden lainvalvontaviranomaisten, ulkomaisten erityispalvelujen ja kyberturvallisuuteen erikoistuneiden kansainvälisten järjestöjen kanssa. SBU:n asiantuntijat yhteistyössä Yhdysvaltain FBI :n , Ison-Britannian kansallisen rikosviraston (NCA), Europolin sekä johtavien kyberturvallisuusinstituutioiden asiantuntijoiden kanssa toteuttavat koordinoituja yhteisiä toimenpiteitä Petya A -haittaohjelman leviämisen paikallistamiseksi määrittääkseen lopulta menetelmät tämän kyberterrorismin toimeenpanemiseksi hyökkäyslähteiden, sen tekijöiden, järjestäjien ja asiakkaiden tunnistamiseksi [34] .
Kyberpoliisiosaston päällikkö Sergei Demidyuk sanoi, että kyberpoliisin edustajat menivät yrityksiin, jotka ilmoittivat viruksen hyökkäyksestä. Hän totesi myös, että yhteistyö virushyökkäysten seurausten poistamiseksi voi jatkua kansainvälisellä tasolla. SBU : n lehdistösihteeri Elena Gitljanskaja ehdotti, että hyökkäykset järjestettiin Venäjän alueelta tai Donbassista [35] .
Sisäministeriön neuvonantajan Anton Gerashchenkon mukaan Ukrainan valtiota vastaan suoritettiin massiivinen hakkerihyökkäys käyttämällä WannaCry- viruksen Ukrainaa varten muunnettua versiota - "cryptolocker". Hänen mielestään tällaista hyökkäystä valmistellaan ainakin kuukauden ajan. Hyökkäyksen perimmäinen tavoite on horjuttaa Ukrainan talouden tilannetta .
Petya-madon leviämisen pysäyttämiseksi välittömästi 4.7.2017 tehtiin päätös tehdä hakuja ja takavarikoida yrityksen ohjelmistot ja laitteistot, joita käytettiin haittaohjelmien levittämiseen . Etsinnät suorittivat kyberpoliisiosaston edustajat, tutkijat ja Ukrainan turvallisuuspalvelun osallistuessa. Henkilökunnan työtietokoneet ja palvelinlaitteet, joiden kautta ohjelmistoa jaettiin [36] , takavarikoitiin .
Huolimatta siitä, että virus näyttää olevan yleinen esimerkki hyökkääjien rikastamiseksi luoduista kiristysohjelmista , useat tutkijat ovat ehdottaneet, että itse asiassa tämä myytti toimii suojana yhden valtion laajamittaiselle kyberhyökkäykselle toista vastaan. Siten viruksen päätarkoituksena ei voinut olla kiristys, vaan tärkeiden tietojen tuhoaminen ja suurten julkisten ja yksityisten instituutioiden normaalin toiminnan häiriintyminen [37] [38] .
Koska kaikki Bitcoin -tapahtumat ovat täysin julkisia, kuka tahansa näkee tilastot siirroista viruksen omistajalle. New Yorkin toimittaja ja ohjelmoija Keith Collins loi Twitter- tilin , joka päivittyy automaattisesti jokaisen tapahtuman jälkeen ja näyttää hyökkääjän tilin nykyisen tilan.
Klo 14.00 Kiovan aikaa 28. kesäkuuta hyökkääjä sai yli 10 000 dollaria.
Ukrainan ministerikabinetti ilmoitti 28. kesäkuuta 2017, että laajamittainen hakkerihyökkäys yritysten ja hallitusten verkkoihin oli pysäytetty [39] .
Kansallisen turvallisuus- ja puolustusneuvoston sihteeri Turchynov ilmoitti 30. kesäkuuta kyberrikollisten mahdollisuudesta käyttää Tor- ja VPN -tekniikoita [40] . Heinäkuun alussa 2017 Ukrainan turvallisuuspalvelu ilmoitti Venäjän erikoispalveluiden osallisuudesta Petya-virusta käyttävään hyökkäykseen [41] .