Российские спецслужбы кибератакуют критически важные объекты инфраструктуры Украины

В декабре хакеры совершили против украинских облэнерго несколько мощных кибератак, способных вывести их из строя.

Накануне об это сообщило агентство Reuters. По данным издания, речь идет о Прикарпатьеоблэнерго и еще как минимум двух предприятиях.

Так, 23 декабря 2015 года большая часть Прикарпатья осталась без электроснабжения. Причина – вмешательство посторонних лиц в работу автоматической системы контроля и управления энергооборудованием с помощью вредоносного ПО BlackEnergy.

Служба безопасности Украины обвинила в кибератаке Россию, а Министерство энергетики и угольной промышленности создало специальную комиссию, которая должна была провести расследование

Есть вероятность, что атаковали облэнерго те же хакеры, которые раньше атаковали украинские телеканалы. Двумя месяцами ранее, 25 октября 2015 года в день местных выборов тот же вирус, который был использован против облэнерго, атаковал компьютерные сети телеканалов СТБ, 5 канала, ICTV, Украины, ATR и UBR.

Атака на компьютерную инфраструктуру телеканалов, по мнению эксперта привлеченного к расследованию одного из эпизодов, была осуществлена в результате многоступенчатой секретной инфекции информационных сетей.

Инструментом нападения стал новый очень сложный вирус-троян, который в качестве одной из своих подсистем использует root-kit BlackEnergy. Что это?

Первый детальный анализ BlackEnergy был опубликован компанией Arbor Networks еще в 2007 году. Именно тогда появилось это вредоносное ПО, а его "вторая" жизнь началась в 2014 году с выходом новой модификации.

В случае с телеканалами и энергокомпаниями злоумышленники при помощи BlackEnergy доставляли на компьютеры жертв специальный компонент KillDisk, специализирующийся на уничтожении файлов на диске.

Так после заражения компьютеров ряда украинских телеканалов вирус "уснул", а в день выборов 25 октября активировался и начал выводить из строя ПК. В частности, уничтожал системные файлы, после чего компьютер переставал загружаться

Причем атака была направлена конкретно против информационных сетей украинских телеканалов: внутри вируса был код, который пытался выяснить, какой компьютер он заразил, и относится ли этот компьютер к медиа-индустрии Украины.

Официально телеканалы не сообщали о данном инциденте. Но ЭП стало известно, что представитель одного из телеканалов обратился за помощью к специалистам по кибербезопасности компании SOC Prime. Они на своем сайте опубликовали первые результаты расследования.

Свои выводы об этом событии также опубликовала CERT-UA — специализированное структурное подразделение Государственного центра киберзащиты и противодействия киберугрозам Госслужбы специальной связи и защиты информации Украины.

В отчете CERT-UA, в частности, сказано, что угроза носит характер хорошо спланированного заказа с целью продемонстрировать способность нарушать работоспособность скомпрометированных корпоративных сетей СМИ с помощью такого инструмента хакеров, как Black Energy.

"24 и 25 октября 2015 (день выборов) на серверном оборудовании телеканала Х была зафиксирована атака в результате выхода из строя нескольких серверов. Некоторые телеканалы не публиковали и не разглашали дополнительные подробности, однако имеющиеся у нас данные свидетельствуют, что пострадала значительное количество видеоматериалов и другие виды информационных материалов", - говорится в отчете CERT-UA.

"Собственное расследование специалистов по безопасности телеканала Х показало наличие на пораженных серверах файлов с названиями: ololo.exe, trololo.exe и других", — говорится также в отчете.

Вероятно, вдохновленные частично успешной атакой на компьютерные системы телеканалов, злоумышленники решили нанести удар и по энергетической инфраструктуре Украины.

Эксперты по компьютерной безопасности считают, что по сложности атака на Прикатьеоблэнерго находится уровне атак спецслужб США на урановые центрифуги Ирана в 2009-2010 годах.

Тогда пять промышленных комплексов в Иране подверглись нападениям компьютерного червя Stuxnet. Он был разработан с целью выведения из строя центрифуг, на которых иранцы обогащают уран. Тогда Иран заявил, что центрифуги подверглись нападению, а ООН сообщила, что их работа была временно приостановлена.

По данным экспертов компьютерной безопасности, нападение на Прикарпатьеоблэнерго может стать первым случаем, когда посредством кибератаки удалось прекратить электроснабжение.