State Treasury Shutdown або #Cybergeddon-UA v2.0: who is Mr.Robot?

Події останній днів, що відбувались навколо інформаційних систем Мінфіну та Дрежказначейства, ще раз прославили Україну черговим гучним кіберінцидентом який із впевненістю ввійде в підручники із кібербезпеки та презентації всіх полісімейкерів в галузі безп

Події останній днів, що відбувались навколо інформаційнихсистем Мінфіну та Держказначейства, ще раз прославили Україну черговим гучнимкіберінцидентом який із впевненістю ввійде в підручники із кібербезпеки тапрезентації всіх полісімейкерів в галузі безпеки.

У березні 2016 року мав нагоду вивчати основи інтернетдипломатії у AnnenbergSchool for Communication and Journalism Університету південної Каліфорніїде найбільш читаємий у Вашингтоні політолог, авто теорії «м’якої влади», тапрофесор Гарвардського університету Джозеф Най (JosephNye) у своїй презентації повідав важливість формування культурикібербезпеки на прикладі BlackEnergyShondown case, або випадку взлому системи управління подачі електроенергіїу Прикарпаття обленерго. Вже немає нічого дивного в тому, що увагу до випадків проникненнядо інформаційних систем притділяють не тільки експерти із ІТ, але і особи, щодолучені до формування стратегії розвитку держави, системи державного управліннята колективної безпеки. В тім того, навіть у останній роботі з міжнароднихвідносин Генрі КісінджераWorld Order, у розділ, що присвячений розвитку технологій та їх впливу насвітовий порядок поряд із аналізом сучасних проблем із ядерним озброєннямнаводиться порівняльний аналіз впливу кібер технологій на світовий порядок.Тобто, сучасні супердержави питання кібезброї та кібебезпеки вже приділяютьуваги на рівні із поширенню та використанню ядерної зброї.

Так, що ж трапилось в Мінфіні та Держказначействі і якіуроки для світової спільноти дасть цей інцидент. З інформації доступної ізвідкритих джерел, форумів та обговорень у соцмережах події відбувались у такійпослідовності.

Вранці 6 грудня, деякі працівники Держказначействапомітили дивну роботу своїх комп’ютерів, деякі засисали, переставаливідповідати на пристрої введення та перезагружатись. Після чого інформація надиску С комп’ютера, із операційною системою та робочими документами виявлявсязнищено. Це пов’язують із зараженням комітетів мережі Держказначейства вірусомякий задіював зловмисний алгоритм KillDisk, мало того антивірусне забезпечення ESETv5 встановлене в казначействі виявилось неефективним. Поряд з цим, зловмисникиотримали доступ до адміністративної панелі управління доменним ім’ям веб сайту казначействаі змінивши налаштування DNS перенаправили всіх користувачів на сайт www.whoismrrobot.com який присвячений відомому серіалупро хакера-«Робіг Гуда» який рятує світ від змови інтернет корпорації.

Оцінивши критичність ситуації цілком логічно, щоадміністратори систем держказначейства та мінфіну прийняли рішення відключитисистеми від інтернету та дали команду всім працівникам негайно вимкнути всю комп’ютернутехніку. Саме про це писали працівники ДКУ на форумах, що комп’ютеривимкнені і персонал відпущених додому. За не прямими ознаками можна такожстверджувати, що була зупинена система обслуговування бюджету та платежів АС «Казна»,оскільки, інформаційна система ДФС не дозволяла реєструвати податкові накладнічерез відсутність інформації про зарахування коштів на спецрахункидержказначейства. Таким чином, буда зупинена робота всіх бюджетів, зупиненіплатежі, що є кібергеддоном системи державних фінансів, який тривав 2 доби. За інформацією,яка надійшла 9 грудня, роботу веб-сайтів відновлено, почали проходити платежі,хоча не правда, робота не всіх місцевих бюджетів та територіальних відділеньДКУ відновлено.

Отже, можна стверджувати, що зловмисники отримали доступудо значної кількості комп’ютерів у мережі держказначейства, їм вдалосьперехопити паролі доступу до управління веб сайтом, а також запустити програмипо самознищенню інформації на персональних комп’ютерах працівників служби.Цілком ймовірно, що такі дії не могли відбутись швидко, і як з випадком  Прикарпаттяобенерго, зловмисники готувались заздалегідь.Крім того, до їх рук могла потрапити інформація з обмеженим доступом, щовимагає ретельної перевірки системи, та виявлення переліку скомпрометованихданих.

Представники уряду у офіційних заявах, а також значна кількістьекспертів долучених до податкової реформи воліли пов’язати те, що відбулось ізспробою голови ДФС зберегти сервери податкової під своїм контролем дискредитуючиМінфін тим, що він навіть веб сайту не може дати ладу, бо саме в цей момент парламентмав розглядати законопроект присвячений податковій реформі. Але, такі заяви, цілкомймовірно є далекими від істини. 8 грудня уряд виділив також із резервного фонду80 млн.грн. для модернізації інформаційних систем Мінфіну та ДКУ, звісно пізно,але можливо це дозволить їм впровадити сучасні хмарні технології, що унеможливлятьповторення ситуації.

Уваги потребує інформація ФСБ РФ, яка 2 грудня на своємусайті розмістила повідомленняпро те, що іноземними спецслужбами готується кібератака на фінансову інфраструктуруРФ починаючи з 5 грудня. Пізніше, 9 грудня Ростелеком відзвітувавпро успішно відбиту DDoS атаку яка мала місце 5 грудня. Це сталось за день доінциденту в Україні, чи пов’язані ці інциденти і хто ж наслідив удержказначейству має показати детальний звіт який сподіваємось скоро будеоприлюднено, що є вкрай необхідним через ризик повторення ситуації в іншихдержавних органах.