Povestea uneia dintre cele mai DISTRUGĂTOARE AREME cibernetice din istoria modernă

Una dintre aceste grupări poartă numele de Sandworm și este responsabilă pentru NotPetya, una dintre cele mai distrugătoare arme cibernetice din istoria modernă.   Henrik Jensen, un administrator IT de la firma Maersk  unul dintre cei mai mari operatori maritimi din lume, cu 76 de porturi și peste 800 de nave  pregătea un update software pentru cei 80.000 de angajați ai companiei când calculatorul său s-a resetat, aparent din senin. Jensen a întors capul, curios dacă și alți colegi se confruntă cu aceeași problemă, și a văzut că toate ecranele afișează același mesaj. Jensen și colegii săi aveau să descopere, în doar câteva momente, că stațiile lor de lucru erau blocate în mod ireversibil, după cum relatează un articol al publicației americane Wired.

Dimensiunea crizei devenea evidentă în toate departamentele Maersk; în mai puțin de treizeci de minute, angajații împânziseră holurile, alergând dintr-o cameră în alta și avertizându-și colegii să se deconecteze de la rețeaua principală înainte ca unitățile să fie afectate. În același timp, zeci de tehnicieni dădeau buzna în săli de conferințe și deconectau toate laptopurile.

Deconectarea întregii rețele globale a Maersk a durat ceva mai mult de două ore. La finalul procesului, toți angajații primiseră ordin să închidă calculatorul sau laptopul și să îl lase pe birou.

În jurul orei 15, un director al companiei a intrat în biroul în care se aflau Jensen și colegii săi și le-a spus să se ducă acasă. Rețeaua era atât de puternic afectată, încât nici cei de la departamentul IT nu puteau face nimic.

Rădăcinile unui atac devastator

În cartierul Podil din Kiev, pe o stradă din apropierea unei autostrăzi, își desfășura activitatea o mică afacere de familie. Compania de software Linkos Group realiza actualizări pentru un program de contabilitate extrem de popular în rândul cetățenilor. Serverele deținute de companie, prin care se lansau respectivele actualizări, au fost punctul de plecare a celui mai devastator atac cibernetic din istorie.

Codul dezvoltat de cei de la Sandworm a avut ca scop principal răspândirea rapidă. „Până în prezent, NotPetya rămâne malware-ul (codul malițios – n.red.) cu cea mai rapidă viteză de propagare“, le-a explicat celor de la Wired Craig Williams, director în cadrul Cisco, una dintre primele companii care au analizat NotPetya. „În secunda în care ai realizat ce se întâmplă, datele tale sunt deja pierdute.“

NotPetya este un tip de virus care cere o anumită sumă de bani, amenințând că în caz contrar va șterge anumite informații sau documente aflate pe serverele companiilor vizate.

Creatorii NotPetya s-au folosit de două erori descoperite anterior: în primul rând, ei au utilizat EternalBlue, un program realizat de Agenția Națională de Securitate a Statelor Unite (NSA) și care ajunsese în mâinile publicului în urma unei breșe. EternalBlue exploata vulnerabilitățile dintr-un protocol Windows, permițând hackerilor să facă orice cu datele dintr-un calculator după instalarea unui anumit program. În al doilea rând, cei de la Sandworm au folosit Mimikatz, un soft creat cu scopul de a scoate în evidență mai multe probleme ale sistemelor de operare.

Microsoft lansase o actualizare de Windows înainte de atac, care bloca accesul prin EternalBlue, dar combinarea celor două softuri le-a permis hackerilor să dezvolte un malware aproape imposibil de oprit.
NotPetya își luase numele de la un alt program malițios, Petya, care funcționa pe același sistem. Cei de la Sandworm nu aveau însă intenția de a da înapoi accesul: orice încercare de a plăti pentru răscumpărarea datelor era inutilă.

Lansarea NotPetya a fost un act clar de terorism cibernetic, unul cu efecte mult mai grave decât anticipaseră, probabil, creatorii săi. În câteva ore de la apariția sa, codul s-a răspândit în toată Ucraina și în mii de alte calculatoare din lumea întreagă. A blocat activitatea a sute de multinaționale precum Maersk, TNT Express, gigantul farmaceutic Merck sau compania franceză de construcții Saint-Gobain. Malware-ul a ajuns chiar și înapoi în Rusia, afectând compania petrolieră de stat Rosneft. Fiecare incident a generat costuri de milioane de dolari.

Pagubele totale s-au ridicat la peste 10 miliarde de dolari, potrivit unui calcul al Casei Albe confirmat de reprezentanți ai Departamentului de Securitate Internă.

Pentru a înțelege amploarea atacului cu NotPetya, este utilă o comparație cu WannaCry. Sute de mii de terminale din companii și instituții publice din întreaga lume au fost lovite în luna mai 2017 de amenințarea WannaCry, care folosea o vulnerabilitate prezentă în majoritatea versiunilor sistemului de operare Windows. Atacatorii au exploatat aceeași vulnerabilitate (EternalBlue) care ar fi fost folosită în scopuri de spionaj de către agenții guvernamentale pentru a livra victimelor diverse amenințări informatice. Incidentul a fost mult mai puternic mediatizat, deși pagubele totale au fost de aproximativ 4-5 miliarde de dolari.

„Deși nu vorbim de pierderi de vieți, NotPetya a fost echivalentul folosirii unei bombe nucleare pentru a obține o mică victorie tactică“, a spus Tom Bossert, expert în securitate cibernetică și care ocupa, la momentul atacului, funcția de consilier al președintelui american Donald Trump.
Ucraina a fost aproape complet paralizată de atac: NotPetya a lovit patru spitale, șase furnizori de energie electrică, două aeroporturi, 22 de bănci, ATM-uri, sisteme de plată cu cardul și majoritatea agențiilor guvernamentale. „Sistemul de stat era mort“, a descris incidentul Volodimir Omelyan, ministrul ucrainean pentru infrastructură.

Potrivit unor oficiali din Ucraina, 10% din toate calculatoarele din țară au fost afectate de NotPetya.Ca urmare a incidentului, oficiali din SUA și Marea Britanie au anunțat că vor emite o alertă în legătură cu aceste atacuri cibernetice, considerându-le parte a unei campanii de spionaj care în viitor ar putea fi folosită pentru operațiuni ofensive. „Atunci când observăm astfel de activități cibernetice nocive, indiferent că vin din partea Kremlinului ori a altor entități statale negative, le respingem“, a declarat Rob Joyce, coordonatorul pentru securitate cibernetică al președinției SUA. Guvernele celor două țări le-au cerut victimelor atacurilor să semnaleze orice activitate dăunătoare, pentru a se înțelege mai bine impactul campaniei cibernetice.

Încă „nu avem o perspectivă completă asupra scopului atacurilor cibernetice“, a explicat Jeanette Manfra, un oficial din cadrul Departamentului pentru Securitatea Internă. „Ar putea fi poziționate softuri pentru a fi folosite în perioade tensionate“, a atras atenția și Ciaran Martin, directorul Centrului Național pentru Securitate Cubernetică al Marii Britanii, explicând că au fost vizate „milioane de computere“. Acesta a mai explicat că autoritățile monitorizează de un an aceste activități, subliniind că este vorba de o campanie amplă, care poate afecta „sisteme precum cele ale marilor companii ori birouri private“. Experții în antivirus sunt de părere că cel puțin 2.000 de atacuri au fost lansate împotriva rețelelor guvernului ucrainean și companiilor din Ucraina.

Theresa May l-a acuzat chiar pe președintele rus Vladimir Putin, la finalul anului trecut, că ar încerca să provoace un conflict între statele din Occident prin ingerințele în alegerile electorale, prin diseminarea de informații false și prin războiul cibernetic.
Rușii au negat însă că ar avea vreo responsabilitate pentru atacul NotPetya, argumentând că inclusiv instituții din Rusia au fost afectate. Purtătorul de cuvânt al Kremlinului, Dmitri Peskov, a declarat că Rusia neagă categoric acuzațiile oficialilor britanici privind responsabilitatea armatei ruse în atacul cibernetic. În cadrul unei conferințe telefonice cu reporterii, Peskov a afirmat că acuzațiile sunt nefondate și fac parte dintr-o campanie „rusofobă“ condusă în unele state occidentale. „Condamnăm astfel de acuzații, le considerăm nefondate, ele fiind parte din campania bazată pe ura față de Rusia“, a mai spus el.

La o săptămână după primul incident, poliția din Ucraina a ajuns la Linkos Group; autoritățile găsiseră ceea ce căutau, și anume serverele care au servit drept „pacient zero“ în atacul orchestrat de Sandworm.

A trecut mai bine de un an de la incidentul NotPetya, dar experții în securitate cibernetică nu au ajuns la un consens în ceea ce privește codul malițios și adevăratele intenții ale hackerilor. Firma de securitate ISSP, din Kiev, a înaintat teoria conform căreia NotPetya nu a fost lansat cu scopul de a distruge date, ci cu acela de a șterge urme. Hackerii ar fi avut acces la informații din mii de calculatoare câteva luni bune, iar lansarea malware-ului a reprezentat ocazia perfectă de a șterge orice dovadă în acest sens.

Toți cei care au studiat NotPetya sunt însă de acord cu un lucru: astfel de incidente ar putea avea loc din nou, și la o scară mai mare. Corporațiile globale au devenit interconectate, iar schimbul de informații este aproape imposibil de protejat.