4 июля сотрудники департамента киберполиции совместно со специалистами СБУ и прокуратуры прекратили второй этап кибератаки Petya, сообщил министр внутренних дел Украины Арсен Аваков.
«Пик атаки планировался на 16:00. Стартовала атака в 13:40. До 15:00 киберполиция заблокировала рассылку и активацию вируса с серверов информационной системы М.Е. Doc. Атака была остановлена. Сервера изъяты, вместе со следами воздействия киберпреступников с очевидными источниками из Российской Федерации», - написал он в Facebook.
По словам Авакова, вирус Diskcoder.C – он же – ExPetr, PetrWrap, Petya, NotPetya – прикрытие крупнейшей кибератаки в истории Украины.
27 июня в 10:30 украинские государственные структуры и частные компании из-за уязвимости ПО «M.E.doc.» (Программное обеспечение для отчетности и документооборота) массово попали под удар вируса-шифровальщика (ransomware) Diskcoder.C (ExPetr, PetrWrap, Petya, NotPetya).
Для локализации масштабной киберугрозы, Нацполиция и СБУ создали оперативно-технический штаб, в который вошли представители самых известных украинских и иностранных компаний по кибербезопасности. По указанным фактам Национальной полицией Украине начато досудебное расследование.
«Экспертами было установлено, что поражение информационных систем украинских компаний произошло через обновление программного обеспечения предназначенного для отчетности и документооборота – «M.E.Doc», - подчеркнул Аваков.
По полученным данным (подтверждено правоохранительными органами иностранных государств и международными компаниями, осуществляющими деятельность в сфере информационной безопасности), злоумышленники осуществили несанкционированное вмешательство в работу одного из персональных компьютеров компании-разработчика указанного программного обеспечения - ООО «Интеллект-Сервис».
Получив доступ к исходным кодам, они в одно из обновлений программы встроили бэкдор (backdoor) - программу, которая устанавливала на компьютерах пользователей «M.E.Doc» несанкционированный удаленный доступ. Такое обновление программного обеспечения, вероятно, произошло еще 15 мая 2017 года.
По словам министра, представители компании-разработчика «M.E.Doc» были проинформированы о наличии уязвимостей в их системах антивирусными компаниями, но это было проигнорировано. Компания-производитель отрицает проблемы с безопасностью и назвала это «совпадением».
Вместе с тем установлено, что обнаруженный бэкдор по функционалу имеет возможность собирать коды ЕГРПОУ пораженных компаний, и отправлять их на удаленный сервер, загружать файлы, собирать информацию об операционной системе и идентификационные данные пользователей.
«Злоумышленники с целью сокрытия удачной кибероперации по массовому поражению компьютеров и несанкционированному сбору с них информации тем же самым способом, через последние обновления ПО «M.E.Doc» распространили модифицированный ransomware Petya», - пояснил Аваков.
Удаление и шифрование файлов операционных систем было совершено с целью удаления следов предварительной преступной деятельности (бэкдора), и отвлечения внимания путем имитации вымогательства денежных средств от пострадавших.
«Следствием прорабатывается версия, что настоящими целями были стратегически важные для государства компании, атаки на которые могли дестабилизировать ситуацию в стране.
Анализ обстоятельств заражения позволяет предположить, что лица, которые организовали нападения с использованием WannaCry, могут быть причастны к вирусной атаке на украинские государственные структуры и частные компании 27 июня, поскольку способы распространения и общее действие похожие на вирус-шифровальщик (ransomware) Diskcoder.C (ExPetr, PetrWrap, Petya, NotPetya)», - заявил глава МВД.
С целью немедленного прекращения бесконтрольного распространения Diskcoder.C (новая активность была зафиксирована 4 июля в 13:40), а также учитывая бездействие должностных лиц ООО «Интеллект-Сервис», которые, несмотря на неоднократные предупреждения антивирусных компаний и Департамента киберполиции, вводили в заблуждение своих пользователей, уверяя их в безопасности ПО «M.E.Doc» - принято решение о проведении обысков и изъятии программного и аппаратного обеспечения компании, с помощью которого распространялось шпионское програмное обеспечение.
Обыски проведены представителями Департамента киберполиции, следователями и при участии Службы безопасности Украины. Объектами осмотра являются рабочие компьютеры персонала и серверное оборудование, через которое распространялось программное обеспечение.
Департамент киберполиции настоятельно рекомендует всем пользователям сменить пароли и электронные цифровые подписи, в связи с тем, что эти данные могли быть скомпрометированы.
Напомним, 27 июня неизвестный вирус атаковал украинские банки, государственные и коммерческие предприятия.
В СБУ заявили, что поражение компьютерных сетей в Украине произошло с помощью ранее известного, но модифицированного вируса-вымогателя Petya.A.
