Atak NotPetya

Atak NotPetya (zwany również Petya) – seria cyberataków przeprowadzonych w czerwcu 2017 roku, wykonywanych za pomocą oprogramowania, które udawało ransomware, a tak naprawdę okazało się wiperem. Atak sparaliżował firmy i agencje rządowe na całym świecie.

Exploit EternalBlue

Szkodliwe oprogramowanie wykorzystujące exploit (program mający na celu wykorzystanie błędów w oprogramowaniu) o nazwie „EternalBlue” zostało opracowane przez amerykańską agencję bezpieczeństwa (NSA). Zostało ono wykorzystane przez grupę hakerów zwaną Shadow Brokers (TB). Udostępniła ona publicznie luki, które były ukierunkowane na zapory korporacyjne, oprogramowanie antywirusowe i produkty Microsoftu.

EternalBlue wykorzystał lukę w protokole Microsoft Server Message Block 1.0 (SMBv1), i dzięki niej zyskał dostęp do zdalnego wykonania dostarczonego kodu na komputerze ofiary (użycie Double Pulsar, czyli tak zwanego backdoor). DublePulsar zapewnił cyberprzestępcom wysoką kontrolę nad systemem komputerowym. Backdoor używa trzech poleceń: ping, kill i exec.

Mimikatz

Twórcy NotPetya posłużyli się złośliwym oprogramowaniem EternalBlue w połączeniu z Mimikatz, narzędziem open-source, które zbiera, a następnie wykorzystuje poświadczenia w systemach Windows. Mimikatz zwany jest „szwajcarskim scyzorykiem” hakerskim, ponieważ wykrada on dane, takie jak hasła, a co za tym idzie umożliwia całkowity dostęp do urządzenia. Od czasów jego stworzenia przez Benjamina Delpy liczba ataków wciąż rośnie.

Mimikatz jest możliwy do wykrycia, w tym celu trzeba monitorować procesy i interakcje związane z LSASS.exe. Proces ten zapewnia dostęp do pamięci, gdzie są przechowywane dane uwierzytelniające. Przeskoki między hostami w organizacji, uruchamianie procesów z konta innego użytkownika mogą świadczyć o zainfekowaniu systemu.

Mimo wydanej łatki na EthernalBlue przez firmę Windows po ataku WannaCry, oba narzędzia w połączeniu stworzyły kombinację nie do pokonania. Delpy powiedział „Możesz zainfekować komputery, które nie są załatane, a następnie możesz pobrać hasła z tych komputerów, aby zainfekować inne komputery, które są załatane”.

Geneza ataków

Seria ataków między 27–28 czerwca 2017 roku wpłynęła negatywnie na finanse wielu firm na całym świecie. Pierwsza o serii ataków poinformowała Ukraina oraz Maersk. Niektórzy twierdzą, że wydanie NotPetya było aktem cyberwojny, ponieważ malware w ciągu kilku godzin od ujawnienia się, dotarł do wielu punktów na świecie. Najbardziej ucierpiały na tym firmy takie jak: koncern farmaceutyczny Merck, spółka FedEx TNT Express, francuska firma budowlana Saint-Gobain, producent żywności Mondelez, Reckitt Benckiser oraz rosyjska spółka naftowa Rosnieft.

Ukraina

W Linkos Group tworzone aktualizacje i wszelakie poprawki do oprogramowania księgowego o nazwie MEDoc, systemu używanego przez każdą osobę, która rozliczała się z podatków lub prowadziła przedsiębiorstwo. MEDoc został opracowany przez Intellecte Service i obejmował około 400 tys. klientów, co stanowiło 90% krajowych firm. Późniejsze analizy przeprowadzone przez firmę Eset wskazały, że 80% wszystkich infekcji, było skierowanych pod kątem Ukrainy.

Atak nastąpił w przeddzień ukraińskiego Dnia Konstytucji. Puste biura dały pole do niekontrolowanego rozprzestrzeniania się cyberataku. Kontrowersje opinii publicznej budzi śmierć pułkownika Maksyma Shapovala, który został zamordowany poprzez podłożenie bomby samochodowej w Kijowie krótko przed rozpoczęciem ataku.

Ucierpiały ministerstwa, banki, systemy metra oraz przedsiębiorstwa państwowe takie jak: Ukrtelecom, Ukrposhta, Państwowy Bank Oszczędności Ukrainy, koleje ukraińskie, międzynarodowe lotnisko Boryspol, Antonov, Kyivstar, Vodafone Ukraine, lifecell, kanały telewizyjne STB, ICTV i ATR, UkrGasVydobuvannya (UGV), stacje benzynowe WOG, DTEK, epicentrum K, Międzynarodowe Lotnisko Kijów (Żuliany), Prominvestbank, Ukrsotsbank, KredoBank, Oshchadbank.

W późniejszym czasie Służby Bezpieczeństwa Ukrainy wskazały, że Ci sami sprawcy w grudniu 2016 roku zaatakowali system finansowy, urządzenia transportowe i energetyczne.

Maersk

27 czerwca przy biurku do rozwiązywania problemów IT zaczęli zbierać się zdezorientowani pracownicy. Na ich laptopach widniały wiadomości, między innymi o naprawie systemu plików na dysku C, bądź prosto z mostu z żądaniem okupu w wysokości 300$. W międzyczasie inny pracownik Maerska, przygotowywał aktualizację oprogramowania dla 80 tys. pracowników, kiedy jego komputer uruchomił się ponownie. Pomyślał, że pewnie ktoś z głównej siedziby IT w Anglii przerwał jego pracę, jednak wtedy dostrzegł migający ekran kolejnego komputera. Problem nie dotyczył tylko sprzętu w ich siedzibie. Ekrany migały na czarno, a pracownicy biegali przerażeni, krzycząc do innych kolegów z pracy, by czym prędzej odłączali sprzęt od sieci, gdyż każda minuta zwłoki może równać się z nieodwracalnymi zmianami. Odłączenie całej sieci Maersk zajęło dwie godziny. Po odłączeniu od sieci sprzętu, pracowników odesłano do domów, nikt z nich nie wiedział, kiedy powrót do pracy będzie możliwy. Gigant morski, odpowiedzialny za 76 portów, około 800 statków oraz prawie 1/5 zdolności przewozowej na świecie był sparaliżowany.

Kilka dni po fakcie wystąpienia NonPetya, pracownik z siedziby w Kopenhadze, który odpowiadał za aktualizację, został wysłany do biura w Anglii. Cel był jeden i nadrzędny – odbudowanie globalnej sieci Maerska. By ukazać potęgę tego krachu, wystarczy odnieść się do wspomnień pracownika, który opowiadał, że biuro w Anglii zostało przemienione na centrum przywracania. Okoliczne hotele zostały wynajęte na potrzeby firmy, gdyż zdarzało się, że pracownicy spali w biurze na podłodze. Tak bardzo była potrzebna intensywna praca około 600 osób (400 z Maerska oraz 200 z firmy doradczej Deloitte).

Sprzęt, na którym pracowano przed atakiem został skonfiskowany z obawy przeniesienia się wirusa na nowe systemy.

Technicy mieli problemy z lokalizacją kontrolera domeny. Z wielu możliwości oraz miejsc na świecie udało się zlokalizować jeden punkt w Ghanie. Sukces okazał się możliwy, przez awarię zasilania, która chwilę przed atakiem nastąpiła. Dzięki temu udało się uratować jedyną znaną kopię danych – nietkniętą przez złośliwe oprogramowanie. Jak w szybkim czasie przesłać kilkaset gigabajtów danych? Rozwiązanie byłoby może proste, gdyby pracownicy z Ghany mieli wizy brytyjskie, jednak tak nie było. Operacja Maidenhead przypominała zorganizowaną akcję, gdzie jeden pracownik leci do Nigerii, by przekazać drugiemu dysk z danymi, po czym ten udaje się do Londynu, by przekazać przesyłkę centrali. Przyjmowali zamówienia za pomocą Gmaila, WhatsApp i tym podobnych.

Przywracanie porządku w Maersku zajęło dwa tygodnie. W przeciągu tego czasu udało się odbudować sieć składającą się z 4 tys. serwerów oraz 45 tys. komputerów.

W celu lepszej ochrony swojej sieci wprowadzono wielostopniowe uwierzytelnianie oraz opóźnianie aktualizacji Windows.

Polska

Ataki zostały odnotowane około godziny 13:00. Problem dotknął sektora logistycznego oraz spółki usługowo-handlowe.

Atak NotPetya był na tyle poważny, że pierwszy raz w Polsce miało miejsce spotkanie Rządowego Zespołu Zarządzania Kryzysowego, na którym podjęto decyzję o współpracy z CERT-ami, o szkoleniach pracowników, kwestiach wykonywania kopii bezpieczeństwa oraz aktualizacji systemów.

Lista zaatakowanych przedsiębiorstw w Polsce: Firma Raben, InterCars, TNT (Katowice), Saint-Gobain (Kronospan), Modelez (Wrocław).

Przebieg ataku

NotPetya za pomocą MEDoc podczas startu pobrał uaktualnianie serwera upd.me-doc.ua. Po uruchomieniu NotPetya/ExPetr infekował MBR i podmieniał go na swój „payload”, następnie zmieniał zawartości rejestru, szyfrował MFT (patrz poniżej), a pod koniec wymuszał restart systemu zainfekowanego użytkownika. Po zakończeniu szyfrowania Master File Table (MFT – umożliwia dostęp do plików na komputerze) wyświetlone zostało żądanie okupu. Jak się później okazało, backdoor był obecny w systemie aktualizacji już od kwietnia. NotPetya została rozpowszechniona poprzez wykradzenie exploitów z NSA takich jak: Eternalblue i Eternalromacne, Doublepulsar (podobnie jak WannaCry).

MEDoc

NotPetya nie była typowym ransomware. Był to wiper, który nie dawał gwarancji na odzyskanie danych. Po opłaceniu żądanego okupu w Bitcoinach, poszkodowani nie widzieli nic na ekranach swoich maszyn poza ciemnym ekranem. Złośliwe oprogramowanie zostało stworzone tak, by nie mogło przywrócić utraconych zmian.

Backdoor znajdował się w pliku ZvitPublishedObjects.dll, co wskazuje, że atakujący mogli mieć dostęp do kodu źródłowego oprogramowania. Sprawcy wiedzieli jakie spółki zostały zainfekowane, gdyż backdoor odczytywał numery EDRPOU (odpowiednik REGONU). Informacje pobrane z klucza HKEY_CURRENT_USER\SOFTWARE\WC mówiły o używanych serwerach proxy i kontach pocztowych (wraz z loginami i hasłami).

NotPetya dotkliwie sparaliżowała gospodarkę na Ukrainie. Zaatakowany został nawet komputer wicepremiera Ukrainy, Pawła Rozenko. Wykradzione informacje były przesyłane w żądaniu jako ciasteczka.

Wygenerowane straty

Ogólne straty liczone są jako zdecydowanie większe od WannaCry.

Maersk oszacował stratę na około 200–300 mln USD. FedEx koszta wycenił na 400 milionów USD. Saint-Gobain 384 miliony USD, koncern farmaceutyczny Merck na 870 milionów USD.

Podczas ataku został odłączony system monitorowania promieniowania w ukraińskiej elektrowni w Czarnobylu.

W ocenie Białego Domu wartość szkód jaką przyniosła infekcja szacuje się na 10 miliardów dolarów.

Odpowiedzialność za atak

Biały Dom oskarża Rosję, że ta jest odpowiedzialna za atak. Z wydanego oświadczenia wynika, że rosyjskie wojsko przeprowadziło najbardziej niszczycielski oraz kosztowny atak w historii. Ponadto zwraca się uwagę na fakt chęci dalszej destabilizacji Ukrainy oraz rozniecenia konfliktu na linii Kreml-Kijów. Dwie firmy zajmujące się bezpieczeństwem: ukraińska ISSP oraz słowacki ESET wykryły zależność między atakami, a grupą zwaną jako Sandworms lub Telebots.

Washington Post powołując się na CIA, wskazał za sprawcę rosyjskie GRU, jednak nie zostało to podane do oficjalnej wiadomości publicznej.

Rosję dodatkowo oskarżyły cztery inne państwa: UK, Kanada, Australia, Nowa Zelandia.