Atak ransomware na polskie firmy przypadkowym odpryskiem ataku na Ukrainę

dodał 28 czerwca 2017 o 08:06 w kategorii Złośniki  z tagami: • • •
Atak ransomware na polskie firmy przypadkowym odpryskiem ataku na Ukrainę

Dociera do nas coraz więcej sygnałów wskazujących, że atak ransomware który poważnie sparaliżował pracę kilku polskich i zagranicznych firm był skierowany wyłącznie na ofiary w Ukrainie a pozostałe infekcje są wynikiem zbiegu okoliczności.

Od wczoraj opisujemy bardzo poważny atak ransomware na firmy na całym świecie. Ofiary zlokalizowane są w wielu krajach, w tym także w Polsce. Wszystko jednak wskazuje nam, że jedynym prawdziwym celem ataku była Ukraina, a pozostałe ofiary dostały rykoszetem. Wyjaśniamy poniżej.

Jak dostała Ukraina

Jeśli nie czytaliście naszego wczorajszego opisu wydarzeń na Ukrainie, to przypominamy: ktoś przejął serwer firmy produkującej oprogramowanie wymagane do raportowania finansowego do ukraińskich urzędów. Oprogramowanie to samo się aktualizowało na komputerach, na których było zainstalowane. Wczoraj ok. 10:30 lokalnego czasu ktoś podmienił plik z aktualizacją na złośliwy i automatycznie zainfekował setki ukraińskich firm i instytucji. Jak jednak mogło dojść do infekcji firm poza terenem Ukrainy?

Jak dostali pozostali

Widzimy dwa możliwe scenariusze ataku na firmy w innych krajach – oba przypadkowe. Pierwszy to skutek działania robaka. Jego pierwsza faza agresywnie skanuje komputery znajdujące się w tej samej sieci. Wystarczy, że firmy spoza Ukrainy były połączone na warstwie sieciowej ze swoimi biurami na Ukrainie a ruch między filiami nie był odpowiednio filtrowany i szkodnik mógł łatwo przeskoczyć z jednego biura do drugiego, siejąc zamęt i zniszczenie. Druga opcja to pojawiająca się w sieci informacja, że zainfekowane ukraińskie oprogramowanie M.E.doc musiało być podobno używane przez każdą firmę, która na Ukrainie płaci podatki i jest szansa, że jego kopie były używane także w biurach firm w innych krajach.

Jakie mamy dowody

Bez nagranych rozmów atakujących opracowujących plan ataku nie sposób udowodnić tego na 100%, ale naszym zdaniem argumentów za takim przebiegiem wydarzeń nie brakuje:

  • pierwsze raporty o infekcji zaczęły napływać ok. 13:30 z Ukrainy i przez pierwszą godzinę nie słyszeliśmy o ofiarach spoza jej terytorium,
  • liczba ofiar na Ukrainie jest ogromna, dotknięte zostały setki firm, podczas kiedy liczba ofiar poza Ukrainą jest niewielka, mowa o pojedynczych przypadkach,
  • ofiary z krajów innych niż Polska, Rosja czy Ukraina to najczęściej globalne koncerny, które mają biura na Ukrainie,
  • potwierdzają to statystyki Kaspersky Lab,
  • wszystkie firmy, których infekcję w Polsce udało się nam potwierdzić, mają biura lub fabryki na Ukrainie,
  • nie natrafiliśmy na żaden przypadek infekcji firmy bez placówki na Ukrainie.

Jak się bronić

W sieci pojawia się wiele informacji o tym, jak bronić się przed opisywaną infekcją. Wszystkie są do niczego, bo do infekcji już doszło. Jeśli nie widzicie czerwonego ekranu, to w tej edycji już go nie zobaczycie. Do tego wszyscy ostrzegają przed złośliwymi załącznikami – są one dużym ryzykiem, ale prawdopodobnie nie były użyte w tej kampanii. Zamiast zatem tworzyć śmieszne foldery skupcie się na dobrych kopiach bezpieczeństwa i wykrywaniu znanych od lat narzędzi przestępców i ich aktywności w Waszej sieci.

Podobne wpisy