Podobno to Rosjanie stali za zeszłorocznym atakiem na Giełdę Papierów Wartościowych

dodał 25 października 2015 o 06:53 w kategorii Włamania  z tagami: • • • • •
Podobno to Rosjanie stali za zeszłorocznym atakiem na Giełdę Papierów Wartościowych

Rok temu dowiedzieliśmy się, że GPW padła ofiarą włamywaczy i poważnego wycieku danych. Według Bloomberga za atakiem stała rosyjska grupa, która odpowiada między innymi także za włamanie do TV5 i uszkodzenie pieca niemieckiej huty.

W ostatnim roku nie brakuje ciekawych incydentów, które do tej pory nie były przypisane konkretnemu atakującemu. Bloomberg twierdzi, że za sporą ich częścią stoi grupa rosyjskich włamywaczy, którzy posiadają wysoki poziom umiejętności i są luźno związani z instytucjami rządowymi.

Zeszłoroczne włamanie do GPW

Przypomnijmy – dokładnie rok temu w serwisie Pastebin znalazło się kilka wpisów dokonanych przez grupę stojącą za wyciekiem danych z sieci i systemów GPW. Atakujący się nie podpisali, lecz w swoich tekstach wzywali Allaha. Do sieci trafiły dane pochodzące z wielu systemów GPW, w tym kilkadziesiąt tysięcy danych kont użytkowników systemów zarządzanych przez GPW, schematy sieci i dane pochodzące ze skrzynek pocztowych osób z innych instytucji zaangażowanych w obrót giełdowy. Przeprowadzona przez nas analiza wycieku wykazała, że wszystkie ujawnione systemy znajdowały się w osobnej podsieci, która była odseparowana od sieci w której znajdowały się systemy prowadzące rzeczywiste operacje giełdowe. Nie umniejsza to jednak skali incydentu – to jeden z najpoważniejszych ataków na polską infrastrukturę krytyczną. Co również ważne, atakujący znajdowali się w sieci GPW przez dłuższy czas, a w ostatnich dniach przed wyciekiem wiedzieli o tym administratorzy GPW, którzy nie potrafili sobie poradzić z ich wyeliminowaniem.

Hasła administratorów

Hasła administratorów

Długa lista ofiar APT28

Najnowsza publikacja Bloomberga przypisuje zeszłoroczny atak na GPW rosyjskiej grupie cyberprzestępczej zwanej APT 28 / Pawn Storm / Fancy Bear. Ta sama grupa stoi między innymi za opisywanymi przez nas atakami na prywatne skrzynki pocztowe pracowników MON, atakami spear phishing na polskie urzędy czy zainfekowaniem witryny autora konceptu nowego polskiego czołgu.  Do tej listy Bloomberg dopisuje dużo głośniejsze ataki.

Jednym z najciekawszych sukcesów grupy jest rzekomo doprowadzenie do awarii pieca hutniczego firmy ThyssenKrupp AG za pomocą złośliwego oprogramowania Havex. Jest to incydent od dawna opisywany w mediach, jednak do tej pory brak było dokładnych informacji o ofierze i sprawcach, w raportach pojawiał się jedynie jako źródło poważnych strat spowodowanych atakiem cybernetycznym. Wygląda na to, że zakłóceniem pracy wielkiego pieca do wytopu stali oraz związanymi z tym stratami mogli stać rosyjscy włamywacze. Najpierw przejęli kontrolę nad siecią biurową firmy, następnie znaleźli sposób połączenia się z siecią produkcyjną, tam zlokalizowali piec do wytopu i poznawszy architekturę jego oprogramowania sterującego wyłączyli alerty ostrzegawcze i dostarczyli za dużo paliwa, prowadząc do bardzo poważnej w skutkach awarii.

Podobno ci sami atakujący byli sprawcami fatalnego w skutkach włamania do sieci francuskiej stacji telewizyjnej TV5. W tamtym ataku włamywacze przejęli prawie całą infrastrukturę firmy, doprowadzając do wyłączenia transmisji 11 kanałów i zmuszając stację do emitowania przez wiele dni materiałów zastępczych oraz do rezygnacji z wielu planów redakcyjnych w roku 2015 w celu wprowadzenia oszczędności w obliczu sporych strat finansowych. Wśród znanych celów były także między innymi systemy pocztowe Białego Domu, Izby Reprezentantów oraz Departamentu Stanu.

Kim są włamywacze

Większość badaczy zgadza się z teorią, że atakujący są raczej hakerami działającymi głównie na własną rękę, korzystając z pobłażliwej polityki rosyjskiego rządu wobec włamywaczy i cyberprzestępców, którzy koncentrują swoją działalność poza granicami Rosji. Dobrze wyszkoleni, tworzący własne, zaawansowane oprogramowanie, odwdzięczają się rządowi przeprowadzając akcje zgodne z jego polityką i zbierając dane o strategicznym znaczeniu dla polityki Rosji. Ślady aktywności grupy prowadzą do roku 2007 i nic nie wskazuje na to, by miała ona zaprzestać swojej działalności.

Aktualizacja: Źródła zbliżone do dobrze poinformowanych sugerują, że atak na Thyssena, którego przebieg został opisany przez Bloomberga, nie powinien być przypisywany APT28.

Podobne wpisy