Cisco заподозрила Россию в подготовке кибератаки на Украину

23 мая (Рейтер) — Cisco Systems Inc (NASDAQ:CSCO) в среду предупредила, что хакеры заразили высокотехнологичным вредоносным ПО как минимум 500.000 маршрутизаторов и устройств хранения данных в десятках стран, возможно, готовясь к новой масштабной кибератаке на Украину.

Talos, подразделение Cisco, занимающееся анализом угроз кибербезопасности, сообщило, что в большой степени уверено в том, что за кампанией, названной VPNFilter, стоит российское правительство, поскольку установленное ПО имеет код, аналогичный использованному в предыдущих кибератаках, в которых американское правительство обвинило Москву.

Cisco сообщила, что вредоносное ПО может использоваться для шпионажа, создания преград для интернет-коммуникации или осуществления кибератак на Украину. Киев ранее возлагал на Россию ответственность за мощные кибератаки, которые в частности приводили к сбоям в энергосистеме Украины и приостановке работы заводов.

«С такой сетью можно сделать все что угодно», — сказал Рейтер исследователь Cisco Крейг Уильямс.

Российское правительство категорически отвергает обвинения со стороны Украины, США, ряда других стран и западных фирм, специализирующихся на кибербезопасности, утверждающих, что Кремль стоит за масштабной и глобальной хакерской кампанией, в рамках которой осуществлялись попытки навредить украинской экономике и вмешаться в президентские выборы 2016 года в США.

По сообщению Cisco, вредоносное ПО включает модуль, выводящий из строя промышленные сети, в частности отвечающие за управление энергосистемами.

«Мы должны относиться к этому очень серьезно», — сказал Майкл Дэниел, глава Cyber Threat Alliance (CTA) — некоммерческой организации, выступающей за обмен данными о новых угрозах между конкурентами в сфере обеспечения кибербезопасности.

Cisco в понедельник передала CTA технические данные VPNFilter, рассказав о том, что ей удалось узнать за несколько месяцев анализа кампании.

VPNFilter заражает маршрутизаторы и подключенные к интернету устройства хранения данных в домашних офисах и небольших конторах, однако все зараженные устройства вместе могут быть использованы для осуществления скоординированных атак более крупных целей, сказал Уильямс.

Хотя зараженные устройства были обнаружены как минимум в 54 странах, Cisco выяснила, что целью хакеров была Украина, после резкого увеличения случаев заражения в стране 8 мая, сказал Уильямс Рейтер.

«АКТ КИБЕРАГРЕССИИ»

    Исследователи решили обнародовать то, что узнали о кампании, поскольку опасались, что рост числа заражений на Украине, где наблюдалось самое большое их количество, означал, что Москва готовится совершить атаку в следующем месяце — вероятно, в то время, когда Украина будет отмечать День конституции, который празднуется 28 июня, сказал Уильямс.

    Некоторые из самых масштабных кибератак на Украине были совершены во время праздников или за несколько дней до них.

    В их числе — осуществленная в июне 2017 года атака с использованием вируса NotPetya, которая привела к сбою компьютерных систем на Украине, а затем распространилась по всему миру, а также хакерские атаки на энергосистему страны в 2015 и 2016 годах в преддверии Рождества.

«Нам известно об этой ситуации и этих уязвимостях, — сообщил глава департамента киберполиции нацполиции Украины Сергей Демедюк в ответ на запрос Рейтер. — Сейчас мы совместно с СБУ принимаем меры по недопущению любых киберинцидентов, которые могут возникнуть».

«Между нами четко распределены определенные задачи, которые мы синхронно выполняем, чтобы обезопасить наших граждан и госсектор от возможных киберугроз».

Служба безопасности Украины предупредила о возможной масштабной кибератаке на госструктуры и частные компании накануне финального матча Лиги чемпионов, который пройдет в Киеве 26 мая.

«Специалисты по кибербезопасности СБУ изучают очередную возможную волну массового поражения размещенных в Украине сетевых устройств, — говорится в сообщении СБУ. — Вредоносное программное обеспечение, которое может быть использовано хакерами, получило условное название VPNFilter».

«Специалисты СБУ считают, что инфицирование оборудования именно на территории Украины — подготовка к очередному акту киберагресии со стороны РФ, направленного на дестабилизацию ситуации во время проведения финала Лиги чемпионов. Об этом свидетельствует и то, что запланированный механизм кибератаки совпадает с техниками, которые использовались в 2015-2016 годах в ходе кибератаки BlackEnergy».

    VPNFilter предоставляет хакерам удаленный доступ к зараженным устройствам, которые можно использовать для шпионажа, атак на другие компьютеры или установки других типов вирусов, сказал Уильямс.

    Cisco обнаружила около 500.000 зараженных устройств, но считает, что их реальное количество может быть значительно больше.

    Исследователи обнаружили один модуль вируса, который использовался для атак на производственные компьютеры, подобно тем, что применяются для атак на электросети, прочую инфраструктуру и заводы. Он заражает устройства и следит за сетевым трафиком с целью обнаружить учетные данные, которые хакеры могут использовать для получения контроля над производственными процессами, сказал Уильямс.

    Вирус предусматривает функцию самоуничтожения, которая позволяет хакерам удалить вредоносное и другое программное обеспечение на зараженных устройствах, таким образом выводя их из строя, сказал он.

    Название VPNFilter происходит от директории, которую создает вирус для того, чтобы прятать файлы на зараженных устройствах.

(Джим Финкл в Торонто при участии Павла Политюка в Киеве. Перевели Марина Боброва и Ксения Орлова)