Kybernetické útoky na Ukrajině necílí na peníze, chtějí ji poškodit, říká Šuman z ESETu
Od začátku ruské invaze vzrostl na Ukrajině počet kybernetických útoků. Zaznamenala to například organizace CERT-UA, která kybernetické útoky v zemi monitoruje. Víc kybernetických aktivit na Ukrajině eviduje také společnost ESET, která s ukrajinskými institucemi spolupracuje. Útoky cílené na Ukrajinu se podle nich od ostatních liší především v motivaci, říká vedoucí pražského výzkumného centra ESETu Robert Šuman.
Jak ESET působí na Ukrajině?
Máme velkou základnu spíš u středních firem. Ale hlavně hodně spolupracujeme se složkami, které se zabývají malwarem - například s CERT-UA (Computer emergency response team Ukraine, ukrajinská pobočka této organizace, která monitoruje kybernetické útoky, pozn. red.).
Spolupracovali jsme v krizových dobách, ale i v současnosti, prakticky na denní bázi. Takže spousta těch případů vznikla i tak, že nám dodala informace ukrajinská strana. Nebylo to od našich klientů, ale ozvaly se nám třeba vládní složky - právě CERT nebo nějaké ministerstvo, které bylo zasažené.
Phishing, ransomware nebo skenování systému. Nemocnice stále čelí kybernetickým útokům
Číst článek
Jeden z útoků jste objevili už 23. února, tedy den před začátkem ruské agrese. O co konkrétně šlo?
My jsme samozřejmě nevěděli, že 24. února začne válka. Ale 23. února od brzkých ranních hodin probíhal poměrně velký DDoS útok v rámci celé Ukrajiny. DDoS útok je v podstatě pokus o přehlcení nějaké služby falešnými požadavky.
Útočník konkrétní webovou stránku nechce prohlížet, ale pouze na ni přistoupí. A obrovské množství těchto požadavků zahltí celý počítač nebo server - služba často spadne a přestane poskytovat webové stránky. Stalo se to napříč celým spektrem, od firem, přes vládní instituce až po klíčovou infrastrukturu, jako jsou železnice. Z toho už šlo usuzovat, že se něco děje.
Někdy kolem páté hodiny odpoledne nám naše systémy doručily zajímavý soubor, který jsme začali okamžitě analyzovat. Na první pohled to vypadalo na velmi pokročilý malware - takzvaný wiper. To je malware, který maže data na počítači, a to nejenom data jako taková, ale snaží se zničit i systémové části počítače.
Taková věc je vysoce nebezpečná. Pokud se dostane na větší množství počítačů, tak může způsobit opravdu velké škody. A navíc jsme se s tímto typem malwaru setkali po dlouhé době. Jeho specifikem bylo, že tam nebyl žádný monetizační faktor.
Vnitro, hasiči i policie. Weby ministerstva čelily DDoS útoku, přihlásila se k nim ruská skupina
Číst článek
Malware se totiž v současné době vyvíjí proto, aby na tom útočník vydělal. To je jeho hlavní motivace - za 99 % malwarů stojí peníze. Chtějí vám ukrást data a informace, aby je potom mohli zpeněžit. Tady bylo jasně vidět, že to bylo velmi nebezpečné a že to chtělo Ukrajině ublížit.
Okamžitě jsme na to vydali detekci a v naší telemetrii jsme objevili, že dopad útoku byl poměrně veliký. Zasáhl stovky počítačů v několika firmách. My jsme naštěstí většině útoku zabránili a soubory jsme vymazali. Takže k důsledkům došlo jenom ve velmi malé míře. Druhý den už bylo jasné, proč byl malware nainstalovaný - protože začala válka.
Bylo zajímavé, že jsme neobjevili, jak se malware dostal na počítače. Vypadalo to, že útočníci využili už staré přístupy. To znamená už dříve zasažená místa, kde už něco bylo nainstalovaného. Odpálili takovou „minu“, kterou se snažili Ukrajině co nejvíc ublížit.
Pak následovala vývojově další sada těchto pokusů o mazání. Hned 24. února, asi když útočníci zjistili, že útok nebyl dostatečný, vydali druhý wiper a následně třetí. Ty se snažily v pozdější době mazat i další počítače. Takže na začátku invaze proběhla série destruktivních programů.
Česko zasáhl kyberútok, vyřadil na čas jedenáct webů. ‚Zřejmě neměl zásadní dopad,‘ hodnotí odborník
Číst článek
A co bylo dál? Pokračovaly kybernetické aktivity na denní bázi?
V období začátku invaze – tedy v prvních dvou, třech měsících - se střídaly vlny DDoS útoků, kdy se snažily ochromit infrastrukturu právě wipery. Nejsofistikovanější byl první útok, viděli jsme to i na markerech.
Jde o data, díky kterým lze určit útočníka, například dobu kompilace souborů. Útočníci zneužili certifikát firmy Hermetic Limited. Takový náboj jen tak nevystřelíte, protože tento certifikát se stal známým v bezpečnostní komunitě a hned byl zablokovaný. Nicméně pomohl útočníkům v šíření, protože pokud je soubor podepsán platným certifikátem, zvyšuje to pravděpodobnost, že se v systému více rozšíří.
Pozdější wipery už nebyly tak sofistikované. Snažily se mazat disk od začátku, sektor po sektoru. To je akce, která by u současných disků trvala dny, protože je tu šance, že se data dají obnovit. Zároveň útočníci spolu s wiperem dodali další dva komponenty - Hermetic Wizard a Hermetic Ransom. Ten první byl pomocný program, který šířil wiper v interní síti. Bylo vidět, že nebyl vytvořený za jeden den a muselo na něm pracovat víc lidí. Snažil se například prostupovat na okolní počítače a šířit wiper v té síti.
Druhý byl ransomware - program, který vám zašifruje soubory na počítači, a snaží se uživatele vydírat tak, aby případně zaplatil za jejich rozšifrování. To je častá monetizační technika, kterou útočníci vydírají především firmy.
3:14
Vzdělávání, kritické myšlení a otevřená data. Finsko vévodí boji proti ruským dezinformacím
Číst článek
U tohoto útoku byl ale ransomware jako záloha, nikdy nebyl použitý. A to, že útok nebyl připravený ad hoc během jednoho dne, vidíme i ze samotného certifikátu. Ten byl vydaný v dubnu 2021 a kompilační čas některých vzorků spadal do prosince 2021. Příprava skutečně probíhala několik měsíců před invazí.
Takže nárůst kybernetických útoků - včetně těch sofistikovaných, o kterých jste mluvil - jste na Ukrajině zaznamenali už dřív?
V podstatě s růstem eskalace, ještě než to přerostlo v konflikt. My jsme viděli podobný růst v oblasti běžného malwaru, jako jsou spamové kampaně a podobně. A se začátkem roku řádově několikrát vyskočily některé dezinformace, e-maily, phishingy a tak dále. Tato oblast narůstala výrazně více než tvrdý malware. Ale běžný malware měl podobný vývoj.
Po wiperech se na chvíli situace uklidnila, kromě běžných útoků. My jsme tehdy predikovali, že útočníci neskončili a bude následovat něco dalšího. V posledních dnech sledujeme sofistikované útoky typu APT, které jsou cílené na konkrétní organizace nebo infrastrukturu. To je takový druhý sled. Já si to vysvětluji tak, že na začátku bylo „bombardování“, a teď přišly „speciální jednotky“, které útočí na konkrétní cíle.
V posledních týdnech byl na Ukrajině dokonce pokus o vypnutí energetické sítě. My jsme ho nazvali Industroyer 2, protože podobný pokus proběhl už v minulosti a útočníci s ním přišli znovu. Útok směřoval na poměrně velkou část ukrajinské rozvodné sítě.
Kybernetický úřad: Na některé české weby útočí proruští hackeři. České dráhy řeší výpadky aplikace
Číst článek
Podle vyjádření ukrajinského ministra pro energetiku mohl zasáhnout až dva miliony lidí. Takže společně s ukrajinským CERTem se nám podařilo útok zastavit. Prvotní impuls byl právě od CERTu, který se nám ozval a dodal nám soubory. My jsme je zanalyzovali a zjistili jsme, že měl útok právě tento účel. Naštěstí byl kompletně neúspěšný.
Cílem tohoto útoku bylo vyřadit z provozu energetickou síť na Ukrajině?
Ano. Cílem toho prvního útoku bylo vypnout ochranná relé, systémy, které chránily před přepětím sítě. A tento útok byl méně sofistikovaný, protože byl cílený na konkrétní jednotky, které jsou součástí rozvodné sítě. Problém ale byl, že směřoval na mnohem větší část rozvodné sítě.
A sledujete v současnosti ještě některé útoky?
Na jednom momentálně pracujeme, ale nemůžu o něm moc mluvit. Jde o sofistikovaný útok, který cílí na zastupitelské úřady a obecně na klíčové ukrajinské servery. Třeba na televize a ministerstva. Útok je čistě špionážní a provádí ho skupina InvisiMole, která často působí na Ukrajině. V současné době jsme útoku zabránili, ale co bylo jeho součástí, zatím zveřejňovat nebudeme.
Když už jste zmínil původce útoků, je možné určit, jestli všechny tyto útoky opravdu pocházejí z Ruska?
To je samozřejmě veliké téma, určení útočníka je vždy nejisté. V kyberprostoru obecně můžete vše nějakým způsobem podvrhnout. Jde o to, kolik tomu věnujete času a jak jste sofistikovaní. Takže přisouzení útoku konkrétní skupině nebo konkrétnímu člověku se musí brát s rezervou. Spoustu těchto skupin dlouhodobě monitorujeme, máme markery v kódu, který programují, známe způsoby chování nebo vektory průniku. Z toho děláme úsudek, kdo by to konkrétně mohl být.
‚Ukrajinská krev je na vašich rukou.‘ Hackeři umístili vzkaz do programu ruské televize
Číst článek
Napsat takto sofistikovaný program je relativně těžké a zdlouhavé. Útočníci často používají znovu svůj původní kód a z toho my můžeme usuzovat, že přinejmenším mají spojení na původního tvůrce kódu. Takže ano, sledujeme několik skupin, na Ukrajině jich působí relativně dost - Sednit, InvisiMole a podobně.
Jde často o skupiny, které připisujeme k vojenským a zpravodajským složkám Ruska FSB a GRU. Ale to neznamená, že tam působí samy. Například velká skupina, která pochází ze Severní Korey a operuje po celém světě, působí i na Ukrajině. Útoky jsou to tedy mezinárodní, z našeho pohledu tam ale samozřejmě má velký fokus Rusko.
Jsou kyberútoky vedené koordinovaně spolu s vojenskými operacemi?
Tady bychom si možná měli přizvat nějakého vojenského odborníka. Popravdě my moc nesledujeme, jak se to děje. Můžu vám říct jenom svůj laický pohled. Některé útoky samozřejmě ano.
Ve chvíli, když startoval ten Hermetic Wiper, tak bylo vidět, že to opravdu má nějaký smysl. Byla to příprava v kyberprostoru a asi nebyla náhoda, že to vypustili v pozdních hodinách den před tím, než začal konvenční útok. My tyto korelace pozorujeme, ale já osobně se neorientuji, jak ta operace probíhá.
Liší se útoky na Ukrajině od běžných strategií hackerů? Je to něco nového?
Konkrétně u wiperů je to ta nemonetizační motivace. To jinde na světě nevidíme. Drtivá většina útoků je za cílem zpeněžit výsledek. Kdežto na Ukrajině je ta motivace poškodit, zničit.
Benzinky nemohly zhruba hodinu hlásit ceny pohonných hmot. Na aplikaci zaútočili hackeři
Číst článek
A z technologického hlediska?
Možná jedinou výjimkou, čím je Ukrajina jedinečná, jsou útoky na energetickou infrastrukturu. Byly tři a byl to jediný případ na celém světě, kdy kybernetická komunita zaznamenala útoky s účelem vyřadit energetickou síť. Takže ty složky nejspíš mají odborníky, kteří se tomu více věnují.
Jinak běžný malware a pokusy o sofistikovanější útoky jdou napříč světem, zvláště pokud to jsou kriminální živly, které hranice nezajímají a jdou po penězích. A ano, Ukrajina může být v hledáčku i těchto skupin, protože je slabší, má jiné starosti.
Dá se říct, jestli jsou útoky zaměřené na konkrétní oblasti Ukrajiny a konkrétní cíle, nebo jsou plošné?
Jak u kterého útoku. Některé jsou vedené čistě plošně a teprve poté útočníci vyhodnocují, co chytili. Je to, jako když při chytání ryb rozhodíte síť. Některé jsou přímo cílené na konkrétní místa, třeba zmíněný útok na energetickou rozvodnou síť. Kód obsahoval přímo příkazy pro ovládání relé, což běžně v nějakém programu nebo malwaru nenajdete.
Jaký mají útoky na Ukrajině účel? Jde spíš o vyřazení z provozu, nebo i o získání dat?
Vidíme obojí. Na Ukrajině je specifické, že je cílem data vyřadit, což není běžné. V jiných částech světa podobné útoky nevidíme, maximálně čas od času je znát mírný dopad do okolních zemí, ale to je spíš kvůli propojenosti sítí. Nemůže tam tedy být jiná motivace, než se snažit poškodit infrastrukturu. Samozřejmě, že tam dál působí i běžný kybernetický zločin. Využívá situace, že se Ukrajina v současné době nevěnuje ochraně počítačových sítí a má jiné starosti.
Co je cílem zmíněných sofistikovaných útoků? Jsou to vládní instituce a kritická infrastruktura?
Ano, v podstatě cokoliv, co může přinést informace. Útočníci se často snaží vniknout do televizí nebo konkrétních ministerstev - například do ministerstva pro agrokulturu. Vše je možné využít jako data pro speciální složky. V tomto případě, aby zjistily, kde Ukrajina skladuje obilí.
Polsko se obává kyberútoku. Premiér Morawiecki aktivoval první úroveň výstrahy
Číst článek
Unikla z Ukrajiny nějaká důležitá data?
Ve chvíli, kdy jsou útočníci úspěšní, my samozřejmě nevíme, co uteklo.
Říkal jste, že jste proti útokům úspěšně zakročili. Můžete přiblížit, co přesně děláte, když se na vás někdo obrátí, nebo když sami zaznamenáte útok?
Většinou se k nám nějakým kanálem dostane soubor s tím, že je to malware. V první řadě ho zanalyzujeme a zjistíme, co opravdu dělá. A ve chvíli, kdy zjistíme, že je to škodlivé nebo nebezpečné, detekční inženýři vytvoří detekci a distribuují ji mezi klienty.
Samozřejmě, že u takto závažných věcí je často i publikujeme - především na twitteru, který je velice rychlý. Dodáváme tam i hashe souborů (kontrolní součet souboru, jeden z identifikátorů, pozn. red.), aby se mohla konkurence přizpůsobit a dodat svoje vlastní detekce. Z tohoto pohledu my jako virové laboratoře spolupracujeme. Například v rámci Hermetic Wiperu jsme pracovali v podstatě čtyřiadvacet hodin a předávali jsme to pak kolegům v Torontu, kteří v analýze pokračovali.
Máte odhad, jak jste byli úspěšní?
Odhady jsou těžké. My jsme jedni z předních hráčů na Ukrajině, ale je to stále jen okénko. Na mnoho počítačů nevidíme, nedodáváme tam aktualizace, takže můžeme jen spekulovat. Ale například u Hermetic Wiperu to byly stovky počítačů a několik firem.
Jak dobře je Ukrajina na kybernetické útoky připravená?
Myslím si, že relativně dobře. Respektive se jejich připravenost nevymykala běžné připravenosti. Vždy je potřeba porovnávat poměr prostředků vynaložených na útok a prostředků na obranu. Útočníci opravdu investovali relativně dost do toho, aby pronikli.
Já si osobně myslím, že podobné útoky by byly úspěšné i u nás nebo jinde v Evropě. Takže nijak zvlášť špatně na tom Ukrajina nebyla. Samozřejmě, je to chudší země a některé systémy tam jsou v horším stavu. Když se ale podívám na prokliky na e-maily, které ukazují, kolik lidí se nechalo nalákat na phishingové kampaně, je to dost podobné zbytku Evropy.
Změnila se protiopatření Ukrajinců v průběhu invaze?
Ukrajinský CERT určitě přijal mnoho nových opatření. Především je ale přijaly zahraniční firmy, které tam působí. Wipery celkem dost vystrašily celou kybernetickou komunitu.
Hackeři zaútočili na běloruské železnice. Výrazně zpomalili přesun ruské vojenské techniky k Ukrajině
Číst článek
Proto začaly zahraniční firmy běžně využívat vzdálené připojení k sítím a snažily se minimalizovat chod tak, aby je to neomezovalo v komunikaci, a zároveň zvýšily ochranu před průnikem. Zareagovali na to adekvátně, podobně jako my, přestože my zatím nejsme cílem těchto útoků. I u nás byla přijata opatření, kdyby podobný pokus v budoucnu nastal.
Pomáhají Ukrajině s kybernetickou obranou jiné státy nebo zahraniční aktéři?
Nevíme o žádných zpravodajských agenturách, ale pokud se bavíte na konferenci nebo komunikujete v rámci kybernetického světa s lidmi z antivirových společností, snaží se pomáhat opravdu všichni. Za svou kariéru v kybernetické bezpečnosti jsem takto masivní pomoc zaznamenal poprvé.
My jsme přišli s prvními informacemi o wiperech a komunita se nám na twitteru nebo facebooku ozývala, posílali i e-maily, jestli můžou někde pomoci. Chtěli, ať jim pošleme vzorky, že nám pomůžou urychlit analýzu. Euroatlantická část světa se snaží Ukrajině pomoci i v této oblasti.
Podnikla Ukrajina nějaké protiútoky?
To nevíme, protože jsme se z ruského trhu stáhli, takže nemáme informace. Všechny velké státy ale takové jednotky mají, takže bych se nedivil, kdyby tam v menší míře nějaká protiofenzíva probíhala.
A co se týče aktérů zvenku, jsou tam nějaké protiútoky vůči Rusku?
Například skupina Anonymous se vůči Rusku vymezila. My je chápeme jako hacktivistickou skupinu, která je hlasitá a snaží se prosazovat své zájmy. Je důležité zmínit, že i některé kybernetické skupiny se přiklonily k Rusku, ale podobně to proběhlo i z druhé strany. Takže vidíme, že nejspíš i ke skupině Anonymous se přidali odborníci, kteří se snaží pronikat do ukrajinské infrastruktury nebo ji naopak chránit. Ale víc samozřejmě nevíme.
Na konferenci Security 2022 jste vystoupil ke kybernetické válce na Ukrajině. Vaše přednáška ale měla podtitul „Obstáli bychom lépe?“ Pokud by Česká republika takovýmto útokům čelila, obstála by?
Já jsem to rozdělil do několika kategorií - jestli bychom obstáli v případě e-mailových útoků, ransomwarů, nebo právě wiperů. Pokud bych to měl zobecnit, tak bychom obstáli stejně nebo mírně lépe.
Přece jenom jsme se jako země poučili například z ransomwarových útoků na nemocnice. Spousta firem má krizové metodiky, investuje do softwaru, hardwaru a školení lidí. V tomto směru jsme krok vpřed udělali. Ale pokud by útočníci měli dostatečný čas a investovali do toho prostředky, nejde vyloučit, že proniknou. Obrana je vždy o snižování rizik, a když dojde k masivnějšímu útoku, útočník pronikne. Spousta útoků, které se odehrávají na Ukrajině, by byla určitě úspěšná i u nás.
Od začátku ruské invaze evidujeme kybernetické útoky v Česku. Například na některá ministerstva, Českou poštu, naposledy taky na Ředitelství silnic a dálnic. K většině útoků se přihlásila Killnet. V těchto případech jsme taky obstáli?
Killnet je spíš aktivistická skupina, má svůj telegramový účet, kde se uživatelé sdružují. Jsou tam administrátoři, kteří dodávají cíle. Podobná aktivita je i ze strany euroatlantické civilizace. Jde o pokusy o DDoS útoky, které netvoří útočníci, ale vznikají u spontánní skupiny lidí, kteří se snaží zaútočit. Je tam nějaké morální hledisko a motivační apel. To proběhlo hned po útocích na Ukrajinu.
Po ‚horkém‘ dubnu se počet kybernetických incidentů vrátil k průměru,uvedl úřad pro kyberbezpečnost
Číst článek
Pamatuji si e-maily, které plošně chodily s textem „jděte na tuto stránku, budete součástí DDoS útoku na ruské cíle“. Killnet dělá podobnou aktivistickou politiku. Ruští občané se pomocí webového prohlížeče snaží shodit nějaký server. Na jejich fóru proběhl balík adres z České republiky a viděli jsme, že v tu samou dobu byly dané služby zneplatněné.
U sofistikovaných útoků je to samozřejmě něco jiného. Tam bych řadil útok na Ředitelství silnic a dálnic. Došlo k průniku přímo do systému a útočníci systémy ochromili. Není to náš klient, víme o tom z komunity, ale tyto útoky jsou jiné, než zmíněné DDoS útoky. Je sporné, jestli šlo o útok v rámci konfliktu, mohl to být taky zločinecký gang, který se snažil získat peníze, podobně jako v jiných případech v minulosti. Nespojoval bych to úplně s Ukrajinou.
Takže od začátku ruské invaze jste v Česku nezaznamenali zvýšený výskyt kybernetických útoků?
Na nás naštěstí wipery necílí, to jsou útoky ohraničené Ukrajinou. My pozorujeme pozvolný nárůst u malwarových útoků. V současnosti ale nedochází k tomu, že by na nás někdo cíleně útočil a my mohli přímo určit za původce útoku někoho z Ruska. Nejsme v hledáčku, ale to se samozřejmě může stát.
Určitě bych proto souhlasil s doporučeními NÚKIBu (Národního úřadu pro kybernetickou a informační bezpečnost), který pravidelně varuje před tím, že něco takového může nastat. Tato obezřetnost je určitě na místě, přestože útoky tohoto typu na nás zatím nesměřují. Riziko určitě roste.
Jsme na takové útoky případně dobře připraveni?
Jak už jsem říkal, připravenost je určitě lepší, ale opět je to o nákladech lidí, kteří útok připravují. Nedal bych ruku do ohně za to, že by útoky nebyly úspěšné.
Jaký je výhled do budoucna, budou kybernetické útoky na Ukrajině pokračovat?
V poslední době vidíme odchod wiperů a nástup sofistikovanějších útoků. To podle mého názoru bude pokračovat. Teď už si myslím, že z pohledu Ruska nemá smysl globálně přemazávat počítače. Může přijít podobná vlna, ale Rusko se teď soustředí jinam. Očekávám, že ve zvýšené míře uvidíme sofistikované útoky. Zvlášť, pokud bude konflikt dál probíhat, o to více budou potřeba data, kam se přemisťují jednotky a podobně.
Hrozí až celostátní blackout. Kyberúřad varuje před chytrými elektroměry z rizikových zemí
Číst článek
Pokud sofistikovanější útoky na Ukrajinu budou pokračovat, jste schopni pomáhat jako v případě wiperů?
Snažíme se, jsme silně motivováni. Na každé úloze, kterou identifikujeme jako vážnou, pracujeme. Naším cílem bylo poskytnout zákazníkům servis čtyřiadvacet hodin, a proto si to předáváme, dokud analýza neskončí. Detekce na tyto věci probíhají řádově v minutách.
Zjistíme, že je to vadné, vydáme detekci, a zjišťujeme podrobnosti. Už hrubou analýzou se dá často zjistit, že jde o škodlivý kód, dá se odstranit, a pak investujeme hodiny do toho, abychom přesně zjistili, jak to funguje.
Samozřejmě nikdy nemůžeme vyloučit, že budou úspěšné. Za prvé je důležité, že s námi spolupracují ukrajinské složky, které nám vzorek dodají. A za druhé tam máme počítače - čím více máte produkt v dotyčné zemi, tím více máte dat k analýze a můžete rychleji reagovat.
Pokud se objeví malware, o kterém nám nikdo nic neřekne, a produkt tam nemáme, nic s tím neuděláme. Je to soustavný boj a stává se, že čas od času vyhrají útočníci. My se snažíme, aby těch případů bylo co nejméně.
A jaký je výhled u nás?
Zatím nejsme v hledáčku. Množství malwaru kontinuálně roste, ale to je dlouhodobý trend. Zatím tu je ticho, ale to neznamená, že se nemůžou opakovat útoky podobné tomu na ŘSD. Trendem dnešních útočníků je, že se snaží jednotlivé útoky monetizovat.
