Історія DDoS-атак. Чи була готова Україна?

15 лютого Україна пережила найбільшу у своїй історії DDoS-атаку. Це спричинило збої у роботі Приват24 та Ощадбанку, а також сайтів Міноборони та ЗСУ. Про те, що нам доведеться із цим зіткнутися, американські експерти писали ще кілька років тому. Але чи ми були готові?

Liga.Tech відновила хроніку найвідоміших політичних кібератак та розповідає, чому війни між державами тепер переходять у віртуальну площину.

З чого все почалося?

Термін "кібервійна" вперше прозвучав у книзі Томаса Ріда "Історія всього кіберпростору. Повстання машин" у 80-ті. Однак там йшлося швидше про ту ж фізичну революцію, просто втілену руками роботів.

Все змінилося у 90-ті роки. Тоді аналітики центру RAND вперше описали, як військових хакерів незабаром використовуватимуть не тільки для стеження за системами ворогів, але й для атаки комп'ютерів супротивника. А вже 2007 року американські дослідники з Національної лабораторії Айдахо наочно продемонстрували, як можна знищити дизельний генератор розміром з танк за допомогою лише шкідливого коду.

DDoS-атаки як спосіб гібридної війни

Естонію називають взірцем цифрової держави. Це дало країні чимало переваг, але й зробило першою в історії мішенню потужної кібератаки. 2007 року безпрецедентна серія DDoS-атак завдала удару по понад сотні естонських вебсайтів. Це вивело з ладу онлайн-банкінг країни, сайти уряду, поліції та провідних ЗМІ. Протягом двох тижнів вони або зовсім не відкривалися, або працювали дуже повільно. Атака загадковим чином збіглася з рішенням естонського уряду перенести радянський пам'ятник Бронзовому солдату з центру Таллінна, що викликало гнів російськомовного населення країни.

Тоді вдалося з'ясувати, що частина комп'ютерів, з яких здійснювали DDoS-атаки, розташовані в Росії. Крім того, низка IP-адрес вказувала на держустанови Росії.

За рік подібна ситуація повторилася вже у Грузії. 2008 року DDoS-атаки на місцеві сайти відбувалися паралельно з реальним фізичним вторгненням російських військ. Defacement-атак зазнали також деякі опозиційні сайти Азербайджану та самої Росії, які висвітлювали конфлікт не на користь російської сторони. Доступ до них було заблоковано, а на головних сторінках розмістили фашистську символіку і фото Саакашвілі в компанії світових диктаторів.

Відключення енергосистем в Україні

2019 року американське видання Wired опублікувало хроніку найбільших кібератак у світі за останні роки. У п'яти випадках із восьми вказують на зв'язок хакерів з російськими організаціями. Дві найбільші атаки припали на українські системи.

Підписуйтесь на LIGA.Tech у Telegram: тільки важливе

Точкою відліку у кібервійні для України називають грудень 2015 року. Хакерам вдалося успішно атакувати системи одразу трьох енергопостачальних систем нашої країни.

Тоді 250 тисяч мешканців Західної України близько шести годин просиділи без електрики. Як пояснили у Прикарпаттяобленерго, "систему фактично хакнули". Атака відбулася з використанням троянської програми BlackEnergу, яка, ймовірно, потрапила у корпоративну систему компанії з комп'ютера одного зі співробітників. Таким чином злочинцям протягом декількох місяців вдалося непомітно збирати дані, які потім використали, щоб перехопити контроль за управлінням системою.

Паралельно подібні атаки сталися на Чернівціобленерго та Київобленерго, але вже з меншими наслідками. Ці випадки стали першими у світовій історії, коли відключення електроенергії сталося з вини хакерів. Як вдалося з'ясувати, атаки були заздалегідь сплановані та скоординовані з єдиного центру, розміщеного в РФ.

"Це стало потужним сигналом для населення України про його вразливість до віддалених атак, а світу – про дедалі вищу майстерність російських хакерів", – написали про цей інцидент у виданні Wired.

Атака ціною 10 мільярдів

Головною подією кібервійни проти України став вірус, який згодом отримав назву NotPetya. Наприкінці червня 2017 року російські хакери використали зламані сервери української бухгалтерської фірми Linkos Group. Її програмним забезпеченням MTdoc користується більшість бухгалтерів нашої країни, тому вірус майже миттєво поширився на приблизно 10% усіх комп'ютерів в Україні.

Його жертвами стали як приватні компанії, так і урядові установи країни та частина інфраструктури – Кабмін, Мінінфраструктури, Податкова служба, Держконцерн Антонов, Ощадбанк та Укртелеком, аеропорти Бориспіль та Жуляни, Укргазвидобування, WOG, ДТЕК, Укрпошта, Укррічфлот, Київський метрополітен, Київенерго, Нова Пошта та навіть Чорнобильська атомна електростанція.

Файл блокував комп'ютер жертви, шифрував дані та вимагав "викуп" – 300 доларів у біткойнах.

Буквально за кілька годин вірусу вдалося вирватися за межі країни та заблокувати обладнання в усьому світі. Як пізніше підрахували у Білому домі, збитки від вірусу можуть становити $10 млрд, а його наслідки відчуваються досі. У The New York Times тоді також зазначили, що атака відбулася за тиждень після того, як ЄС запровадив безвізовий режим для українців.

Що кажуть представники влади

15 лютого Україна пережила чергову кібератаку, яку представники державних служб кібербезпеки назвали найсерйознішою в історії нашої країни. Це відбулося напередодні того дня, коли, за даними деяких західних ЗМІ, Росія мала розпочати нове вторгнення в Україну. Попри те, що онлайн-банкінг, банкомати та Ощадбанк не працювали протягом кількох годин, представники держструктур, які відповідали за кібербезпеку, запевняють, що все могло скінчитися набагато гірше.

На думку заступника Секретаря Ради національної безпеки та оборони України Сергія Демедюка, держава у цій ситуації спрацювала на "відмінно".

"Ми працювали злагоджено, чітко. У дуже короткі терміни. У боротьбі з загрозою допомагали не лише експерти з нашої країни, а й українські партнери з інших держав. Вони готові працювати з нами 24/7, незалежно від часового поясу", – каже Демедюк. 

За його словами, втрат у фінансовій частині не було, а сама атака мала характер інформаційно-психологічної і була спрямована на те, щоб викликати у людей паніку.

Як розповів голова Мінцифри Михайло Федоров, атаку готували наперед, а вартість такого замовлення – мільйони доларів. Своєю чергою Ілля Вітюк, голова департаменту кібербезпеки СБУ, підтвердив зв'язок між учорашнім інцидентом та атаками на державні сайти 14 січня. Він наголосив на схожості інфраструктури, яка використовувалася в обох випадках, а також зазначив: "Єдина країна, яка, на жаль, зацікавлена в таких іміджевих атаках на нашу країну, – це Російська Федерація".

Нагадаємо, що після 14 січня українські незалежні кіберфахівці неодноразово заявляли про витік даних українців з державних реєстрів, який стався внаслідок атаки на сайти Дія, МЗС, МОН та інші. Проте українська влада цю інформацію так і не підтвердила.

Що таке DDoS-атака

DoS-атака (Denial of service, відмова в обслуговуванні) – це атака на систему, мета якої – довести її до відмови, щоб користувачі не могли отримати до неї доступ, або щоб він був утруднений. Як правило, це засіб економічного або психологічного тиску – сайтом або сервісом неможливо скористатися, він не приносить дохід або атака призводить до паніки серед користувачів.

Атака, здійснена з безлічі комп'ютерів, називається DDoS-атакою (Distributed Denial of Service, розподілена відмова в обслуговуванні). У такий спосіб атакують великі компанії та державні організації. Під час підготовки хакери перевіряють мережу на предмет слабких вузлів, і ті першими зазнають нападу. На них встановлюються програми хакерів, про які користувачі комп'ютерів можуть не підозрювати. Через ці комп'ютери DDoS-атака триває.

DoS-атаки здійснюють з метою здирства, крадіжки даних шляхом отримання доступу до мережі через навантаження, а також з метою шантажу або психологічного впливу – як у разі атаки на українські банки та сайти 15 лютого.