RU

Цікаві факти про кібератаку на вебсайти України. Дуже просто зрозуміти, хто їх хакнув

Цікаві факти про кібератаку на вебсайти України. Дуже просто зрозуміти, хто їх хакнув

експерт з кібербезпеки
14.01.2022, 18:02

Вебсайти українських держустанов піддалися кібератаці. Які вразливості використано, хто їх знайшов, і що буде далі

Хакери атакували низку вебсайтів українських держустанов. Факти вказують на те, що було здійснено злам вебсайтів і підмінено їхній вміст (так звана атака deface або підміни контенту). Доказів того, що нападникам удалося проникнути глибше, поки що немає.

Але повідомлення, яке розмістили зловмисники, говорить про інше, якщо коротко – українці, бійтеся, ваша держава не може вас захистити в кіберпросторі. Звичайна риторика геополітично вмотивованого спонсорованого державою-агресором APT, що втілюється групою хактивістів.

Але думка про можливий витік даних після такої події автоматично закрадається в головах громадян. 

Поки що такий сценарій малоймовірний, але все може змінитися. Чому є сумніви у "глибокому проникненні"? Публічні вебсайти рідко напряму звертаються до великих сховищ дійсно чутливих даних, оминаючи адекватні засоби безпеки. Але ставлення до кібербезпеки загалом і в державних установах зокрема, далеке від "найкращих практик".

Звідки может походити атака? Нижче здогади мої та моїх колег.

Рука Росії

Перший, хто спадає на думку, – північний сусід. Зважаючи на 100 000-ну армію, яку Росія зібрала біля кордонів України, інформаційна кампанія виглядає цілком логічною і своєчасною. Мета очевидна: посіяти серед українців паніку, вчергове поляризувати суспільство та дискредитувати владу. І зважаючи на жвавий інтерес до подій і рівень коментарів у ЗМІ, їм це вже вдалося.

Проте, де факти

По-перше, підозра на використання атакованими вебсайтами системи управління вмістом OctoberCMS, написала журналістка Кім Зеттер, авторка розслідування про першу в історії кібератаку на критичну інфраструктуру Stuxnet. 

Зеттер дає посилання на вразливість, яку, на її думку, було використано для зламу. Це нічим не примітна дірка безпеки з середнім рівнем ризику (6.4/10), що у разі вмілого використання може надати хакеру змогу перехопити контроль над чужим обліковим записом. Вразливість було знайдено ще восени минулого року.

Деталі вразливості можна прочитати за посиланням, а деталі експлуатації вмілому аналітику з аппсеку будуть очевидні з диффів відповідного виправлення, посилання на які можна знайти там само.

Звісно, привертають увагу спеціалісти, які знайшли й відзвітували про цей недолік безпеки. Список із характерних імен і прізвищ можна знайти в подяці розробників OctoberCMS за їхній звіт про цю вразливість.

- Andrey Basarygin
- Andrey Guzei
- Mikhail Khramenkov
- Alexander Sidukov
- Maxim Teplykh

Кілька хвилин пошуку в інтернеті дають і без того очевидний результат: це все російські громадяни, які дуже активно займаються пошуком вразливостей у популярному програмному забезпеченні.

Під час пошуку інформації про цих людей випливають такі установи як Positive Technologies і Ростелеком, проте увагу привертає інший об’єкт їхніх спільних досліджень. Це ще одна система управління вмістом вебсайтів Typo3. І так,  вони знайшли кілька не менш цікавих вразливостей у ній та її популярних розширеннях.

Я не аналітик із кіберзагроз, проте інтуїція підказує мені, що у разі, якщо у вас Typo3, почніть розслідувати інцидент просто зараз.

Якщо шукати подяки та згадування цих "спеців" у різних security advisories, можна побудувати дуже цікаву соцмережу російських дослідників безпеки: хто із ними співпрацював і які вразливості в інших системах репортив. 

Шановні аналітики державних кіберцентрів, до вас звертаюся. У вас же десь у Casefile вже є докладний граф їхніх стосунків і фактів співпраці?

Ось, наприклад, звіт на Хабр про цілу низку CMS, якими пройшлася внутрішня команда пентестерів Ростелекому:

- Contao
- Concrete5
- ExpressionEngine
- Typo3
- OctoberCMS
- ModX

Список продуктів цікавий і дуже популярний, і якщо у вас є щось із цього, і ви це не оновлюєте, дивіться пораду про Typo3 вище.

Список учасників дослідження теж цікавий, проте ви вже бачили його раніше: Андрій Басаригін, Максим Теплих, Михайло Храменков, Андрій Гузей, Олександр Колесов, Олександр Сидуков.

У статті "The Router Security Is Decadent and Depraved" (журнал Paged Out! за 1 серпня 2019 року) у співавторах випливає "Igor Chervatyuk", і стає очевидно, що в них із Басаригіним на рахунку є успіхи не лише у вебзастосунках, але й загалом собі у хардкорному реверсі.

Тобто хлопці досліджують, звітують і просувають світову кібербезпеку. Як захисну – коли дають вендорам можливість виправити вразливості, так і наступальну – коли дозволяють спецслужбам перетворити вразливості на зброю та використати в кібератаках проти систем, адміни яких не поспішають з оновленнями.

Публічної інформації про таку діяльність вистачає: дослідження вразливостей дуже добре впливають на кар’єру спеціалістів із кібербезпеки та бізнес їхніх роботодавців. Шукаючи дослідження, звіти, співавторів і так по колу – складається дуже цікава картина. Зокрема про те, звідки і по яких точках нам варто було б чекати наступного удару. Сподіваюся, саме таким аналізом зараз зайняті аналітики українських державних центрів захисту від кіберзагроз.

Замість роздавати спекулятивні коментарі телеканалам, я витратив кілька хвилин для підготовки цього тексту. 

Сподіваюся, він наштовхнув вас на конструктивні роздуми. Бережіться.

Оригінал

Якщо Ви помітили орфографічну помилку, виділіть її мишкою і натисніть Ctrl+Enter.
Статті, що публікуються в розділі "Думки", відображають точку зору автора і можуть не збігатися з позицією редакції LIGA.net

Коментарі

Останні новини