Jak oprogramowanie ransomware uszkodziło dostawy paliwa w USA

16 czerwca 2021 r. By Nicka Andersona Bez komentarza 7 minut

Zdolność złośliwego oprogramowania do zakłócania usług lub działalności biznesowej jest głęboka. Brak odpowiednich zabezpieczeń i protokołów może spowodować przestoje i poważne straty finansowe. Ponadto może uniemożliwić dostęp do ważnych danych lub nawet upublicznić poufne informacje w przypadku naruszenia. Dokładnie to stało się w przypadku włamania do oprogramowania ransomware Colonial Pipeline.

Kiedy oprogramowanie ransomware zaatakowało Colonial Pipeline w maju zeszłego miesiąca, z powodzeniem przebiło się do jego cyberbezpieczeństwa i sparaliżowało działanie głównego rurociągu paliwowego. Colonial Pipeline dostarcza 45 procent paliwa na wschodnie wybrzeże USA, więc wstrzymanie operacji oznaczało znaczne utrudnienie w dostawach paliwa, które mogło skutkować podwyżkami cen.

Ale Colonial Pipeline nie był jedyną ofiarą. Okazało się, że LineStar Integrity Services zostało dotknięte naruszeniem danych, które spowodowało ogromny wyciek prywatnych danych. Poufne dane pochodzące z naruszenia wciąż krążą po ciemnych zakamarkach sieci.

Ponieważ coraz więcej ofiar złośliwego oprogramowania, zwłaszcza oprogramowania ransomware, wciąż się gromadzi, istnieje bardzo potrzebna informacja o tym, jak działa złośliwe oprogramowanie i dlaczego jest jednym z najbardziej destrukcyjne formy złośliwego oprogramowania tam.

Get FastestVPN

Co to jest Ransomware?

Ransomware to rodzaj złośliwego oprogramowania, które blokuje dostęp do danych poprzez ich zaszyfrowanie. Szyfrowanie to proces przekształcania zwykłego tekstu w nieczytelny format zwany tekstem zaszyfrowanym przy użyciu złożonych algorytmów. Po zaszyfrowaniu dokument zawierający dane, takie jak dane osobowe lub coś związanego z pracą, będzie wyglądał jak kompletny bełkot.

Jedynym sposobem przywrócenia go do pierwotnego stanu (zwykły tekst) jest użycie klucza deszyfrującego. Kluczem jest to, co będziesz musiał odzyskać od atakującego, płacąc okup. Jest to jedna z najbardziej destrukcyjnych form złośliwego oprogramowania, ponieważ nawet program antywirusowy nie może usunąć szyfrowania, podczas gdy inne rodzaje złośliwego oprogramowania, takie jak wirusy, mogą zostać usunięte z systemu. W przypadku ataku ransomware jedynym sposobem na odzyskanie danych jest zapłacenie okupu, który w przypadku organizacji międzynarodowej może sięgać milionów.

Hack Colonial Pipeline Ransomware

7 maja firma Colonial Pipeline poinformowała, że padła ofiarą cyberataku. Typ ataku został zidentyfikowany jako oprogramowanie ransomware, które zaszyfrowało dane Colonial Pipeline i zażądało oprogramowania ransomware. Atakujący byli w stanie włamać się i ukraść prywatne dane, które zagrozili udostępnieniem online, jeśli okup nie zostanie zapłacony.

Pełen charakter ataku nie był wówczas znany; w związku z tym firma zdecydowała się na wyłączenie niektórych operacji, aby powstrzymać zagrożenie. Firma chciała mieć pewność, że osoby atakujące nie będą miały dostępu do jej systemów i nie będą mogły wpływać na zautomatyzowane procesy, na których opierają się branże takie jak ona. Colonial Pipeline skorzystał z pomocy firmy zajmującej się cyberbezpieczeństwem o nazwie Mandiant. Po dokładnym zbadaniu charakteru ataku, operacje powoli przechodziły do sieci, a cała operacja była online w ciągu tygodnia.

Okazało się, że przysłowiową dziurą w łodzi było złamane hasło VPN, które umożliwiło atakującym uzyskanie dostępu. Wirtualna sieć prywatna (VPN) umożliwia zdalnym pracownikom logowanie się do sieci lokalnej i dostęp do zasobów niedostępnych dla sieci zewnętrznych. Odkryto, że przejęte hasło VPN było częścią ujawnionych haseł dostępnych w ciemnej sieci.

Nie pomogło to, że powiązane konto nie miało uwierzytelniania wieloskładnikowego. Podkreśliliśmy, jak ważne Two-Factor Authentication (2FA) służy bezpieczeństwu Twojego konta. Nawet gdyby ktoś znał hasło do Twojego konta, nie byłby w stanie się zalogować bez drugiej weryfikacji, na przykład jednorazowego kodu dostępu (OTP) wysłanego na Twój telefon.

Możliwe implikacje takiego ataku

Chociaż Colonial Pipeline jest firmą prywatną, obsługuje jeden z głównych towarów: paliwo. W ramach dostarczanych codziennie 2.5 mln baryłek duża część trafia również na lotniska w USA. Zatem takie ataki mają poważne implikacje, takie jak zaangażowanie zagranicznych agencji wywiadowczych w sparaliżowanie krajowego przemysłu.

Federalne Biuro Śledcze (FBI) i inne siły federalne, takie jak Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury, były głęboko zaangażowane w tę sprawę. FBI Zatwierdzony że było to dzieło grupy cyberprzestępczej znanej jako Darkside.

Grupa hakerów wydała oświadczenie że włamanie do oprogramowania ransomware Colonial Pipeline było motywowane pieniędzmi, a nie wpływami zagranicznymi.

Jak FBI zareagowało na włamanie do Colonial Pipeline Ransomware

W zdumiewającym wyczynie FBI było w stanie odzyskać okup zapłacony hakerom przez Colonial Pipeline za odzyskanie skradzionych danych i klucza deszyfrującego.

Cyberprzestępcy zwykle żądają okupu w kryptowalucie, ponieważ trudniej ją wyśledzić. Brak centralnego organu kontrolującego transakcje i zaszyfrowany charakter portfeli sprawiają, że śledzenie środków jest prawie niemożliwe. Ale wydaje się, że FBI to rozgryzło.

FBI monitorowało księgę bitcoinów i śledziło transfer 64 bitcoinów na adres. Następnie FBI użyło klucza należącego do portfela Bitcoin i odzyskało te bitcoiny. To niezwykłe osiągnięcie, ponieważ portfel kryptograficzny przechowuje klucz prywatny wymagany do autoryzacji transakcji. Jeśli ktoś zdobędzie Twój klucz prywatny, możesz stracić cenne Bitcoiny w portfelu.

FBI nie ujawniło, jak udało się to zrobić.

„Nie chcę rezygnować z naszego rzemiosła na wypadek, gdybyśmy chcieli użyć go ponownie w przyszłych przedsięwzięciach” – Elvis Chan, FBI

Ponadto FBI zlikwidowało serwery i strony internetowe obsługiwane przez Darkside. Grupa hakerów ogłosił jego plan zamknięcia Ransomware-as-a-Service (RaaS), zasadniczo likwidując jego działalność na dobre.

Kryptowaluty są często wykorzystywane przez przestępców do przesyłania pieniędzy lub żądania okupu. Do tej pory uważano go za niewykrywalny. Zjadliwa odpowiedź wysyła cyberprzestępcom wiadomość, że nie mogą oczekiwać, że uciekną przed kradzieżą cyfrową, tak jak kiedyś.

Hack LineStar Integrity Services — kolejne naruszenie danych

W miarę rozwoju wydarzeń związanych z atakiem inna firma z siedzibą w USA stała się ofiarą naruszenia bezpieczeństwa danych. The raport ujawniło, że LineStar Integrity Services miało ogromne naruszenie, które spowodowało wyciek danych o wartości 70 GB. Włamanie, które jest wynikiem grupy hakerów o nazwie Xing Team, nie trafiło na pierwsze strony gazet, ponieważ firma postanowiła milczeć w tej sprawie.

LineStar Integrity Services sprzedaje klientom rozwiązania w zakresie zgodności, konserwacji i technologii. Dane uzyskane w wyniku naruszenia zostały wrzucone do ciemnej sieci. Jak informowaliśmy, zawiera e-maile, dokumenty biznesowe, zastrzeżony kod, a nawet dane pracowników, takie jak prawa jazdy i karty ubezpieczenia społecznego.

Fakt, że takie dane istnieją publicznie, otwiera teraz drzwi dla wielu złowrogich możliwości. Cyberprzestępcy mogą wykorzystać te informacje do uruchomienia phishing i Spear Phishing kampanie przeciwko osobom wymienionym w przecieku. LineStar zapewnia integrację i technologię, dzięki czemu dane mogą pozwolić hakerom znaleźć w nich luki i przeprowadzić kolejny atak typu Colonial Pipeline.

Wniosek — jak chronić się przed złośliwym oprogramowaniem

Złośliwe oprogramowanie to ogólny termin opisujący oprogramowanie zawierające „zły kod”; może zmienić funkcjonalność urządzenia lub spowodować jego znaczne uszkodzenie.

Cyberprzestępcy zawsze pracują nad znalezieniem luk w zabezpieczeniach, takich jak zero-dzień wyczyny. Pewne praktyki mogą zwiększyć Twoje szanse na stanie się ofiarą złośliwego oprogramowania. Aktualizuj urządzenie do najnowszej wersji systemu operacyjnego, aktualizuj aplikacje, nigdy nie pobieraj załączników z podejrzanych wiadomości e-mail ani nie instaluj programów z witryn internetowych innych firm.

Przede wszystkim zainwestuj w program antywirusowy, który poradzi sobie ze wszystkimi rodzajami złośliwego oprogramowania. Aktualizuj program antywirusowy pod kątem najnowszych sygnatur złośliwego oprogramowania. Gdy jesteś na ulicy lub w kawiarni, korzystając z publicznej sieci Wi-Fi, użyj VPN do szyfrowania komunikacji.

Jako firma musisz wdrożyć zarządzanie zagrożeniami i mieć jasne protokoły. Obejmuje to ograniczenie dostępu do informacji tylko do osób, które ich potrzebują w ramach pracy oraz wdrożenie zasady zerowego zaufania.