США вернули Colonial Pipeline большую часть от уплаченного хакерам выкупа
Власти США вернули несколько миллионов долларов, которые были уплачены трубопроводной компанией Colonial Pipeline в качестве выкупа хакерам, взломавшим ее компьютерную сеть. Об этом заявила заместитель генерального прокурора США Лиза Монако, передает Reuters.
Как сообщил на пресс-конференции для журналистов в Минюсте заместитель директора ФБР Пол Эббот, правоохранительные органы смогли изъять часть выплаченной хакерам суммы с электронного кошелька для биткоинов группировки DarkSide. По его словам, хакеры не смогли воспользоваться средствами, которые им заплатила Colonial Pipeline.
Colonial Pipeline — один из крупнейших трубопроводных операторов в США. Хакерская атака произошла 6 мая, а уже на следующий день компания была вынуждена остановить работу трубопровода. Из-за этого под угрозой оказались поставки горючего на автозаправки сразу в нескольких густонаселенных штатах на Восточном побережье. По данным Colonial Pipeline, трубопровод обеспечивает 45% поставок топлива на востоке США. По оценке Bloomberg, атака могла привести к взлету цен на бензин в США до самого высокого с 2014 года уровня.
О том, что за взломом стоит хакерская группа DarkSide, говорили СМИ и ФБР. Считалось, что ее члены — выходцы из Восточной Европы, однако после нападения на сети Colonial Pipeline американские СМИ сообщили, что группа «происходит из России». При этом они уточнили, что данных о том, что ее работу курируют российские власти, нет.
Могут ли помочь власти при атаке шифровальщиков?
Как Colonial Pipeline удалось лишить злоумышленников доступа к похищенным данным.
Один из самых резонансных инцидентов с вымогателями-шифровальщиками за последнее время — недавняя атака на Colonial Pipeline, компанию, снабжающую топливом изрядную часть восточного побережья США. Детали этой атаки по понятным причинам не разглашаются, однако обрывки информации просачиваются в СМИ — и из этой информации можно извлечь как минимум один урок: если своевременно обратиться в правоохранительные органы, есть шанс уменьшить ущерб от атаки. Разумеется, выбор есть не у всех — в некоторых странах жертва обязана проинформировать регулятора. Однако даже там, где это необязательно, такое обращение может оказаться небесполезным.
Чем может помочь обращение к властям
Современные вымогатели не только шифруют данные и требуют выкуп за расшифровку, но и воруют информацию из корпоративной сети, чтобы шантажировать еще и их публикацией. Именно так поступили преступники в случае с Colonial Pipeline — злоумышленники выкачали порядка 100 гигабайт данных из сети компании.
Однако, по информации Washington Post, внешние эксперты, проводящие расследование инцидента, быстро разобрались в случившемся, выяснили, куда были скопированы похищенные данные, и связались с ФБР. Федералы, в свою очередь, обратились к провайдеру, на сервер которого была загружена эта информация, и добились изоляции сервера. В результате киберпреступники могли лишиться доступа к серверу с похищенной у Colonial Pipeline информацией, а сама Colonial Pipleine таким образом, возможно, смогла смягчить последствия утечки.
Разумеется, это не отменяет того факта, что основные трубопроводы Colonial Pipeline до сих пор не работают. Ущерб нанесен немалый, однако очевидно, что если бы данные остались в руках преступников, то он мог бы быть еще большим.
Что произошло в Colonial Pipeline, и каковы последствия инцидента
В пятницу 7 мая компания Colonial Pipeline, поддерживающая крупнейший на восточном побережье США трубопровод для передачи топлива, подверглась атаке шифровальщика. Сотрудники компании были вынуждены приостановить работу информационных систем, частично из-за того, что некоторые компьютеры были зашифрованы, а частично — чтобы предотвратить распространение заразы. Это вызвало задержки в поставках топлива по восточному побережью и привело к тому, что фьючерсы на бензин выросли на 4%. Для смягчения ущерба даже планируется увеличение поставок горючего при помощи автоцистерн.
Компания продолжает восстановление своих систем, но, по информации источников блога Zero Day, проблема может быть не столько в технологических сетях, сколько в системе биллинга. Пока она не будет восстановлена, Colonial Pipeline не сможет автоматически выставлять счета своим клиентам.
Кто атаковал Colonial Pipeline
По всей видимости, компания была атакована при помощи вредоносного ПО DarkSide. Шифровальщики DarkSide могут работать как под Windows, так и под Linux (продукты Kaspersky детектируют его как Trojan-Ransom.Win32.Darkside and Trojan-Ransom.Linux.Darkside). В них используются надежные алгоритмы шифрования, так что вернуть данные без ключа возможным не представляется.
Злоумышленники, стоящие за DarkSide, выкладывают похищенные данные на площадке DarkSide Leaks в даркнете. Недавно мы писали о том, что эта группировка со стороны выглядит как полноценный провайдер онлайн-сервиса — со службой техподдержки, пиар-отделом и пресс-центром. На сайте злоумышленников незамедлительно появился дисклеймер о том, что они не преследуют политических целей, а просто пытаются заработать денег.
DarkSide работает по системе Ransomware-as-a-service — предлагают свое ПО и сопутствующую инфраструктуру, а непосредственно атаки совершают их партнеры, которые самостоятельно ищут пути распространения зловреда. За выбор Colonial Pipeline в качестве цели как раз и был ответственен один из таких партнеров. По словам преступников из Darkside, они не хотели столь серьезных социальных последствий атаки и впредь будут тщательнее изучать жертв, намечаемых «посредниками». Впрочем, не факт, что это утверждение правдиво — весьма вероятно, что это очередной пиар-трюк вымогателей.
Как защититься от атак шифровальщиков
Чтобы обезопасить вашу компанию от атак с использованием программ-вымогателей, специалисты «Лаборатории Касперского» рекомендуют:
Ну и, как показывает пример с Colonial Pipeline, имеет смысл обращаться за помощью к правоохранительным органам, причем чем раньше, тем лучше. Гарантий это, конечно, не дает, но иногда позволяет значительно уменьшить возможный ущерб.
DarkSide vs Colonial Pipeline. Как взлом оператора трубопроводов вынудил андеграунд запретить шифровальщики
Содержание статьи
Атака на Colonial Pipeline
Крупные компании и организации в последнее время нередко становятся жертвами хакерских атак. Но если одни хакерские группы обещают не атаковать сферу здравоохранения, критическую инфраструктуру и в целом стараются не привлекать к себе излишнее внимание, другие не щадят никого и даже во время пандемии коронавируса атакуют сети медицинских учреждений.
Атака на компанию Colonial Pipeline, которая является крупнейшим в США оператором трубопроводов и занимается транспортировкой топлива, стала резонансным инцидентом. Из‑за этой атаки возникли проблемы с поставками бензина, дизельного топлива, авиационного топлива и других продуктов нефтепереработки в ряде штатов.
Дело в том, что инцидент вынудил Colonial Pipeline временно приостановить работу, а компания транспортирует нефтепродукты между нефтеперерабатывающими заводами, расположенными на побережье Мексиканского залива, и рынками на юге и востоке США. В день по трубопроводу компании, чья протяженность составляет 5500 миль, проходит до 2 500 000 баррелей, то есть примерно 45% всего топлива, потребляемого на Восточном побережье США.
«7 мая стало известно, что компания Colonial Pipeline стала жертвой кибератаки. Мы превентивно отключили определенные системы, чтобы сдержать угрозу, которая временно прервала работу нашего трубопровода и затронула некоторые ИТ‑системы. Узнав о проблеме, мы обратились к сторонней фирме, занимающейся кибербезопасностью, и они уже начали расследование характера и масштабов этого инцидента, которое еще продолжается», — гласило официальное заявление Colonial Pipeline, сделанное сразу после инцидента.
В результате Федеральная администрация безопасности грузового автомобильного транспорта при Министерстве транспорта США объявила региональный режим ЧС, затрагивающий 17 штатов и округ Колумбия. Это решение было принято для оказания помощи пострадавшим районам, нуждающимся в немедленных поставках бензина, дизельного топлива, авиакеросина и других продуктов нефтепереработки.
Режим ЧС распространялся на следующие штаты и округа: Алабама, Арканзас, Вирджиния, Делавэр, Джорджия, Кентукки, округ Колумбия, Луизиана, Миссисипи, Мэриленд, Нью‑Джерси, Нью‑Йорк, Пенсильвания, Северная Каролина, Теннеси, Техас, Флорида и Южная Каролина.
Представители Colonial Pipeline уверяли, что работают с правоохранительными органами и Министерством энергетики США, чтобы постепенно вернуть в строй сегменты трубопровода и в кратчайшие сроки восстановить работу ИТ‑систем.
Выкуп в размере 4,4 миллиона долларов
Вскоре после того как о взломе стало известно, издание Bloomberg, со ссылкой на собственные анонимные источники, сообщило, что компания выплатила вымогателям выкуп в размере 5 миллионов долларов США. Хотя при этом Washington Post и Reuters писали, что компания не намерена вести переговоры со злоумышленниками, журналисты Bloomberg заявили, что эта информация не соответствует действительности.
Почти одновременно с появлением этих сообщений в прессе Colonial Pipeline действительно удалось восстановить штатную работу своего трубопровода, и поставки нефтепродуктов были возобновлены в нормальном объеме.
Сообщение о возобновлении работы трубопровода
Несколько дней спустя глава Colonial Pipeline Джозеф Блаунт (Joseph Blount) официально подтвердил журналистам Wall Street Journal, что компания заплатила злоумышленникам 4,4 миллиона долларов США в биткойнах. По его словам, это было необходимо, чтобы как можно быстрее оправиться от атаки шифровальщика, которая оказала влияние на критически важную энергетическую инфраструктуру. Блаунт назвал выплату выкупа «правильным поступком», сделанным «ради страны».
«Я знаю, это весьма спорное решение. Мне было нелегко это сделать. Признаюсь, было некомфортно наблюдать за тем, как деньги уходят к подобным людям», — рассказал Блаунт, заявив, что выкуп был выплачен еще 7 мая.
В итоге компания действительно получила инструмент для дешифрования данных, однако он работал столь медленно, что специалисты компании были вынуждены продолжить ранее начатое восстановление систем из резервных копий.
DarkSide
Почти сразу было известно, что за атакой на Colonial Pipeline стоят операторы шифровальщика DarkSide. Первым об этом сообщило издание Washington Post, и вскоре эту информацию официально подтвердило ФБР.
Группировка, создавшая малварь DarkSide, активна с августа 2020 года и работает по схеме «вымогатель как услуга» (Ransomware as a Service, RaaS), активно рекламируя малварь в даркнете и сотрудничая с другими хак‑группами. В итоге DarkSide представляет собой классического «охотника за крупной дичью», то есть преимущественно атакует крупные корпоративные сети, шифрует данные, а затем требует у пострадавших компаний огромные выкупы. Если жертвы отказываются платить, участники DarkSide публикуют похищенные у них данные на своем сайте в даркнете.
Согласно свежему отчету компании Elliptic, занимающейся блокчейн‑анализом, к настоящему моменту хакеры успели «заработать» на выкупах около 90 миллионов долларов.
«В общей сложности чуть более 90 миллионов долларов в биткойнах было выплачено DarkSide из 47 различных кошельков», — говорится в отчете компании.
Поскольку DarkSide работал по модели RaaS, разработчики шифровальщика оставляли себе около 25% выплаченных выкупов или 10%, если выкуп превышал 5 миллионов долларов. Поэтому в Elliptic полагают, что в действительности сами хакеры «заработали» около 15,5 миллиона долларов, а остальные средства остались в руках «партнеров» группировки (злоумышленников, которые взламывают сети жертв и разворачивают в них малварь).
Многие эксперты заявляли, что, атаковав Colonial Pipeline, хакеры зашли слишком далеко и теперь представляют большой интерес для правоохранительных органов США.
При этом президент США Джо Байден заявил на пресс‑конференции, что информации о причастности к этой атаке российского правительства нет, но, по данным спецслужб, участники хак‑группы могут находиться на территории России. Байден сообщал, что власти США намерены помешать работе хак‑группы, и для этого уже были проведены переговоры с Москвой.
Исчезновение DarkSide
Так как атака на Colonial Pipeline привлекла внимание экспертов, спецслужб и СМИ со всего мира, уже через несколько дней хакеры поспешили выпустить заявление. Тогда как в прессе данную атаку пытались приписать российским правительственным хакерам, в «пресс‑релизе», который был опубликован на сайте DarkSide 10 мая, говорилось, что группировка аполитична и преследует исключительно собственные цели. Также хакеры, похоже, были не рады тому, какой хаос спровоцировали их действия. Они пообещали впредь внимательнее проверять будущие цели:
«Мы аполитичны, не связаны с геополитикой, и не нужно связывать нас с определенными правительствами и искать другие мотивы. Наша цель — зарабатывать деньги, а не создавать проблемы для общества.
С сегодняшнего дня мы вводим модерацию и будем проверять каждую компанию, которую наши клиенты хотят зашифровать, чтобы избежать подобных социальных последствий в будущем».
14 мая 2021 года операторы DarkSide обнародовали еще одно сообщение, в котором заявили, что они утратили контроль над своими веб‑серверами и средствами, полученными в результате выплаты выкупов, и теперь прекращают работу.
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Мария Нефёдова
Блондинка, гик, книжный червь, синефил. Редактор ленты новостей; иногда автор Сцены.
Зашифрованные отношения: как атака на трубопровод Colonial Pipeline может помочь России и США наладить диалог
Компания Colonial Pipeline, оператор одноименной трубопроводной системы, 7 мая обнаружила, что стала жертвой атаки вируса-шифровальщика. Зараженной оказалась корпоративная сеть, не связанная непосредственно с производственным процессом. Тем не менее в компании решили на всякий случай приостановить работу трубопровода, чтобы сдержать распространение шифровальщика. Поставки топлива возобновилась только спустя пять дней.
Идущий из Техаса в Нью-Йорк трубопровод доставляет на восточное побережье США примерно 45% потребляемого там топлива, и его остановка спровоцировала нехватку бензина и рост цен на него на юге и востоке страны — по состоянию на утро 13 мая топлива не было на 17 000 заправок. Власти штатов Вирджиния, Джорджия, Северная Каролина, Флорида объявили чрезвычайное положение. Ситуация оказалась в центре внимания Белого дома, который подключил к реагированию федеральное правительство.
Этот инцидент иллюстрирует, насколько уязвимыми могут быть объекты критической инфраструктуры не только перед целенаправленными деструктивными атаками, но и перед действиями, мотивированными исключительно корыстными интересами. Бизнес-модель злоумышленников, использующих шифровальщики, в целом выглядит следующим образом: с помощью специального программного обеспечения они зашифровывают данные жертвы и требуют выкуп в обмен на ключ для расшифровки. Дополнительно они могут угрожать сливом похищенных данных.
Однако даже если злоумышленники не преследуют цель нарушить работу объекта критической инфраструктуры, это может стать косвенным результатом. В случае Colonial Pipeline решение о приостановке трубопровода было принято самой компанией. Оно, в свою очередь, вызвало панику у потребителей и привело к нехватке бензина.
Именно опосредованные эффекты кибератаки стали одной из причин, почему эта проблема оказалась на повестке дня американской администрации. В последнее время и США, и другие страны мира все чаще сталкиваются с этим вызовом. Kaspersky отмечает, что в 2019-2020 годах количество целевых атак с использованием шифровальщиков против их клиентов увеличилось на 767%. В США в 2018-2020 годах органы власти разных уровней подвергались атакам шифровальщиков 246 раз. В 2020 году серии атак подверглись американские госпитали.
На темной стороне
Другая причина внимания Белого дома к инциденту лежит в политическом поле. Джо Байден обозначил вопросы кибербезопасности в качестве одного из ключевых приоритетов своего президентства. За время правления Дональда Трампа в Вашингтоне сложился консенсус относительно того, что Америка недостаточно решительно борется с угрозами в киберпространстве. Новая администрация демонстрирует готовность исправить это положение с помощью назначения ответственных за проблему чиновников, новых законодательных инициатив, дипломатических шагов или введения санкций. В этом контексте кибератака на Colonial Pipeline, как и другие заметные инциденты первых месяцев президентства Байдена, рассматриваются как возможность воплотить на практике новый подход.
Показательным является то, насколько быстро США публично назвали виновных. Уже через три дня, 10 мая, ФБР заявило, что ответственным за кибератаку является группа Darkside. Как правило, американские спецслужбы называют конкретные группы или страны, причастные к тому или иному инциденту, спустя несколько недель или месяцев после события. Скорость атрибуции призвана в том числе показать внутренней и внешней аудитории готовность профильных ведомств США к борьбе с киберугрозами.
Группа Darkside создана сравнительно недавно и известна специалистам по информационной безопасности с августа 2020 года. Она работает по модели «шифровальщик как услуга» (ransomware-as-a-service): разработчики вредоносной программы не заражают ею жертв самостоятельно, а сдают в аренду партнерам в обмен на часть выручки.
В Darkside предположительно участвуют злоумышленники из России или стран Восточной Европы. На это указывают такие факты, как первое упоминание группы на русскоязычном хакерском форуме, связи с другими группами из этого региона, характерные особенности использования английского языка. В 2020 году специалисты отмечали, что шифровальщик Darkside перед заражением проверяет, есть ли на машине-жертве раскладки клавиатуры на русском и других языках, распространенных на постсоветском пространстве, и при их наличии не шифрует этот компьютер. Таким образом, хакеры соблюдают негласное правило «не работать по РУ», то есть не совершать преступлений против российских организаций. Впрочем, компания FireEye, нанятая Colonial Pipeline для расследования инцидента, в своем отчете сообщает, что появившаяся в мае 2021 года версия шифровальщика не проверяет язык раскладки перед заражением.
Несмотря на мрачное название, Darkside позиционирует себя как Робин Гуда. На своем сайте в даркнете группа заявляет, что будет атаковать только «богатых» (компании, которые могут себе позволить оплатить выкуп), и перечисляет виды организаций, которые не будут подвергаться атакам шифровальщика (медицинские, похоронные, образовательные, неправительственные, государственные). В октябре 2020 года Darkside сообщала о якобы переведенных пожертвованиях благотворительным организациям. 10 мая на фоне ситуации вокруг Colonial Pipeline в очередном пресс-релизе группа заявила, что не интересуется политикой, и пообещала впредь проверять, кого хотят атаковать ее партнёры, чтобы избежать негативных последствий для общества. Эти и другие заявления Darkside невозможно проверить, но их можно рассматривать как часть PR-кампании группы, что свидетельствует о профессионализации создателей шифровальщиков.
Американские официальные лица отмечают, что злоумышленники могут находиться в России. Однако в отличие от других кибератак, в которых обвиняют Москву, в данном случае не выдвигаются претензии к российским спецслужбам. Наоборот, такие чиновники, как заместитель советника президента по национальной безопасности по кибервопросам Энн Нойбергер, глава Министерства энергетики Дженнифер Грэнхолм и сам Джо Байден отмечают, что США не видят связи между группой Darkside и российским правительством.
Повестка для саммита
Президент США считает, что, несмотря на непричастность российских властей к кибератаке, на России может лежать определенная ответственность в том случае, если злоумышленники находятся на ее территории. Это сигнал о том, что американская сторона может вынести проблему шифровальщиков на предстоящий российско-американский саммит. На брифинге 13 мая Байден заявил: «Мы напрямую общаемся с Москвой по поводу необходимости принятия ответственными странами решительных мер против этих сетей шифровальщиков». И позднее добавил, что принятие неких международных стандартов в этой связи может быть одной из тем для разговора с Владимиром Путиным.
Наконец, в многостороннем формате (под эгидой группы правительственных экспертов ООН) Россия и США еще в 2015 году приняли ряд добровольных правил поведения для киберпространства. Они в том числе предполагают, что страна не должна заведомо позволять использовать свою территорию для совершения кибератак против другой страны. Как соблюдать эти правила, стороны не договорились, так что это вопрос для более предметного взаимодействия России и США.
С обеих сторон нет слишком амбициозных ожиданий от саммита, но и российские, и американские представители заявляли о готовности сотрудничать там, где это отвечает их интересам. Таким пересечением может быть сфера информационной безопасности, особенно если переговорщикам удастся выделить наименее политизированные вопросы. Это не поменяет траекторию двусторонних отношений, но может предотвратить хотя бы часть новых кибератак.
Хакеры остановили крупнейший трубопровод США. За атакой могут стоять преступники из постсоветских стран
Автор фото, Colonial Pipeline
Министерство транспорта США объявило чрезвычайное положение в нескольких штатах из-за остановки крупнейшего трубопровода Colonial Pipeline после кибератаки. Цены на американские нефтепродукты растут, биржевые трейдеры заказывают топливо из Европы, а источники информагентств связывают стоявшую за нападением группировку DarkSide с хакерским сообществом стран бывшего Советского Союза.
По нефтепроводу Colonial Pipeline протяженностью 8850 км ежедневно транспортируется 2,5 млн баррелей нефтепродуктов, обеспечивая 45% потребности Восточного побережья в дизеле, бензине и авиационном топливе.
В пятницу трубопровод полностью остановился из-за кибератаки и пока не вернулся к работе. Ответственность за нападение взяла на себя группировка DarkSide. Аналитики считают, что она может состоять из русскоязычных хакеров.
Из-за действий хакеров Восточному побережью США угрожает энергетический кризис.
Чрезвычайное положение
Из-за остановки трубопровода начали расти котировки нефтепродуктов: в понедельник эксперты предсказывают рост на 2-3%, но чем дольше не работает трубопровод, тем больше риск тяжелых экономических последствий.
Автор фото, Colonial Pipeline
Трейдеры по словам Шармы, сейчас сбиваются с ног, пытаясь найти нефть. Запасы топлива и нефти в США падают, а спрос, особенно на бензин, растет по мере возвращения водителей на дороги после карантина.
Экстренные меры правительства позволяют перевозить нефтепродукты в Нью-Йорк на танкерах. Однако Гаурав Шарма говорит, что для компенсации потери трубопровода этого далеко не достаточно. По информации агентства Рейтер, трейдеры Восточного побережья в понедельник забронировали по меньшей мере шесть танкеров для поставки нефти в Нью-Йорк.
Что известно о нападении?
Такая картинка возникает на экране компьютера, ставшего жертвой атаки DarkSide методом ransomware
В компании Colonial говорят, что сотрудничают со следствием, экспертами по кибербезопасности и Министерством энергетики США.
В воскресенье компания сообщила, что ей удалось наладить работу труб между некоторыми терминалами и точками доставки, хотя четыре основные ветки трубопровода отключены. Colonial уточнила, что трубопровод прекратил работу из-за необходимости «снизить риски». В компании заявили, что вернут его к работе, только когда сочтут, что «это безопасно и не нарушает федеральных регулятивных норм».
Ransomware как услуга
Для этого преступники использовали беспрецедентно масштабную компьютерную систему стоимостью десятки миллионов долларов. Такого в индустрии кибербезопасности не видели еще никогда.
Перечисление похищенных данных на сайте DarkSide в «глубоком интернете»
Мы быстро, просто и понятно объясняем, что случилось, почему это важно и что будет дальше.
Конец истории Подкаст
По данным лондонской компании по кибербезопасности Digital Shadows, хакерская группа DarkSide действует по принципу бизнес-сообщества. Группировка сама разрабатывает программы для шифрования и хищения данных, а потом проводит обучение сообщников, которые получают набор инструментов: собственно, хакерскую программу, шаблон письма с требованиями, а также инструкции о том, как правильно проводить атаки.
Затем сообщники делятся с DarkSide частью выручки от успешных атак. В марте, когда группировка выпустила новый, быстро шифрующий данные вирус, она разослала журналистам пресс-релиз и предложения об интервью.
Как прошла атака
Основатель Digital Shadows Джеймс Чапелл считает, что DarkSide просто купила логин и пароль от используемой компанией утилиты удаленного доступа, например TeamViewer или Microsoft Remote Desktop.
У группировки хакеров есть этические «принципы», которые они публикуют на своем сайте в даркнете
Данные Digital Shadows показывают, что преступники, скорее всего, находятся в стране, где понимают русский язык, поскольку DarkSide избегает нападений на компании в странах бывшего Советского Союза, таких как Россия, Казахстан и Украина.
