Как заражали Украину: хронология крупнейшей в истории кибератаки

Вирус Nyetya, он же Petya, зацепил многие компании. Cisco обнаружила, как он получил доступ к данным и что украл из компьютеров. Компания установила: вирус только маскировался под вымогателя денег, на самом деле он был разрушителем.

День 27 июня 2017 года начался для команды Talos, подразделения Cisco, которая анализирует угрозы информационной безопасности, с сообщений от сотрудников в Украине. Они просили о помощи: произошла массированная атака с использованием программ для вымогательства выкупа — ransomware.

Злоумышленники распространили свой код среди компьютерных систем пользователей самого популярного в Украине программного обеспечения для бухгалтерской отчетности. Они решили использовать эту уязвимость для шифрования критических файлов и жестких дисков без возможности дешифровки.

С момента атак Black Energy в конце 2015 Talos сотрудничает с публичными и частными организациями в Украине в рамках противодействия кибернетическим нападениям.

Ранее Talos уже приходилось помогать организациям, против которых были приняты деструктивные меры. Тогда в систему внесли вредоносный код для уничтожения данных, похожий на Black Energy. Однако после его блокировки злоумышленники вернулись к варианту ransomware, пытаясь помешать деятельности организаций.

Помня о последнем случае, специалисты почти сразу поняли: события, которые происходят в этот раз, есть нечто большее, чем обычная ransomware-атака.

С самого начала стало понятно: хотя большинство предыдущих случаев были в Украине, влиянию вредоносного ПО подверглись организации, которые не имели прямой связи с этой страной. Из-за очевидно большого масштаба события исследователи и инженеры Talos со всего мира объединились для борьбы с новой угрозой.

Было выяснено, что центром активности стало украинское бухгалтерское программное обеспечение MEDoc. Как и в случае с WannaCry, были сообщения о почтовом векторе атаки. Talos сделал вывод, что при распространении вредоносного кода Nyetya все инсталляции были получены через систему апдейтов MEDoc.

MEDoc — популярное программное обеспечение, созданное украинской компанией «Интеллект-сервис». Программа используется для взаимодействия с украинскими налоговыми системами. На момент обнаружения источника угрозы специалисты могли связаться с разработчиками MEDoc и предложить им помощь.

В MEDoc согласились на это предложение. В рамках глобальной реакции Cisco на событие вечером 29 июня в Украину прибыли два спец...