Расійска-ўкраінская кібервайна

Расійска-ўкраінская кібервайна — складнік супрацьстаяння паміж Расіяй і Украінай, якое ў 2014 годзе перарасло ў адкрытае ўзброенае ўварванне Расіі ва Украіну.

Першыя атакі на інфармацыйныя сістэмы прыватных прадпрыемстваў і дзяржаўныя ўстановы Украіны фіксавалі падчас масавых пратэстаў у 2013 годзе.

Расійска-ўкраінская кібервайна стала першым канфліктам у кіберпрасторы, калі была здзейснена паспяховая атака на энергасістэму з вывядзеннем яе з ладу. На думку Адміністрацыі Прэзідэнта ЗША хакерская атака на Украіну з боку Расіі ў чэрвені 2017 года з выкарыстаннем віруса NotPetya стала самай вядомай хакерскай атакай.

У лютым 2014 пачалася расійская ўзброеная агрэсія супраць Украіны, якая вялася таксама і ў кіберпрасторы. Будучы дырэктар амерыканскага Агенцтва нацыянальнай бяспекі Майкл Роджэрс з гэтай нагоды адзначаў, што разам з ваеннай аперацыяй па захопе Крыма Расія пачала супраць Украіны кібервайну. Кібервайной называюць расійскія атакі і ўкраінскія эксперты.

 Агляд 

 Пачатак канфлікту 
Кіберпагрозы Украінскай дзяржаве і грамадству ўмоўна можна падзяліць на два ключавыя ўзроўні. Першы — «класічныя» кіберзлачынствы — як цалкам арыгінальныя, так і ўжо звычайныя, для сваёй рэалізацыі яны маюць патрэбу толькі ў сучасных інфармацыйных тэхналогіях.

Другі — злачынствы, ўдельные для геапалітычнай барацьбы (ці такія злачынствы на мясцовым узроўні, якія маюць патэнцыял паўплываць на палітычнае становішча дзяржавы): хактывізм, кібершпіянаж і кібердыверсіі. Адначасова тэхнікі ажыццяўлення нападаў у абодвух выпадках дэманструюць нямала агульнага. Напрыклад, фішынгавыя тэхнікі могуць быць выкарыстаны як для завалодання сродкамі грамадзян, так і з мэтай кібершпіянажу.

Першым масіраваным выпадкам хактывізму, з якім сутыкнулася Украіна, былі падзеі вакол закрыцця файлаабменнага сэрвісу ex.ua. Пасля спроб праваахоўных органаў умяшацца ў працу файлаабменнага сэрвісу былі ажыццёўлены DDoS-атакі на больш за 10 інтэрнэт-сайтаў органаў дзяржаўнай улады, у тым ліку на сайце Прэзідэнта Украіны і на сайце Міністэрства ўнутраных спраў Украіны. Падзеі вакол ex.ua упершыню наглядна прадэманстравалі, наколькі ўкраінскае дзяржава не гатова ні ідэалагічна, ні тэхнічна да падобных нападаў. Менавіта адсутнасць прамой эканамічнай шкоды стала прычынай таго, што рэальных высноў тых падзей так і не было зроблена, а краіна аказалася непадрыхтаванай да эфектыўнага супрацьстаяння агрэсіі Расійскай Федэрацыі ў кібернетычнай сферы.

Наступная хваля хактывізму адбылася на фоне палітычнага супрацьстаяння ў кастрычніку 2013 — лютым 2014 (падзеі Рэвалюцыі годнасці). Гэтае супрацьстаянне актыўна адбывалася ў сацыяльных сетках, дзе назіраўся значны ўсплёск цікавасці да праблемы. З першага дня Еўрамайдана невядомыя пачалі масава выкарыстоўваць нетботы для засмечвання інфармацыйнага поля, увядзення людзей у зман і распаўсюджванне чутак. Напрыклад, у Twitter, дзе можна адсочваць усе падзеі па хэштэгу #євромайдан, дзясяткі нетботаў укідвалі разнастайнае інфасмецце.

Таксама былі скарыстаны механізмы ўскладнення традыцыйных камунікацый, у прыватнасці мабільнай сувязі (праз аўтаматычныя званкі на тэлефоны асобных актывістаў ці палітыкаў, што зрабіла немагчымым выкарыстанне іх мабільных тэлефонаў у працы).

Пасля пачатку ўзброенай агрэсіі Расійскай Федэрацыі супраць Украіны, кампаніі, якія спецыялізаваліся на прадастаўленні паслуг кібербяспекі, сталі рэгістраваць рост колькасці кібератак на інфармацыйныя сістэмы ў краіне. Як правіла, кібератакі былі накіраваны на схаванае выкраданне важнай інфармацыі, верагодна для прадастаўлення Расіі стратэгічнай перавагі на поле бою. Ахвярамі расійскіх кібератак сталі ўрадавыя ўстановы Украіны, краін ЕС, Злучаных Штатаў, абаронныя ведамствы, міжнародныя і рэгіянальныя абаронныя і палітычныя арганізацыі, аналітычныя цэнтры, сродкі масавай інфармацыі, дысідэнты.

З пачаткам расійска-ўкраінскай вайны сталі з’яўляцца атрады антыўкраінскіх хактывістаў, якія называюць сябе «Кіберберкутам», і праўкраінскі «Кіберсотня Майдана», «Анонімусы» з расійскай або ўкраінскай «прапіскай» і г.д. Нягледзячы на складанасці ў вызначэнні ступені супрацоўніцтва хакерскіх груповак з дзяржаўнымі органамі, абапіраючыся на сабраныя доказы, можна сцвярджаць, што прарасійскія хакерскія групоўкі знаходзяцца на тэрыторыі Расіі, і што іх дзейнасць адбываецца на карысць крамлёўскага рэжыму.

Можна сцвярджаць, што з пачатку расійска-ўкраінскай вайны ў асяроддзі даследнікаў кібербяспекі палепшыліся магчымасці выяўлення, адсочванні і абароны ад груповак расійскіх хакераў. Сярод магчымых тлумачэнняў можна прывесці тое, што з абвастрэннем супрацьстаяння, расійскім хакерам не хапае часу на своечасовае абнаўленне і ўдасканаленне тактыкі, тэхналогій і метадаў дзейнасці.

Даследнікі кампаніі FireEye вылучылі дзве групоўкі расійскіх хакераў, якія актыўна праявілі сябе ў расійска-ўкраінскай кібервайне: так званая APT29 (таксама вядомая як Cozy Bear, Cozy Duke) і APT28 (таксама вядомая як Sofacy Group, Tsar Team, Pawn Storm, Fancy Bear).

У перыяд паміж 2013 і 2014 гадамі некаторыя інфармацыйныя сістэмы ўрадавых устаноў Украіны былі здзіўленыя камп’ютарным вірусам, вядомым як Snake/Uroborus/Turla. Гэта разнавіднасць шкоднаснага праграмнага забеспячэння надзвычай складаная, устойлівая да контрмер, і, як мяркуецца, створана ў 2005 годзе.

Пачынаючы з 2013 года, пачалася «аперацыя Армагедон» — расійская кампанія сістэматычнага кібершпіянажу па інфармацыйных сістэмах урадавых устаноў, праваахоўных і абаронных структур. Атрыманая такім чынам інфармацыя, верагодна, магла садзейнічаць Расіі і на полі бою. Істотным адхіленнем ад гэтага правіла стала кібердыверсія — атака на «Прыкарпаццеаблэнерга».

 Рэформы сектара кібербяспекі Украіны 
У траўні 2014 года зменамі закона «Аб Дзяржаўнай службе спецыяльнай сувязі і абароны інфармацыі Украіны» быў замацаваны афіцыйны статус каманды рэагавання на кіберпагрозы ва Украіне CERT-UA. Раней каманда працавала пры дзяржслужбе на грамадскіх пачатках. Штат CERT-UA да таго часу складаў 10 чалавек, кіраўніком быў Іван Сакалоў, існавалі намеры пашырыць каманду.

 Санкцыі супраць расійскіх распрацоўшчыкаў «антывірусаў» 
У верасні 2015 года пасля зацвярджэння Прэзідэнтам Украіны ўступіла ў сілу рашэнне СНБА ад 2 верасня 2015 года «Аб прымяненні персанальных спецыяльных эканамічных і іншых абмежавальных мер (санкцый)». Згодна з рашэннем, санкцыі ўводзяцца тэрмінам на адзін год і тычацца асоб і кампаній, якія маюць дачыненне да анэксіі Крыма і агрэсіі на Данбасе. У спіс санкцыйных кампаній патрапілі і расійскія распрацоўшчыкі антывіруснага праграмнага забеспячэння «Доктар Вэб» і «Лабараторыя Касперскага». Гэтым рашэннем дзяржаўным органам улады было забаронена закупляць ПА гэтых распрацоўшчыкаў. Галоўная прычына — стварэнне рэальных або патэнцыйных пагроз нацыянальным інтарэсам, бяспекі, суверэнітэту і тэрытарыяльнай цэласнасці, садзейнічанне тэрарыстычнай дзейнасці і/або дзейнасць, якая прывяла да акупацыі тэрыторыі Украіны. А ўжо 25 верасня 2015 года Кабінет міністраў Украіны даручыў Дзяржаўнай службе спецыяльнай сувязі і абароны інфармацыі забараніць набыццё, абнаўленне і выкарыстанне ў органах дзяржаўнай улады праграмнага забеспячэння «Лабараторыі Касперскага».

 Стратэгія кібербяспекі Украіны 
16 сакавіка 2016 года тагачасны Прэзідэнт Украіны Пётр Парашэнка падпісаў указ, якім увёў рашэнне Савета нацыянальнай бяспекі і абароны Украіны ад 27 студзеня «Аб Стратэгіі кібербяспекі Украіны». У канцэпцыі адзначаецца: «Эканамічная, навукова-тэхнічная, інфармацыйная сфера, сфера дзяржаўнага кіравання, абаронна-прамысловы і транспартны комплексы, інфраструктура электронных камунікацый, сектар бяспекі і абароны Украіны становяцца ўсё больш уразлівымі для разведвальна-выбухной дзейнасці замежных спецслужбаў у кіберпрасторы. Гэтаму спрыяе шырокая, часам дамінуючая, прысутнасць у інфармацыйнай інфраструктуры Украіны арганізацый, груп, асоб, прама або ўскосна звязаных з Расійскай Федэрацыяй».

 Нацыянальны каардынацыйны цэнтр кібербяспекі 
Указам № 242 ад 7 чэрвеня 2016 года тагачасны Прэзідэнт Украіны Пётр Парашэнка стварыў Нацыянальны каардынацыйны цэнтр кібербяспекі і прызначыў яго кіраўніком сакратара Савета нацыянальнай бяспекі і абароны Аляксандра Турчынава. На цэнтр ускладзена адказнасць за аналіз стану кібербяспекі, гатоўнасці да процідзеяння кіберпагрозам, фінансаваму і арганізацыйнаму забеспячэнню праграм і мер па забеспячэнню кібербяспекі, прагназаванню і выяўленню патэнцыяльных і рэальных пагроз у сферы кібербяспекі, удзел у арганізацыі і правядзенні міжнацыянальных і міжведамасных кіберучэнняў і трэнінгаў.

 Блакаванне расійскіх інтэрнэт-сэрвісаў ва Украіне 

Загадам № 133/2017 ад 15 траўня 2017 года тагачасны Прэзідэнт Украіны Пётр Парашэнка ўвёў у дзеянне рашэнне СНБА Украіны ад 28 красавіка 2017 года «Аб прымяненні персанальных спецыяльных эканамічных і іншых абмежавальных мер (санкцый)», якім забараніў інтэрнэт-правайдэрам прадастаўляць паслугі па доступе карыстальнікам сеткі інтэрнэт у шэраг расійскіх інфармацыйных рэсурсаў і парталаў, у тым ліку і сацыяльных сетак «VK» і «Аднакласнікі». Таксама доступ быў абмежаваны да парталаў «Mail.ru», «Яндэкс», расійскім кампаніям распрацоўшчыкаў-антывірусаў «Лабараторыя Касперскага» і «Доктар Вэб». Заблакаваны доступ да сайта «КиноПоиск».

 Траставы фонд НАТА 
Траставы фонд НАТА па садзейнічанні Украіне ў развіцці нацыянальнай здольнасці па кібернетычнай абароне (далей — ТФ НАТА) быў пачаты рашэннем Саміту НАТА ў верасні 2014 года. Альянс вызначыў Румынію краінай-лідэрам Фонду з боку НАТА. Інтарэсы ўкраінскага боку прадстаўляе СБ Украіны.

Па стане на 1 ліпеня 2017 года тэхнічнае абсталяванне і праграмнае забеспячэнне, прадугледжаныя для пастаўкі ва Украіну ў рамках першага этапу праграмы Траставага Фонду, знаходзяцца ва Украіне (на базе СБ Украіны, МЗС Украіны і Дзяржспецсувязі) і праходзяць інтэграцыю ў агульную інфраструктуру Нацыянальнай сістэмы кібербяспекі адпаведна да праекту. Вынікам сумеснай працы ўкраінскіх і румынскіх экспертаў стала стварэнне ў СБУ і Дзяржспецсувязі Сітуацыйных цэнтраў рэагавання на камп’ютарныя пагрозы. Яны дазволяць забяспечыць аналіз інцыдэнтаў бяспекі на аб’ектах крытычнай інфраструктуры і прымяняць першачарговыя меры процідзеяння. Яны дазволяць забяспечыць аналіз інцыдэнтаў бяспекі на аб’ектах крытычнай інфраструктуры і прымяняць першачарговыя меры процідзеяння.

Рашэннем Каардынацыйнай рады Траставага фонду (ліпень 2017 года) украінскім бокам ухвалена рашэнне аб далейшым кірунку развіцця нацыянальнай сістэмы кібербяспекі з улікам магчымасцяў Траставага фонду, а менавіта:
 павышэнне тэхнічных магчымасцей Украіны ў сферы кібербяспекі аб’ектаў крытычнай інфраструктуры шляхам аснашчэння аўтаматызаванымі датчыкамі падзей і падключэння да нацыянальнай сеткі сітуацыйных цэнтраў Дзяржспецсувязі і СБ Украіны;
 стварэнне Цэнтраў кібернетычнай бяспекі ў сістэме Узброеных сіл Украіны і Нацыянальнай паліцыі з іх наступным інтэграваннем у Нацыянальную сетку сітуацыйных цэнтраў.

26 студзеня 2018 года Служба бяспекі Украіны адкрыла Сітуацыйны цэнтр забеспячэння кібербяспекі, створаны на базе Дэпартамента контрвыведніцкай абароны інтарэсаў дзяржавы ў галіне інфармацыйнай бяспекі СБУ. Тэхнічнае абсталяванне і праграмнае забеспячэнне для працы Цэнтра было атрымана СБУ ў 2017 годзе ў рамках выканання першага этапа Пагаднення аб рэалізацыі траставага фонду Украіна-НАТА па кібербяспецы.

 Пагрозы кібербяспекі і меры па іх нейтралізацыі 
31 жніўня 2017 года тагачасны Прэзідэнт Пётр Парашэнка падпісаў Указ № 254/2017, якім увёў у дзеянне рашэнне Савета нацыянальнай бяспекі і абароны Украіны ад 10 ліпеня 2017 года «Аб стане выканання рашэння Савета нацыянальнай бяспекі і абароны Украіны ад 29 снежня 2016 года „Аб пагрозах кібербяспекі дзяржавы і неадкладныя меры па іх нейтралізацыі“, уведзенага ў дзеянне Указам Прэзідэнта Украіны ад 13 лютага 2017 года № 32».

Згодна з указам, урад у трохмесячны тэрмін павінен урэгуляваць пытанне аб забароне дзяржаўным органам і прадпрыемствам дзяржаўнай формы ўласнасці закупляць паслугі па доступе ў інтэрнэт у аператараў тэлекамунікацый, у якіх адсутнічаюць дакументы аб пацвярджэнні адпаведнасці сістэмы абароны інфармацыі, устаноўленым патрабаванням у сферы абароны інфармацыі.

Таксама Кабінет міністраў Украіны павінен увесці ў рамках развіцця дзяржаўна-прыватнага партнёрства механізм прыцягнення фізічных і юрыдычных асоб на ўмовах аўтсорсінгу для выканання задач кіберабароны дзяржаўных электронных інфармацыйных рэсурсаў.

СБУ павінна падрыхтаваць і падаць на разгляд парламента законапраект аб размежаванні крымінальнай адказнасці за злачынствы ў сферы выкарыстання камп’ютараў і камп’ютарных сетак, учыненыя ў адносінах да дзяржаўных і іншых інфармацыйных рэсурсаў, аб’ектаў крытычнай інфармацыйнай інфраструктуры і іншых аб’ектаў, а таксама адпаведнага размежавання падследнасці.

Дзяржспецсувязі разам з Нацпаліцыяй Украіны павінны неадкладна актывізаваць супрацоўніцтва з замежнымі партнёрамі па супрацьдзеянні кібератакам на крытычную інфармацыйную інфраструктуру, правядзенню расследаванняў такіх кібератак, устанаўленню прычын і ўмоў, якія спрыялі іх здзяйснення, а таксама прыцягненню міжнароднай тэхнічнай дапамогі для забеспячэння кіберабароны дзяржаўных электронных інфармацыйных рэсурсаў, аб’ектаў крытычнай інфармацыйнай інфраструктуры.

На працягу 2017 года ўрад павінен забяспечыць фінансаванне расходаў на праектаванне абароненага цэнтра апрацоўкі даных для размяшчэння дзяржаўных электронных інфармацыйных рэсурсаў; прыняць меры па стварэнню Нацыянальнага цэнтра аператыўна-тэхнічнага кіравання сеткамі тэлекамунікацый Украіны і яго функцыянавання; забяспечыць безумоўнае выкананне дзяржаўнымі органамі заканадаўства ў сферы тэхнічнай абароны інфармацыі, а таксама аператыўна рэагаваць ва ўстаноўленым парадку на выяўленыя парушэнні.

Таксама рэкамендавана Нацыянальнаму банку Украіны з удзелам Дзяржспецсувязі і СБУ неадкладна прыняць меры, накіраваныя на ўдасканаленне кіберабароны сістэмна важных банкаў Украіны.

Урад таксама павінен прапрацаваць пытанні вызначэння Дзяржспецсувязі органам, адказным за захаванне рэзервовых копій інфармацыі і звестак дзяржаўных электронных інфармрэсурсаў, а таксама па ўстанаўленні парадку перадачы, захоўвання і доступу да гэтых копій.

7 кастрычніка 2021 года, у рамках авалодання кібердаменам узброенага супрацьборства пачаты праект стварэння кібервойскаў у сістэме МА Украіны. Пра гэта падчас брыфінгу аб стане і перспектывах лічбавай трансфармацыі абсталявання Узброеных Сіл высокатэхналагічным узбраеннем і ваеннай тэхнікай паведаміў намеснік Генеральнага дырэктара — кіраўнік экспертнай групы планавання і ўкаранення палітык Дырэктарата палітыкі лічбавай трансфармацыі і інфармацыйнай бяспекі ў сферы абароны Міністэрства абароны Украіны палкоўнік Сяргей Галушка.

 Сітуацыйны цэнтр забеспячэння кібербяспекі 
26 студзеня 2018 года Служба бяспекі Украіны адкрыла Сітуацыйны цэнтр забеспячэння кібербяспекі, створаны на базе Дэпартамента контрвыведніцкай абароны інтарэсаў дзяржавы ў галіне інфармацыйнай бяспекі СБУ. У 2017 годзе СБУ атрымала тэхнічнае абсталяванне і праграмнае забеспячэнне для працы Цэнтра ў рамках выканання першага этапа Пагаднення аб рэалізацыі траставага фонду Украіна-НАТА па кібербяспецы.

Ключавымі аддзеламі Цэнтра стануць сістэма выяўлення і рэагавання на кіберінцыдэнты і лабараторыя камп’ютарнай крыміналістыкі. Яны дазволяць папярэджваць кібератакі, усталёўваць іх паходжанне і аналізаваць для ўдасканалення процідзеяння. Пры падтрымцы міжнароднай супольнасці ў Украіне будзе створана сетка сітуацыйных цэнтраў кібербяспекі, базавым з якіх стане кіеўскі.

Важнай асаблівасцю работы сітуацыйнага цэнтра стане яго адкрытасць для супрацоўніцтва з усімі суб’ектамі гарантавання кібербяспекі: установамі, арганізацыямі, прадпрыемствамі і профільнымі спецыялістамі. Па словах СБУ, цэнтр гатовы прадастаўляць неабходную абарону не толькі аб’ектам крытычнай інфраструктуры, дзяржаўным установам і прадпрыемствам — любы прадстаўнік буйнога, сярэдняга і нават малога бізнесу можа звярнуцца ў цэнтр па кансультацыі і дапамогу.

 Кібератакі 

 Аперацыя «Змяя» 

Даследчыкі брытанскай фірмы BAE Systems Applied Intelligence зафіксавалі ў 2013—2014 гадах ўсплёск выяўленых выпадкаў заражэння інфармацыйных сістэм прыватных прадпрыемстваў і дзяржаўных устаноў Украіны сеткавым чарвяком (з руткітам), які яны назвалі «Змяя» (, ). Даследнікі з нямецкай фірмы GData назвалі гэтага чарвяка «Уроборос»,  (таксама  — гадзюка ў грэцкай міфалогіі, або  і ). Па меркаванні даследнікаў абедзвюх фірмаў, гэты чарвяк магчыма злучаны і быў створаны на аснове чарвяка Agent.BTZ, які ў 2008 году ўразіў інфармацыйныя сістэмы Цэнтральнага камандавання ЎС ЗША.

Пік выяўлення нападаў з выкарыстаннем чарвяка «Уроборос» супаў з развіццём масавых пратэстаў. На працягу студзеня 2014 года было зафіксавана 22 выпадкі інфікавання інфармацыйных сістэм, пры гэтым на працягу 2013 года «Уроборос» быў знойдзены не больш за 8 разоў. Ва Украіне зламыснікі з ужываннем уробороса атрымлівалі поўны доступ да здзіўленых сістэм. На думку брытанскіх экспертаў, ёсць усе падставы меркаваць, што за «Уроборос» стаяць спецслужбы Расійскай Федэрацыі.

 Атака на «Выбары» 

Падчас датэрміновых Прэзідэнцкіх выбараў ва Украіне 2014 года спецыялістамі CERT-UA былі абясшкоджаны атакі на аўтаматызаваную сістэму «Выбары» ().

21 траўня 2014 года зламыснікі з групоўкі КіберБеркут ажыццявілі паспяховую кібератаку на інфармацыйную сістэму «Выбары» Цэнтральнай выбарчай камісіі Украіны. Ім удалося вывесці са строю ключавыя вузлы карпаратыўнай сеткі і іншыя кампаненты інфармацыйнай сістэмы ЦВК. Амаль 20 гадзін праграмнае забеспячэнне, якое павінна было паказваць бягучыя вынікі падліку галасоў, не працавала як мае быць. У дзень выбараў, 25 траўня, за 12 хвілін да закрыцця выбарчых участкаў (19:48 EET), зламыснікі размясцілі «карцінку Яраша» на серверах ЦВК.

Увечары 25 траўня спецыялістамі CERT-UA была атрымана інфармацыя аб тым, што на расійскіх тэлеканалах анансавалі навіну аб нібы выйгрышы на «прэзідэнцкай гонцы» Дзмітрыя Яраша, заснавальніка праварадыкальнай партыі «Правы сектар». У мэтах пацверджання гэтай інфармацыі на расійскім ТБ была прадэманстравана карцінка, якую ў сетцы ўжо назвалі як «Карцінка Яраша». 25 траўня, у 20:16:56 быў зафіксаваны першы зварот да вэбсайта ЦВК выключна па IP-адрасе ўнутранага вэбсервера з указаннем у GET-запыце поўнага шляху да карцінкі «result.jpg» з IP-адрасу 195.230.85.129. Гэты адрас уваходзіць у дыяпазон IP-адрасоў тэлеканала ОРТ.

У выніку атакі «Першы канал» расійскага тэлебачання паведаміў сваім гледачам аб тым, што найбольшую колькасць галасоў выбаршчыкаў у першым туры на выбарах прэзідэнта Украіны набраў лідар «Правага сектара» Дзмітрый Яраш. Пра гэта гаварылася ў выпуску вячэрніх навін, прысвечаным пазачарговым выбарам прэзідэнта Украіны. Вядучая паведаміла, што, нягледзячы на дадзеныя экзіт-полаў, якія сведчаць аб перамозе Пятра Парашэнкі ў першым туры, на сайце ЦВК з’явілася «дзіўная карцінка» (так званая «Карцінка Яраша»). Па іх інфармацыі, Дзмітрый Яраш набраў 37,13 % галасоў выбаршчыкаў, за фаварыта Пятра Парашэнкі прагаласавала толькі 29,63 %.

Раніцай наступнага дня, 26 траўня, серверы сістэмы «Выбары», якія прымалі і апрацоўвалі дадзеныя аб падліку галасоў, атрымалі размеркаваную DoS-атаку, і былі недаступнымі ў прамежку паміж 1-3 гадзінамі раніцы.

Акрамя інфармацыйнай сістэмы ЦВК, кібератакам падвергліся і іншыя арганізацыі, якія мелі вельмі аддаленае дачыненне да выбараў, ахвярай мог стаць сайт, які змяшчае старонку са словам «выбары». Аднак большасць нападаў супраць такіх сайтаў адрозніваліся нізкім узроўнем тэхнічнай рэалізацыі. А атака супраць ЦВК адрознівалася высокай складанасцю і тэхналагічнасцю. Па словах Мікалая Коваля, тагачаснага кіраўніка CERT-UA, атака на інфармацыйную сістэму ЦВК стала адной з самых складаных кібератак, якія яму тады прыйшлося расследаваць.

І хоць адказнасць за атакі ўзяла на сябе групоўка быццам бы хактывістаў КіберБеркут, Мікалай Коваль мяркуе, што вялікая складанасць атакі можа сведчыць аб тым, што за ёй стаялі падраздзяленні іншай дзяржавы. Таксама ў сетцы ЦВК было выяўлена шкоднаснае праграмнае забеспячэнне, якое злучаецца з групоўкай APT28/Sofacy Group.

Апытаныя амерыканскай газетай Christian Science Monitor адмыслоўцы па камп’ютарнай бяспецы назвалі напад на інфармацыйную сістэму «Выбары» надзвычай небяспечным, а таксама папярэджаннем на будучыню аб уразлівасці камп’ютарных сістэм, уцягнутых у выбарчы працэс. Магчымасць зрыву выбараў, ці маніпуляцыя вынікамі выбараў, набыла новую вагу падчас выбараў Прэзідэнта ЗША 2016 года пасля паспяховай кібератакі супраць Дэмакратычнай партыі.

 Атакі на энэргетычныя кампаніі Украіны 

23 снежня 2015 года адбылася першая ў свеце пацверджаная атака, накіраваная на вывядзенне са строю энергасістэмы: расійскім зламыснікам удалося паспяхова атакаваць камп’ютарныя сістэмы кіравання ў дыспетчарскай «Прыкарпаццеаблэнерга», было выключана каля 30 падстанцый, каля 230 тысяч жыхароў заставаліся без электрычнасці ад адной да шасці гадзін. Атака праводзілася з выкарыстаннем траянскай праграмы BlackEnergy.

У той жа час адначасовым атакам падвергліся «Чарнаўцыаблэнерга» і «Кіеваблэнерга», але з меншымі наступствамі. Паводле інфармацыі аднаго з аблэнерга, падключэнне зламыснікаў да яго інфармацыйных сетак адбывалася з падсетак глабальнай сеткі Internet, якія належаць правайдэрам у Расійскай Федэрацыі.

У цэлым кібератака насіла комплексны характар і складалася, сама меней, з наступных складнікаў:
 папярэдняе заражэнне сетак з дапамогай падробленых лістоў электроннай пошты з выкарыстаннем метадаў сацыяльнай інжынерыі;
 захоп кіравання  з выкананнем аперацый выключэнняў на падстанцыях;
 вывядзенне са строю элементаў ІТ-інфраструктуры (крыніцы бесперабойнага сілкавання, мадэмы, RTU, камутатары);
 знішчэнне інфармацыі на серверах і працоўных станцыях (утылітай KillDisk);
 атака на тэлефонныя нумары кол-цэнтраў з мэтай адмовы ў абслугоўванні абясточаных абанентаў.

Перапынак у электразабеспячэнні склаў ад 1 да 3,5 гадзін. Агульны недаадпуск — 73 МВт·г (0.015 % ад сутачнага аб’ёму спажывання Украіны).

Наступная кібератака адбылася ноччу з суботы на нядзелю, 17 на 18 снежня 2016 года: на падстанцыі «Паўночная» () адбыўся збой у аўтаматыцы кіравання, з-за чаго спажыўцы паўночнай часткі правага берага Кіева і бліжэйшых раёнаў вобласці засталіся без току. Няспраўнасці былі ўхіленыя на працягу 1 гадзіны 15 хвілін. Асноўнай версіяй стала кібератака — знешняе ўмяшанне праз сеткі перадачы даных. Аператар падстанцыі кампанія «Укрэнерга» спачатку не стала пацвярджаць кібератаку, аднак прыцягнутыя да расследавання спецыялісты па камп’ютарнай бяспецы пацвердзілі, што збой адбыўся ў выніку кібератакі. Прамежкавыя вынікі расследавання былі прадстаўлены спецыялістамі Аляксеем Ясінскім ад кампаніі Information Systems Security Partners (Украіна) і Марынай Кратафіл ад Honeywell Industrial Cyber Security Lab 10 студзеня 2017 года на канферэнцыі S4 ў Фларыдзе, ЗША. Аднак нападнікі не сталі наносіць істотнай шкоды, затое гэтая атака павінна была паслужыць «дэманстрацыяй сілы». Як і ў папярэдніх выпадках, гэтая атака была часткай больш маштабнай фішынгавай аперацыі супраць дзяржаўных устаноў Украіны.

 Аперацыя «9 траўня» 
Украінскія хакеры кіберальянсу ананімных груп FalconsFlame і Trinity з 00:00 9 траўня 2016 года правялі аперацыю #OpMay9, у рамках якой здзейснілі не менш за 9 паспяховых узломаў сайтаў тэрарыстычнай арганізацыі «ДНР», а таксама расійскіх сайтаў агрэсіўнай антыўкраінскай прапаганды і рэсурсаў расійскіх прыватных ваенных кампаній (ПВК), якія дзейнічаюць пад пратэкцыяй ФСБ РФ ва Украіне і Сірыі.

На зламаных сайтах хакеры пакінулі хэштэгі #OpMay9 #оп9траўня, а таксама па тры кароткіх відэа пра Другую сусветную вайну і ўклад украінскага народа ў перамогу над нацызмам.

Перад тым, 29 красавіка 2016 года, тыя ж групы хакераў спынілі існаванне папулярнага сайта расійскіх прапагандыстаў, які пазіцыянаваў сябе як сеткавае інфармацыйнае агенцтва «Anna News». Альянс хакерскіх груп Falcons Flame і Trinity запісаў відэазварот і размясціў яго на сайце пасля поўнага знішчэння інфармацыі (артыкулаў, баз дадзеных і бекапаў). У відэа таксама быў згаданы мем «Львоўскае метро».

Акрамя ўзлому прапагандысцкіх сайтаў, групы хакераў сумесна з валанцёрамі групы InformNapalm змаглі знайсці доказы прымянення расійскімі тэрарыстамі сучасных сродкаў РЭБ у вайне на ўсходзе Украіны, у прыватнасці — Р-330Ж «Жыхар».

 Аперацыя «Прыкормка» 
У траўні 2016 года кампанія ESET (з галаўным офісам у Браціславе) апублікавала даклад па выніках праведзенага аўдыту, ў якім выкрыла кампанію кібершпіянажу ўкраінскіх хакераў (верагодна афіляваных са спецслужбамі) па інфармацыйных сістэмах марыянетачных утварэнняў расійскіх тэрарыстаў на акупаваным усходзе Украіны. Даклад быў падрыхтаваны выхадцам з Расіі, выпускніком Паўднёва-Уральскага дзяржаўнага ўніверсітэта (Чалябінск, Расія) Антонам Чарапанавым. Аўтар даследавання выступіў з дакладам на форуме Positive Hack Days, які праходзіў 17-18 траўня ў Маскве.

У трэцім квартале 2015 года спецыялісты ESET выявілі раней невядомае модульнае сямейства шкоднасных праграм — Prikormka. Наступныя даследаванні паказалі, што гэтая пагроза пачала распаўсюджвацца сама меней з 2008 года. За перыяд актыўнасці найбольш шкоднасныя праграмы зафіксаваны ва Украіне. Доўгі час Prikormka заставалася незаўважанай з-за адносна нізкіх суадносін пагроз да 2015 года. Аднак у 2015 годзе колькасць гэтага небяспечнага праграмнага забеспячэння істотна вырасла.

Асноўным спосабам заражэння, вызначаным адмыслоўцамі ESET падчас даследаванняў, стала распаўсюджванне фішынгавых электронных лістоў з прымацаванымі шкоднаснымі файламі або са спасылкамі для загрузкі небяспечнага файла, размешчанага на выдаленым серверы. Пасля адкрыцця замаскіраванага небяспечнага ўкладання, Prikormka адлюстроўвае дакумент-прынаду для падману і адцягнення ўвагі патэнцыйнай ахвяры, якая чакае непасрэдна адкрыцця дакумента, не падазраючы аб пагрозе. Гэты метад спрацоўвае ў выпадках, калі карыстальнікі не валодаюць тэхнічнай падкаванасцю і не выконваюць правілы бяспекі пры працы за камп’ютарам.

Зламыснікі выкарыстоўваюць прыёмы сацыяльнай інжынерыі для пераканання ахвяры адкрыць шкодныя ўкладанні, сярод якіх выкарыстанне правакатыўных і прывабных назваў укладанняў электроннай пошты. Прыклады такіх назваў:
 Нацгвардейцы со шприцами сделали из донецкого мальчика мишень для ракет.exe
 Последнее обращение командира бригады 'Призрак' Мозгового Алексея Борисовича к солдатам и офицерам ДНР и ЛНР.scr
 Места дислокации ВСУ в зоне проведения АТО.scr

Таксама былі выяўлены прыкметы, што аперацыя «Прыкормка» была накіравана і на інфармацыйныя сістэмы «Правага сектара» і іншыя арганізацыі.

Варта адзначыць, што антывірус распрацоўкі ESET дастаткова распаўсюджаны сярод дзяржаўных устаноў Украіны, што можа стварыць магчымасць атрымліваць доступ да інфармацыі ў гэтых сістэмах.

 Узлом «Першага канала» 

У пачатку чэрвеня 2016 года валанцёры каманды Інфармнапалм паведамілі пра паспяховы ўзлом карпаратыўнага сервера расійскага «Першага канала» ўкраінскім кібер-альянсам хакераў FalconsFlame, Trinity і Рух8. Аперацыя пачалася 25 траўня, а першыя вынікі з’явіліся 5 чэрвеня. У выніку ўзлому былі апублікаваныя анкетныя дадзеныя ўсіх супрацоўнікаў «Першага канала». Акрамя таго, з’явілася магчымасць зламаць асабістыя паштовыя скрыні і хмарныя сховішчы супрацоўнікаў.

Першым расійскім прапагандыстам, інфармацыю аб якім раскрылі актывісты, стаў журналіст Сяргей Зенін. Было высветлена, што расійскі прапагандыст звяртаўся па кансультацыі ў ESET Russia пры стварэнні праекта з галоўнай задачай «Паказаць, як далёка зайшлі ЗША ў сваёй уяўнай барацьбе з тэрарызмам і наколькі небяспечныя гульні АНБ з лічбавымі тэхналогіямі». У чэрвені 2014 года адбылася першая камандзіроўка Зеніна на захоплены расійскімі тэрарыстамі Данбас. Атрымаў «акрэдытацыю» ў марыянеткавым рэжыме «ДНР» пад нумарам 116.

Таксама было ўстаноўлена, што Зенін абмяркоўваў з журналістам маскоўскага офіса Reuters Антонам Зверавым (акрэдытацыя ў «ДНР» пад нумарам 232) розныя версіі збівання Боінга малайзійскіх авіяліній. Прычым Звераў прыводзіў урыўкі інтэрв’ю з расійскімі баевікамі, з якіх можна было даведацца аб прадастаўленні Расіяй устаноўкі ЗРК «Бук», яе маршруце, прыблізным месцы пуску ракеты.

 Паралізацыя работы Дзяржказначэйства Украіны 
6 снежня 2016 года хакерская атака на ўрадавыя сайты (Дзяржзначэйства Украіны і іншых) і на ўнутраныя сеткі дзяржорганаў прывяла да маштабных затрымак бюджэтных выплат. Ужо 7 снежня (досыць аператыўна, як для дзяржаўных органаў) Кабмін вылучыў 80 мільёнаў грыўняў для абароны ад хакераў. Для вываду са строю сервераў выкарыстоўваўся вірус KillDisk. Атака адбывалася з выкарыстаннем траянскай праграмы BlackEnergy, той жа, што і ў атацы на Прыкарпаццеаблэнерга.

 Кампраметацыя ArtOS 

У снежні 2016 года спецыялісты фірмы CrowdStrike апублікавалі вынікі ўласнага даследавання ўзораў праграмы Попр-Д30.apt распрацаванай капітанам 55-й асобнай артылерыйскай брыгады Украіны Яраславам Шарсцюком недзе ў прамежку паміж 20 лютага і 13 красавіка 2013 года. 28 красавіка таго ж года ўліковы запіс сацыяльнай сеткі УКантакце з ідэнтычным імем стаў распаўсюджваць гэтую праграму са сваёй старонкі  («Праграмнае забеспячэнне сучаснага бою»). Як засцерагальнік да некантралюемага распаўсюджвання, пасля загрузкі і ўсталёўкі праграмы карыстальнік павінен звярнуцца да распрацоўшчыка за ключом для разблакіравання яе работы.

Пры гэтым, верагодна, гаворка ідзе аб праграме ArtOS або яго папярэдніка — калькулятары артылерыйскіх паправак. Праграмна-апаратны комплекс з выкарыстаннем гэтай праграмы дае магчымасць скараціць час, неабходны на ідэнтыфікацыю і ўражанне аб’екта ў чатыры разы — да дзвюх хвілін. Акрамя таго, комплекс здольны вырашаць да 70 працэнтаў тактычных і баявых задач, якія стаяць перад артылерыстамі.

Ужо 21 снежня 2014 года ўпершыню быў заўважаны на ўкраінскім ваенным інтэрнэт-форуме файл устаноўкі праграмы скампраметаваны імплантатам X-Agent. Хутчэй за ўсё, скампраметаваны варыянт быў створаны ў прамежку паміж канцом красавіка 2013-пачаткам снежня 2014 года — менавіта тады, калі палітычны крызіс перарос у расійска-ўкраінскую вайну з анэксіяй Крыма і баявымі дзеяннямі на ўсходзе Украіны.

Імплантат (траянец) X-Agent не меў разбуральных функцый, аднак мог быць скарыстаны для выкрадання інфармацыі з адраснай кнігі смартфона, змесціва SMS-паведамленняў, часопіса званкоў і г.д. У прыватнасці, зламыснікі мелі магчымасць з яго дапамогай устанавіць месцазнаходжанне (каардынаты) заражанай прылады.

Адказнасць за аперацыю даследнікі ўскладаюць на групоўку APT28 (таксама вядомую як Fancy Bear, Sofacy Group).

 Значэнне

Даследнікі не змаглі ўсталяваць дакладную колькасць заражаных прылад і наступствы гэтай аперацыі: невядома, ці былі выпадкі выхаду ў інтэрнэт з планшэтаў падчас баявых дзеянняў, наколькі масавай была праграма з інтэрнэту, бо арыгінальнае ПЗ было распаўсюджана закрытым спосабам, і г.д. Цалкам магчыма, што сам факт існавання скампраметаванага варыянту праграмы варожы бок выкарыстоўвае для ўскладнення выкарыстання важнай і эфектыўнай артылерыйскай праграмы на планшэтах ВСУ, ці нават як чарговую кампанію «здрады» для дэмаралізацыі праціўніка.

Трэба адзначыць, што даследаванне CrowdStrike было абнародавана на фоне гарачых дыскусій аб уплыве расійскіх спецслужбаў на ход выбарчай кампаніі ў ЗША. Таму, нягледзячы на адсутнасць выразных доказаў непасрэднай сувязі паміж гэтай кібершпіёнскай аперацыяй і баявымі стратамі ўкраінскіх вайскоўцаў, на думку амерыканскіх даследчыкаў гэты эпізод важны тым, што дазваляе сцвярджаць аб прамых сувязях паміж хакерамі, якія зламалі сістэмы Дэмакратычнай партыі ЗША, і Галоўным разведвальным упраўленнем ГШ РФ.

 Сацыяльныя сеткі 

Канфлікт адбываўся і ў інтэрнэт-службах сацыяльных сетак.

У прыватнасці, асобныя даследаванні паказваюць, што ўдалымі маніпуляцыямі магчыма ўплываць на грамадскую думку, а таксама красці прыватную інфармацыю важных асобSchelling Thomas C. Micromotives and macrobehavior. New York: W.W. Norton and Co.; 1978.. Расійскія сілавыя ведамствы загадзя рыхтаваліся да магчымых канфліктаў у сацыяльных сетках: так, напрыклад, расійскі прапагандысцкі рэсурс RT яшчэ ў 2012 годзе паведамляў аб выдзяленні Службай знешняй разведкі Расійскай Федэрацыі каля $1 млн на стварэнне трох сістэм для назірання за сацыяльнымі сеткамі і ўплыву на іх. Сістэма «Дыспут» павінна была адсочваць распаўсюджванне інфармацыі ў блогасферы, ў прыватнасці, выяўляць папулярныя запісы і аўтараў. Сістэма «Манітор-3» заклікана дапамагаць збіраць дадзеныя для OSINT-разведкі. Сістэма «Шторм-12» павінна садзейнічаць распаўсюджванню інфармацыі і ўплываць на грамадскую думку.

Прынамсі, з 2013 года была створана арганізацыя для ўплыву на грамадскую думку, якая стала шырока вядомая як «тролі з Ольгіна». Ужо ў 2014 годзе ольгінскія тролі сталі актыўна працаваць на ўтварэнне на Захадзе грамадскай думкі неабходнага крамлёўскаму рэжыму. Нават праз два гады пасля пачатку вайны, ў 2016 годзе, была выяўленая сетка ботаў у сацсетках, якія распаўсюджвалі ў інтэрнэце заклікі да гвалту супраць украінскай улады і заклікі выходзіць на «Трэці Майдан»Московський слід колорадського Жука, або Хто і як готує «Майдан-3» . Укрінформ. 21.01.2016.

Расійскія праўладныя Інтэрнэт-СМІ і адпаведныя актывісты ў сацыяльных сетках паказалі вельмі высокую актыўнасць напярэдадні і падчас анексіі Крыма. Шэраг расійскіх сайтаў, якія займаюцца пастаянным інфармацыйна-псіхалагічным супрацьборствам на ўкраінскім напрамку, актыўна асвятлялі падзеі, якія адбываюцца, размяшчалі публікацыі з неправеранай і ілжывай інфармацыяй, ажыццяўлялі актыўнае бягучае аналітычнае каменціраванне ходу падзей. Гэтыя навіны альбо цалкам складаліся рэдакцыямі саміх выданняў, альбо спасылаліся на інфармацыю «дружалюбных актывістаў» у сацсетках. У прыватнасці, ў сацсетцы Facebook можна было ўбачыць цэлыя групы (communities) людзей, якія свядома распаўсюджвалі панічныя настроі і ілжывыя звесткі, якія мелі на мэце стварыць вобраз «непераможнага расійскага войска». Варта адзначыць, што іх паведамленні ў сваіх стужках навін перадрукоўвалі і Інтэрнэт-СМІ, а часам і больш традыцыйныя СМІ.

Прыцягненне платных троляў, сетак ботаў, стварэнне сайтаў са скрыўленымі «навінамі» стала неад’емнай часткай расійскай прапаганды, паколькі, як сведчаць эксперыменты, уплыў прапаганды на чалавека тым больш эфектыўны, чым больш крыніц паступлення інфармацыі, чым большай падтрымкай ён карыстаецца сярод астатніх членаў супольнасці, і г.д.

Прыклад каардынацыі некаторых расійскіх інтэрнэт-прапагандыстаў быў альянсам украінскіх хакераў FalconsFlame, Trinity, Рух8 і КіберХунта.

Службы сацыяльных сетак сталі інструментам каардынацыі не толькі расійскіх прапагандыстаў, але і расійскіх шпіёнаў на тэрыторыі Украіны, баевікоў з Расіі і агульнага ўладкавання дзейнасці тэрарыстычных арганізацый кіраваных расійскімі спецслужбамі. Дзякуючы ўдаламу выкарыстанню (сярод іншага) метадаў сацыяльнай інжынерыі, актывістам цэнтра «Міратворац» удалося ўзяць пад кантроль уліковы запіс расійскай тэрарысткі Алены Гейштэравай у сацыяльнай сетцы «Аднакласнікі». У выніку праведзенай аперацыі «Гейша» былі выкрыты расійскія шпіёны, баевікі, тэрарысты як ва Украіне, так і за яе межамі.


Сацыяльныя сеткі сталі важнай крыніцай інфармацыі для разведкі OSINT. Сярод вядомых прыкладаў — фільм Сымона Астроўскага «Selfie Soldiers», дзе на аснове апублікаваных у сацыяльных сетках фатаграфій прасочаны шлях кадравага расійскага ваеннага Бата Дамбаева з Расіі на Данбас, пад Дэбальцэвэ, і назад, дадому. Сталі з’яўляцца ячэйкі валанцёраў-актывістаў (у прыватнасці: Інфармнапалм, Bellingcat і іншыя), якія на аснове здабытых з сацыяльных сетак OSINT-дадзеных выкрывалі прытворства расійскай прапаганды, нават расследавалі збіццё Boeing 777 рэйса MH17 каля Данецка.

 Блакаванне расійскіх інтэрнэт-сэрвісаў 

Загадам № 133/2017 ад 15 траўня 2017 года тагачасны Прэзідэнт Украіны Пётр Парашэнка ўвёў у дзеянне рашэнне СНБА Украіны ад 28 красавіка 2017 года «Аб прымяненні персанальных спецыяльных эканамічных і іншых абмежавальных мер (санкцый)» якім забараніў інтэрнэт-правайдэрам прадастаўляць паслугі па доступе карыстальнікам сеткі інтэрнэт у шэраг расійскіх інфармацыйных рэсурсаў і парталаў, у тым ліку і сацыяльных сетак УКантакце і Аднакласнікі. На думку аналітыкаў, прамы доступ да базы дадзеных сацыяльных сэрвісаў з надзвычайнай лёгкасцю дазваляе расійскім спецслужбам выявіць найшырэйшы спектр інфармацыі, якую звычайныя грамадзяне і вайскоўцы загружаюць у сацсеткі.

 Масавая хакерская атака 2017 года 

27 чэрвеня 2017 года на прадпрыемствах рознай формы ўласнасці і памеру, дзяржаўныя і недзяржаўныя ўстановы была ажыццёўлена маштабная хакерская атака з выкарыстаннем сеткавага чарвяка сямейства Petya. Новы ўзор шкоднаснага праграмнага забеспячэння атрымаў розныя назвы ад розных даследнікаў, у прыватнасці: Diskcoder.C, ExPetr, PetrWrap, Petya, або NotPetya і іншыя.

Па меркаванні даследнікаў фірмы ESET, дадзеная атака была ажыццёўлена групоўкай TeleBots, якая мае пэўныя сувязі з групоўкай BlackEnergy-«Sandworm», адказнай за кібератаку на энергетычныя прадпрыемствы Украіны ў снежні 2015 года. Папярэднія напады гэтай групоўкі былі заўважаныя яшчэ ў снежні 2016 года, калі супраць фінансавых кампаній і аб’ектаў крытычнай інфраструктуры Украіны былі здзейснены напады з выкарыстаннем, у тым ліку варыянту KillDisk для АС Linux.

Праграму KillDisk групоўка выкарыстоўвала для поўнага знішчэння дадзеных. Вымагальніцтва ніколі не стаяла на парадку дня, ні ў першую хвалю нападаў у снежні 2016 года, ні ў другую хвалю таго ж месяца, калі ў праграму было дададзена апавяшчэнне аб выплаце выкупу ў суме 222 біткойну (каля $250 тысяч на той час).

У 2017 годзе атакі групоўкі сталі больш дзёрзкімі і вытанчанымі: ў прамежку паміж студзенем і сакавіком 2017 года зламыснікам удалося атрымаць несанкцыянаваны доступ да камп’ютарных сетак украінскага распрацоўшчыка праграмнага забеспячэння і з выкарыстаннем VPN-тунэляў адтуль атрымаць доступ да камп’ютарных сетак фінансавых устаноў. Пры атацы групоўка скарысталася, сярод іншага, бэкдорам Python/TeleBot.A, які быў перапісаны з мовы Python на мове Rust і выкарыстоўвае Telegram для абмену камандамі з аператарам. Другі бэкдор быў напісаны на VBScript і выкарыстаў шлюз Tor з даменным імем transfinance.com[.]ua і IP-адрасам 130.185.250[.]171 для зносін з аператарам. Для гарызантальнага распаўсюджвання групоўка скарысталася ўтылітамі CredRaptor, мадыфікаваным Mimikatz, і PsExec.

Апошнім крокам нападу стала шыфраванне файлаў з выкарыстаннем алгарытмаў AES-128 і RSA-1024. Таксама для сервераў пад кіраваннем не Windows, групоўка стварыла праграму Python/Filecoder.R, якая шыфравала дадзеныя з выкарыстаннем алгарытмаў RSA-2048 і AES-256.

18 траўня 2017 года пачалася атака з выкарыстаннем праграмы XData (таксама вядомая як Win32/Filecoder.AESNI.C). Першапачатковым вектарам нападу стала праграма M.E.Doc. Чарвяк XData мела магчымасць аўтаматычнага распаўсюджвання з выкарыстаннем Mimikatz і PsExec. Аднак неўзабаве зламыснікі апублікавалі ключы дэшыфравання файлаў на форуме BleepingComputer, і атака даволі хутка сышла на нішто і не прыцягнула вялікай увагі.

У сувязі з інцыдэнтам кампанія-распрацоўшчык M.E.Doc ўпусціла афіцыйную заяву. У ім кампанія сцвярджала, што распаўсюджванне віруса адразу пасля абнаўлення іх праграмнага забеспячэння з’яўляецца толькі выпадковым супадзеннем. Распрацоўнік M.E.Doc «сочыць за бяспекай уласнага кода». Для гэтага кампанія заключыла пагадненні з «вялікімі антывіруснымі кампаніямі» і дае ім бінарныя файлы праграм для аналізу і пацверджання бяспекі. Распрацоўнікі запэўнілі, што гэта адбываецца перад кожным абнаўленнем.


Аднак атака 27 чэрвеня 2017 года ўжо прыцягнула ўвагу сваім маштабам і наступствамі як ва Украіне так і за яе межамі. Першапачатковым вектарам заражэння новай мадыфікацыяй віруса Petya (таксама вядомы як Diskcoder.C, ExPetr, PetrWrap, ці NotPetya) зноў стаў сервер абнаўленняў праграмы M.E.Doc. Менавіта дзякуючы яе распаўсюджанасці і набору метадаў гарызантальнага распаўсюджвання атака набыла такі маштаб.

Новы чарвяк выкарыстаў тры метады для гарызантальнага распаўсюджвання:
 уразлівасць EternalBlue,
 спалучэнне Mimikatz і PsExec,
 WMIC.

У адрозненне ад чарвяка WannaCry гэты вірус шукаў ахвяр толькі ўсярэдзіне лакальных сетак.

Таксама ў адрозненне ад XData новы Petya мае значныя заганы, якія альбо робяць немагчымым аднаўленне зашыфраваных дадзеных, альбо значна ўскладняюць працэс дэшыфравання. Для шыфравання дадзеных былі скарыстаны алгарытмы AES-128 і RSA-2048, а для шыфравання табліц файлаў у файлавай сістэме — Salsa20.

Аб наяўнасці праблем з бяспекай у сістэме абнаўленняў M.E.Doc ужо было вядома. Таксама ўжо пасля нападу адмыслоўцам фірмы ESET атрымалася знайсці бэкдор у выглядзе зашыфраванай PHP праграмы medoc_online.php на гэтым серверы. Аналіз інфармацыі ўжо пасля нападу, 3 ліпеня, паказаў, што на серверы было ўсталявана састарэлае ПА са шматлікімі ўразлівасцямі, для якога ўжо былі добра вядомыя метады атак. Начальнік Дэпартамента кіберпаліцыі Нацыянальнай паліцыі Украіны палкоўнік Сяргей Дземядзюк у інтэрв’ю журналістам Associated Press заявіў, што распрацоўшчыкам M.E.Doc «шмат разоў казалі пра гэта стваральнікі антывірусаў. Такая халатнасць можа прычыніцца пачатку крымінальнага расследавання». Акрамя ўсяго іншага сервер абнаўленняў upd.me-doc.com.ua (IP адрас 92.60.184[.]55) фізічна знаходзіўся ў хостынг-правайдэра WNet (ТАА «Дабл-ю нэт Украіна»), у якога толькі ў пачатку чэрвеня таго ж года Служба бяспекі Украіны праводзіла ператрусы і канфіскоўвала абсталяванне праз прадастаўленне кампаніяй тэлекамунікацыйных паслуг ФСБ РФ у Крыме, Ваентелекам РФ і псеўдадзяржаўным прадпрыемствам сувязі. Па інфармацыі спецслужбы, з-за незаконнай маршрутызацыі трафіку ў анэксаваны Крым ФСБ РФ планавала атрымаць доступ і здымаць інфармацыю з украінскага сегмента сеткі правайдэра.

Ёсць усе падставы сцвярджаць, што сервер абнаўленняў M.E.Doc быў выкарыстаны зламыснікамі не толькі для нападаў 18 траўня і 27 чэрвеня з XData і Petya адпаведна. Тым самым шляхам зламыснікі мелі магчымасць атрымаць несанкцыянаваны доступ да крытычна важных устаноў: аб гэтым сведчыць скарыстаны сервер кіравання з імем bankstat.kiev[.]ua.

Адказнасць за атаку на Расію ўсклалі ўсе пяць краін-членаў FVEY: Аўстралія, Вялікабрытанія, Канада, Новая Зеландыя, Злучаныя Штаты, а таксама ўрады Даніі і Украіны. Адміністрацыя Прэзідэнта ЗША назвала гэты напад найбуйнейшым хакерскім нападам у гісторыі.

 Bad Rabbit (кастрычнік 2017) 
У кастрычніку 2017 года адбыўся масавы напад вірусам-чарвяком Bad Rabbit. Першапачаткова заражэнне ахвяр адбывалася з-за шэрагу скампраметаваных вэбсайтаў. Даследнікі мяркуюць, што за гэтым вірусам могуць стаяць распрацоўшчыкі віруса NotPetya. Некалькі пазней кіраўнік кіберпаліцыі Украіны Сяргей Дземядзюк заявіў, што напад з ужываннем віруса Bad Rabbit паслужыла прычыненнем для больш вытанчанай атакі на прадпрыемствы-карыстальнікаў расійскіх праграм сямейства 1С.

Сапраўднай мэтай нападу было атрыманне несанкцыянаванага доступу да канфідэнцыйных і фінансавых дадзеных. Атака чарвяком была толькі яркім прыкрыццём для адцягнення ўвагі. І нягледзячы на большае распаўсюджванне чарвяка ў Расіі, другая прыхаваная частка нападу служыць доказам таго, што асноўнай мішэнню былі ўкраінскія прадпрыемствы. Карыстальнікі ПЗ 1С атрымлівалі фішынгавыя лісты быццам бы ад імя распрацоўшчыкаў гэтай праграмы. Усяго вядома аб 15 прадпрыемствах, якія пацярпелі ад гэтай часткі атакі.

 Псеўдамінаванне 
На працягу 2018—2019 гадоў ва Украіне зафіксавана хваля масавых паведамленняў аб замініраванні шэрагу аб’ектаў: вакзалаў, аэрапортаў, гандлёвых цэнтраў, навучальных устаноў, бальніц, урадавых устаноў і іншых месцаў, якія прадугледжваюць вялікую колькасць людзей. У прыватнасці, ў чэрвені 2019 года паступіла 211 электронных паведамленняў і выклікаў аб залажэнні выбуховых прылад па розных адрасах горада. Падобная сітуацыя адбылася ў Харкаве, дзе зафіксавана 42 ілжывых выкліку аб замініраванні, і г. Кіеў — 12 выклікаў. Па дадзеных міністэрства ўнутраных спраў, гэтыя паведамленні паступалі з тэрыторыі Расійскай Федэрацыі і АРДЛА з выкарыстаннем часовых электронных скрынь і інтэрнэт-тэлефанііПовідомлення про мінування стали активними, вони надходять з РФ і окупованих територій — МВС.

 Масавыя кібербоі (студзень-люты 2022) 

 Атака на ўкраінскія дзяржаўныя і банкаўскія сайты 
Падчас расійска-ўкраінскага крызісу было атакавана каля 22 дзяржаўных органаў і 70 украінскіх вэбсайтаў 14 студзеня 2022 года. На ўражаных сайтах быў размешчаны дэфейс, у якім быў прадстаўлены тэкст аб асуджэнні ўкраінскага нацыяналізму на польскай, украінскай і расійскай мовах. На выяве была крыніца атакі, якая паказвае на Польшчу, аднак у тэксце на польскай ёсць істотныя граматычныя памылкі. Лічыцца, што гэта была тыповая расійская хакерская атака з мэтай запалохвання і кампраметацыі Польшчы.

15 лютага 2022 у 20:21 адбылася падобная DDoS-атака ўкраінскіх сайтаў, за якой, як лічаць украінскія чыноўнікі, стаіць Расія. Сайты каля 15 банкаў, а таксама з даменам gov.ua не працавалі 5 гадзін. Былі атакаваны сайты «ПрыватБанка» і «Ашчадбанка», а таксама Мінабароны, Узброеных сіл і Міністэрства па пытаннях рэінтэграцыі часова акупаваных тэрыторый Украіны. На думку міністра Міхаіла Фёдарава, 15 лютага адбылася найбуйнейшая ў гісторыі Украіны кібератака, якая каштавала мільёны долараў. Аднак, на думку некаторых экспертаў, кошт гэтага нападу не перавышае некалькі тысяч долараў.

 Атака на ўкраінскія сайты падчас расійскага ўварвання 

23 лютага 2022 года, за дзень да расійскага ўварвання ва Украіну, адбыліся чарговыя атакі на дзяржаўныя і банкаўскія сайты. Прыблізна ў 16.00 былі пашкоджаныя сайты Вярхоўнай рады, Кабінета міністраў Украіны і Міністэрства замежных спраў, СБУ і іншыя. Міністэрства адукацыі і навукі Украіны з мэтай прадухілення кібератацыі закрыла доступ да свайго вэбсайта. Чыноўнікі з ЗША звязваюць атаку з Расіяй. Па дадзеных кампаніі ESET, атака стала магчымай з-за заражэння сотняў камп’ютараў вірусам HermeticWiper, які быў скампіляваны яшчэ 28 снежня 2021 года.

24 лютага ноччу і раніцай падчас расійскага наступу быў атакаваны сайт Кіеўскай аблдзяржадміністрацыі, некаторыя іншыя рэсурсы былі адключаныя для захоўвання дадзеных. На сайтах i.ua і meta.ua, паводле інфармацыі Дзяржаўнай службы спецыяльнай сувязі і абароны інфармацыі, рассылаліся шматлікія электронныя лісты з фішынгавымі спасылкамі на прыватныя адрасы ўкраінскіх вайскоўцаў і іх сваякоў. Даследаванне кампаніі Google паказала, што фішынгавая кампанія адбывалася з тэрыторыі Беларусі. Акрамя таго, фішынгавыя лісты накіроўвалі таксама ўкраінскім чыноўнікам, а таксама польскім вайскоўцам з моманту з’яўлення ўкраінскіх бежанцаў на польскай мяжы.

Тады ж Служба бяспекі Украіны паведаміла, што заблакавала 7 тыс. ботаў з Расіі, якія распаўсюджвалі ілжывую інфармацыю аб баявых дзеяннях. Асноўнымі пляцоўкамі для распаўсюджвання дэзынфармацыі, паводле яе слоў, былі Telegram, WhatsApp і Viber.

 Атакі IT-арміі Украіны 
У адказ на папярэднія атакі Міхаіл Фёдараў аб’явіў аб стварэнні IT-арміі Украіны, ў якую ўвойдуць спецыялісты розных галін для блакіравання дэзынфармацыі ў Інтэрнэце, а таксама для нападаў на расійскія сайты. Праз некалькі гадзін былі атакаваны дзясяткі расійскіх банкаў, дзяржаўных і навінавых сайтаў і іншых рэсурсаў. Некаторыя расійскія каналы пачалі трансліраваць украінскія песні.

1 сакавіка 2022 года ўкраінскія хакеры паведамілі аб сваіх дзеяннях. Былі выведзены са строю крытычна важныя інфармацыйныя сістэмы акупанта. Нягледзячы на супраціў расійскіх кібервойскаў, нанесены значны ўрон інфармацыйнай інфраструктурыЯк борються українські кібервійська , УП, 1 березня 2022. Яшчэ 24 лютага была выведзена са строю распрацоўка «Сістэматыкі» — аўтаматызаваная сістэма «Выбары», па якой Пуцін фальсіфікаваў выбары і несумленным шляхам станавіўся прэзідэнтам. Былі выведзены са строю іншыя распрацоўкі «Сістэматыкі», як сістэмы электроннага дакументазвароту акупацыйных уладаў на тэрыторыі АР Крым і так званых «ДНР» і «ЛНР». Спісы тых, хто падтрымліваў акупацыю, накіравалі ва ўкраінскія праваахоўныя органы. 25 лютага была знішчана сістэма кіравання Федэральнага казначэйства РФ разам з бекапамі. Расійскія ўлады замоўчваюць вынікі атакі і сам факт кібератак з боку Украіны, каб не разбураць міф аб «непераможнасці расійскай арміі».

 Зноскі 

 Літаратура 

 Пра расійска-ўкраінскую кібервайну






 Олександр Саприкін, Інтернет-ресурси як інструмент інформаційної війни та інформаційна безпека України // Воєнна історія. — с.43, 2015

 Сацыяльныя сеткі і інтэрнэт-медыя




 Спасылкі 
 Де Степан Мазура? даследаванне «Тралесферы» расійскіх спецслужбаў у Facebook


 Няўдалая атака Fancy Bear на ўкраінскую артылерыю  // ІнформНапалм, 22 верасня 2017

 Відэа 
 : інтэрв’ю з заснавальнікам валанцёрскай арганізацыі «Украінскія Кібер Войскі» Яўгенам Дакукіным

 Дакументы 
 Дактрына інфармацыйнай бяспекі Расійскай Федэрацыі (), зацверджаная 9 верасня 2000 года.
 Тэкст загаду № 133/2017 з дадаткамі  які заблакаваў доступ да папулярных расійскіх інтэрнэт-парталаў


Катэгорыя:Уварванне Расіі ва Украіну (2022)
Катэгорыя:Расійска-ўкраінская вайна
Катэгорыя:Інфармацыйная вайна