Взлом госпредприятия: о «дыре» знали ещё два года назад. Почему ничего не сделали?

Недоразумение в коммуникации

11 июня злоумышленник или группировка под псевдонимом ByteToBreach взломала внутреннюю систему LVM GeoServer, которую предприятие использует для обработки геопространственных данных. Далее злоумышленник изучил внутренние системы и проник в них еще глубже. 22 июня началась активная атака с шифрованием и хищением данных. После этого злоумышленник опубликовал сообщение, в котором, насмехаясь над устойчивостью защиты LVM, подробно описал содеянное.

Злоумышленник проник в систему LVM через систему, которая не обновлялась как минимум два года.

Два года назад уязвимость в системе обнаружило учреждение по предотвращению киберинцидентов Cert.lv. Оно проинформировало об этом LVM и попросило устранить уязвимость, но этого не произошло. «Да, ее нужно было устранить. Между нами и Cert возникло коммуникационное недоразумение, в котором мы неверно восприняли информацию и не поняли, почему версия, которая находится в нашем распоряжении, является уязвимой. (..) Мы бы хотели немного другой коммуникации со стороны Cert, но правда в том, что это на нашей стороне. С нашей стороны информация была понята неправильно», — указывает директор по ИТ-инфраструктуре и развитию LVM Марис Кузминс.

Где возникла проблема с коммуникацией?

«Мы и сами были заинтересованы понять, где же была эта проблема с коммуникацией. Пока мы поняли, что на стороне Latvijas valsts meži, похоже, неверно интерпретировали математический знак “≥” (больше или равно) и, соответственно, из этого были сделаны выводы о влиянии или невлиянии на конкретную версию», — объясняет заместитель руководителя Cert.lv Варис Тейванс.

LVM получила электронное письмо от Cert.lv, в котором содержалась техническая информация о затронутом программном обеспечении и о том, какие конкретно его части затронуты. Это якобы общепринятая практика — использовать такой математический знак при описании диапазонов затронутых версий программного обеспечения. На стороне LVM не ищут конкретного человека, который несет за это ответственность. Сейчас там повышенное внимание уделяется любым сигналам о возможных изъянах в безопасности систем. «Впредь мы говорим не о четырех глазах, а о шести и восьми глазах. Гораздо с большей трепетностью относимся к любым электронным письмам, любой информации, содержащей какие-либо сведения об уязвимости», — указывает представитель LVM Кузминс.

Утечка данных потенциально могла затронуть нескольких держателей критической инфраструктуры

Необновленные части системы LVM включены в другие системы предприятия, в том числе в те, на которых проводились тесты безопасности. Однако они уязвимость не обнаружили. Для конкретной системы отдельный тест безопасности не проводился, так как в приоритете была проверка других. К тому же, как указывает Кузминс, спектр сторонних услуг, способных вообще провести такие тесты безопасности, очень ограничен. «Тесты безопасности должна проводить какая-то третья сторона. Ты не можешь взять ту же команду, что у тебя есть, и провести тесты безопасности. Они просто будут слепы и не увидят очевидных вещей», — считает руководитель группы ИТ-компаний по безопасности Possible Security Кирилл Соловьев.

Киберпреступник похитил 44 гигабайта информации, хранившейся в LVM. После утечки данных Cert.lv связался с несколькими держателями критической инфраструктуры, так как слитая информация потенциально могла затронуть и их.

«Было проведено дополнительное расследование содержания слитых данных, было установлено, что там действительно есть чувствительные детали как с точки зрения содержания технической инфраструктуры — различные ключи доступа к информации, данные аутентификации, детали переписки, — так и информация о сотрудниках, информация о самой инфраструктуре и документах Latvijas Valsts meži», — рассказал Тейванс.

Конкретный злоумышленник или группировка этим летом атаковала несколько организаций в европейских странах. В Латвии в рамках начатого уголовного процесса в связи с атакой расследование все еще продолжается.

Сейчас, спустя два месяца после случившегося, почти все системы Latvijas Valsts meži восстановлены.

Всеобъемлющий аудит безопасности на предприятии проведут позже в этом году, когда завершат все работы по улучшению.

После произошедшей летом кибератаки актуализировался и вопрос о регулировании так называемых «белых хакеров». Вопрос передан на общественное обсуждение. Белые хакеры — это исследователи и энтузиасты кибербезопасности, которые помогают находить уязвимости в системах критической инфраструктуры. За последние три года на платформу оповещения об уязвимостях CVD, которую поддерживает Cert.lv, поступило восемьсот таких сообщений от белых хакеров. Впрочем, переданное на общественное обсуждение регулирование сейчас критикуется самими представителями отрасли. По их мнению, новые предложения содержат еще более строгий подход — ограничивают свободу действий и накладывают дополнительные обязанности.

Повод пересмотреть риски ИТ-систем

После этой атаки премьер Андрис Кулбергс («Объединенный список») поручил всем министерствам проверить риски безопасности своих ИТ-систем и найти решение. Во сколько обойдутся решения, пока неизвестно, указывают в Государственной канцелярии. Согласно сказанному экспертом по кибербезопасности Кириллом Соловьевым, обычно у организаций есть три главные слабости: отсутствующие обновления программного обеспечения, несуществующий инвентарный список или обобщенная информация обо всех информационных системах и технологиях (если такого списка нет, сотрудникам приходится по памяти следить за тем, когда нужно вносить исправления в системы), и третье — неспособность человека заметить кибератаку.

«В наши дни нажатие пальцем на телефон является критическим. Нам приходит уведомление, появляется четырехзначный код, в банке мы нажимаем “принять”, и кто-то уже внутри нашего банковского счета. Надо сказать, что здесь “заслуга” принадлежит глобальной рекламной индустрии, которая довела пользователей до такого состояния: если мы открываем что-то в интернете, если мы используем компьютер, пользователь должен понимать, что то, что компьютер или телефон тебе показывает, это важно, ты должен внимательно это прочитать и только потом принять решение, какую из кнопок нажимать. Рекламная индустрия загнала нас в противоположном направлении», — оценивает Соловьев.

Из-за искусственного интеллекта интенсивность кибератак возрастет
Конкретная атака на LVM была особенной еще по одной причине — это был первый громкий случай, когда злоумышленник хотел получить деньги или же славу, учитывая хвастовство о совершенном преступлении. С начала вторжения России в Украину количество атак в латвийском киберпространстве существенно выросло. Ожидается, что из-за искусственного интеллекта эта тенденция продолжится. «Я не хотел бы говорить, что модели искусственного интеллекта могут обнаружить что-то, что человек не способен обнаружить, они просто могут сделать это намного быстрее в конкретных случаях», — говорит Соловьев.

Учитывая, что из-за искусственного интеллекта уязвимости систем можно будет находить значительно быстрее, интенсивность кибератак может существенно вырасти.

«Конечно, есть разные спекуляции о том, что если эти инструменты искусственного интеллекта продолжат развиваться так же стремительно, то может наступить состояние, которое называют апокалипсисом уязвимостей. Так принято называть в этой индустрии то, что уязвимостей будет так много и их будут находить так быстро, что индустрия не сможет так быстро их исправлять», — отмечает Тейванс.

Отложили публикацию отдельных инструментов ИИ

Наибольшее внимание весной привлек инструмент искусственного интеллекта Mythos, разработанный компанией Anthropic. Были опасения, что этот инструмент сможет находить критические уязвимости систем настолько быстро, что человек не сможет с ним конкурировать. Весной этот инструмент не опубликовали.

«Это сама компания сделала осознанно. Она собрала вместе крупные компании, такие как Google, крупные платформы, которые фактически держат очень большую часть цифровой инфраструктуры, чтобы они с этой моделью могли пройтись (по системам) и они первыми нашли все то, что нужно исправить», — поясняет эксперт по цифровой политике и кибербезопасности Иева Ильвеса.

В свою очередь, для жителей эти инструменты опасны тем, что мошенники могут использовать их в атаках социальной инженерии. В таком случае риск заключается в том, что человек сам передает злоумышленнику частную информацию или деньги, не осознавая этого.

«Очевидно, что китайские решения (искусственного интеллекта) ничем не хуже, и они будут там же. В связи с этим важно пускать эти модели в оборот, чтобы все могли их использовать — как те, кто строит что-то и создает новое и инновационное, так и те, кто работает в сфере защиты, разумеется, понимая, что то же самое будут использовать и те, кто работает в черном сегменте», — рассказывает Ильвеса.