Хáкерські (гáкерські) атáки на Украї́ну — масштабна хакерська атака з боку Росії проти України, що відбувалась у декілька етапів. Розпочалась щонайменше 14 квітня 2017 року з компрометації системи оновлення програми M.E.Doc. Останній етап, з використанням різновиду вірусу Petya, відбувся 27 червня 2017 року та спричинив порушення роботи українських державних підприємств, установ, банків, медіа тощо. Внаслідок атаки була заблокована діяльність таких підприємств, як аеропорт «Бориспіль», ЧАЕС, Укртелеком, Укрпошта, Ощадбанк, Укрзалізниця та низки інших великих підприємств. Зараженню піддалися інформаційні системи Міністерства інфраструктури, Кабінету Міністрів, сайти Львівської міської ради, Київської міської державної адміністрації, кіберполіції та Служби спецзв'язку України.

Жертвою вірусу також стали телеканал «Інтер», медіахолдинг ТРК «Люкс», до складу якого входять «24 канал», «Радіо Люкс FM», «Радіо Максимум», різні інтернет-видання, а також сайти Львівської міської ради, Київської міської державної адміністрації. Повідомлялося, що постраждав Кабінет Міністрів України, але пізніше ця інформація була спростована і названа невдалим жартом Павла Розенка. Причиною тимчасової непрацездатності сайта КМУ названі технічні роботи.

Трансляції передач припинили канали «Перший автомобільний» та ТРК «Київ».

28 червня 2017 року Кабінет Міністрів України повідомив, що атака на корпоративні мережі та мережі органів влади була зупинена.

Відповідальність за атаку на Росію поклали всі п'ять країн-членів союзу FVEY: Австралія , Велика Британія, Канада, Нова Зеландія, Сполучені Штати , а також уряди Данії та України. Адміністрація Президента США назвала цю атаку найбільшою хакерською атакою в історії.

Масштабна деструктивна атака різновидом вірусу Petya (також відомого як NotPetya, Eternal Petya, Petna, ExPetr, тощо) стала можливою завдяки компрометації системи оновлення програми M.E.Doc та встановлення прихованого бекдору. Таким чином, масштабною деструктивною атакою зловмисники закрили собі наявний в них завдяки бекдору доступ до комп'ютерів та комп'ютерних мереж у близько 80 % українських підприємств (в тому числі — представництв закордонних компаній). Є підстави вважати, що зловмисники пішли на такий крок оскільки або здобули надійніший доступ до інформаційних систем важливих для них жертв, або ж вважають, що зможуть доволі просто відновити його.

Перебіг атаки

Зараження вірусом відбувається через фішингове повідомлення (файл Петя.apx) або оновлення програми для подачі бухгалтерської звітності M.E.Doc. Вірус шифрує файли на комп'ютері, а розповсюджувачі вимагають від користувачів викуп за відновлення доступу до інформації за віртуальні гроші Bitcoin. Сума, яку вимагає автор вірусу за розблокування файлів становить 300$.

Перші атаки з використанням перших версій вірусу Petya стали відомими ще на початку 2016 року. Для перших версій Petya вдалось розробити дешифратори та відновлювачі зашифрованих даних.

Хронологія

За відкритими результатами різних розслідувань можливо відтворити хронологію подій, що передували цій атаці. Зокрема: 14 квітня 2017 року: оновлення M.E.Doc 10.01.175-10.01.176 з бекдором. 15 травня 2017 року: оновлення M.E.Doc 10.01.180-10.01.181 з бекдором. 17 травня 2017 року: виходить оновлення M.E.Doc без бекдору. 18 травня 2017 року: хакерська атака з використанням вірусу XData (Win32/Filecoder.AESNI.C). Оскільки попереднього дня багато клієтнів отримали оновлення без бекдору, атака зазнає невдачі. 31 травня 2017 року: на цей день припадає остання дата модифікацій файла з вебшелом medoc_online.php (PHP webshell PAS) — May 31 14:45 2017. Цей вебшел стає доступний за адресою http[:]//www.me-doc[.]com[.]ua/TESTUpdate/medoc_online.php. 22 червня 2017 року: оновлення M.E.Doc 10.01.188-10.01.189 з бекдором. 27 червня 2017 року: хакерська атака з використанням вірусу Petya-NotPetya. 8:59:14 UTC: зловмисник використовує вкрадений пароль для здобуття прав адміністратора на сервері оновлень M.E.Doc в проміжку 9:11:59 — 9:14:58 UTC зловмисник міняє налаштування сервера для перенаправлення запитів на сервер з IP-адресою 176.31.182[.]167, яка належить діапазону французького вебхостера . 9:14:58 UTC з'являється трафік на сервер OVH. 12:31:12 UTC останнє з'єднання до сервера OVH, завершення активної фази зараження. 12:33:00 UTC відновлення налаштувань сервера M.E.Doc. 14:11:07 UTC від'єднання SSH-терміналу з адреси 159.148.186[.]214 (Латвія). 19:46:26 UTC зловмисник замітає сліди на сервері OVH (176.31.182[.]167) командою dd if=/dev/zero. 4 липня 2017 року: для запобігання подальшим атакам поліція проводить обшуки та вилучення обладнання у компанії-розробника M.E.Doc

Початкове зараження За результатами спільного розслідування Кіберполіції та сторонніх фахівців з комп'ютерної безпеки було встановлено, що ураження інформаційних систем українських компаній відбулось через оновлення програмного забезпечення, призначеного для звітності та документообігу — «M.E.Doc» шляхом внесення змін до бібліотеки ZvitPublishedObjects.dll. Активна та найбільш деструктивна фаза атаки розпочалась з системи автоматичного оновлення програми M.E.doc 27 червня 2017 року близько 10:30 за київським часом. Розробник програми M.E.Doc, компанія «Інтелект-сервіс» розмістила на своєму сайті повідомлення, яким визнавала джерело атаки, але невдовзі його прибрала. Згодом було розміщене нове повідомлення, в якому компанія відкидала будь-яку причетність до поширення вірусу або про злам своїх інформаційних систем.

Також кіберполіція зазначила, що відомі випадки поширення вірусу через фішингові листи від імені відомих компаній або від імені адресатів, з якими до цього велось листування. У цих листах присутні посилання на завантаження шкідливих додатків (документів Microsoft Word, PDF-файлів, таблиць та інших).

Слідство припускає, що зловмисникам вдалось вбудувати в одне із оновлень програми бекдор та приблизно 15 травня 2017 року встановити його на комп'ютери жертв. Є підстави стверджувати, що зловмисникам були доступні вихідні коди програми. Також відомо, що оновлення з вбудованим бекдором відбувались: 01.175-10.01.176, випуск 14 квітня 2017 01.180-10.01.181, випуск 15 травня 2017 01.188-10.01.189, випуск 22 червня 2017

Представники компанії-розробника «M.E.Doc» були проінформовані про наявність вразливостей в їх системах антивірусними компаніями, але проігнорували їх. Навіть після атаки 18 травня 2017 року (всього через три дні після випуску 01.180) з хробаком XData (Win32/Filecoder.AESNI.C) компанія-виробник заперечила проблеми з безпекою і назвала це простим «збігом».

Разом з тим з'ясовано: виявлений бекдор за функціоналом має можливість збирати коди ЄДРПОУ уражених компаній та відправляти їх на віддалений сервер. Крім того, завантажувати файли і збирати інформацію про операційну систему та ідентифікаційні дані користувачів. Зловмисники мали можливість в залежності від кодів ЄДРПОУ віддавати бекдору різні команди, в тому числі — завантажувати й запускати додаткові модулі.

Таким чином, станом на 27 червня 2017 року про існування проблем з безпекою в системі оновлень M.E.Doc вже було відомо. Навіть після атаки фахівцям фірми ESET вдалося знайти бекдор у вигляді зашифрованої PHP програми PAS (webshell PHP PAS) з назвою файла medoc_online.php на цьому сервері. На сервері було встановлене застаріле програмне забезпечення з численними вразливостями, для якого були добре відомі методи атак . Начальник Департаменту кіберполіції Національної поліції України полковник Сергій Демедюк в інтерв'ю журналістам Associated Press заявив, що розробникам M.E.Doc «багато разів говорили про це творці антивірусів. Така недбалість може послужити причиною початку кримінального розслідування». Крім всього іншого сервер оновлень upd.me-doc.com.ua (IP адреса 92.60.184[.]55) фізично перебував у хостинг-провайдера WNet (ТОВ «Дабл-ю нет Україна»), в якого на початку червня того ж року Служба безпеки України проводила обшуки та вилучала обладнання через надання компанією телекомунікаційних послуг у Криму ФСБ РФ, Воєнтелекому РФ та псевдодержавним підприємствам зв'язку. За інформацією спецслужби, через незаконну маршрутизацію трафіку до анексованого Криму ФСБ РФ планувало отримати доступ та знімати інформацію з українського сегмента мережі провайдера.

Також, на даний момент відомо, що після спрацювання бекдору, зловмисники компрометували облікові записи користувачів, з метою отримання повного доступу до мережі. Далі отримували доступ до мережевого обладнання з метою виведення його з ладу. За допомогою IP KVM (KVM-перемикач з можливістю роботи через комп'ютерні мережі) здійснювали завантаження власної операційної системи на базі Tiny Core Linux.

Зловмисники, з метою приховування вдалої кібероперації щодо масового ураження комп'ютерів та несанкціонованого збору з них інформації, тим же самим способом, через останні оновлення програмного забезпечення «M.E.Doc» розповсюдили модифікований хробак-здирник Petya.

Видалення та шифрування файлів операційних систем було вчинено з метою видалення слідів попередньої злочинної діяльності (бекдору) та відвернення уваги шляхом імітації вимагання грошових коштів від потерпілих.

Атака 27 червня 2017 року розпочалась близько 10:30 за київським часом, коли на комп'ютерах жертв програма EzVit.exe — складова частина M.E.Doc, запустила команду:

C:\\Windows\\system32\\rundll32.exe\” \”C:\\ProgramData\\perfc.dat\”,#1 30 4 липня 2017 року з'явилось повідомлення від розробників іншого ПЗ подання бухгалтерської звітності 1С:Звіт про наявність вірусу в бібліотеці ZvitPublishedObjects.dll, виявленого одним з антивірусів з останніми оновленнями. Зазначена бібліотека використовується і у «M.E.Doc», і у 1С: Звіт.

Бекдор

Хробак Petya потрапив на комп'ютери жертв в першу чергу завдяки бекдору, який був встановлений в оновлення програми M.E.Doc. Таким чином, шкідлива дія атаки не обмежена деструктивними діями хробака, але і включає шкоду, яку зловмисники могли заподіяти бекдором: викрадення системних паролів, ключів, викрадення важливої інформації та документів, встановлення програм-шпигунів, проникнення в інші системи, тощо.

Бекдор був доданий до коду в бібліотеці програми ZvitPublishedObjects.dll у функцію ZvitPublishedObjects.Server.UpdaterUtils.IsNewUpdate. Бекдор створював фоновий потік, який звертався за адресою http[:]//upd.me-doc.com.ua/last.ver?rnd=<GUID>, куди передавав код ЄДРПОУ підприємств та ім'я користувача, від імені якого виконується програма, в очікувані команд. Всього бекдор здатен виконувати шість команд: 0 — RunCmd запустити передану команду в оболонці shell. 1 — DumpData отримати дані в кодуванні Base64, розкодувати їх та зберегти на жорсткому диску. 2 — MinInfo зібрати та надіслати інформацію про версію операційної системи, архітектуру (32 або 64 біти), привілеї користувача, налаштування UAC, проксі-сервера, електронної пошти (зокрема, логін та пароль). 3 — GetFile зчитати та передати вказаний файл з жорсткого диску жертви. 4 — Payload отримати дані в кодуванні Base64, декодувати їх, зберегти на диску та запустити цей файл як програму. 5 — AutoPayload аналогічно до команди з кодом 4, але для бібліотек DLL. Запустити отриману бібліотеку із допомогою rundll32.exe, також спробувати переписати та знищити отриманий файл.

Команда з кодом 5 найкраще збігається зі сценарієм зараження вірусом Petya.

XData