"Морозильные хакеры" атаковали и Латвию. Терроризм или вандализм?

В Латвии

В последнее время Европу, в том числе Латвию и Эстонию, накрыла волна необычных кибератак. Злоумышленники получают доступ к промышленным холодильным установкам в супермаркетах и на складах и меняют заданную температуру с −20 до +50 градусов. В СМИ звучали предположения о причастности российских спецслужб, но руководитель группы компаний в сфере информационной безопасности Possible Security Кирилл Соловьев в разговоре с Delfi допускает, что за атаками вполне могут стоять обычные вандалы, которые пользуются возможностями искусственного интеллекта и неграмотностью компаний в вопросах кибербезопасности. Тем временем Мадара Крутова, представитель CERT.lv , которая следит за безопасностью латвийского интернета, сообщила Delfi, что в Латвии пока пострадал только один склад, а еще 300 угроз удалось своевременно предотвратить.

Атакуют супермаркеты и медицинские учреждения

Первая массовая атака на холодильное оборудование, за которой стояли до сих пор не установленные хакеры, попала в поле зрения СМИ в начале октября. Тогда злоумышленники удаленно получили доступ к морозильным установкам во французских супермаркетах и выставили заданную температуру на +50 градусов. Некоторые установки в результате даже загорелись .

Следующая, гораздо более масштабная атака, о которой сообщили СМИ, произошла в начале ноября. На этот раз она затронула восемь европейских стран, в том числе Латвию и Эстонию. По данным эстонских СМИ, в Эстонии пострадала сеть магазинов Selver. В Латвии зафиксирован один инцидент, затронувший холодильную систему на одном из складов, подтвердили Delfi в CERT.lv . Атаку вовремя остановили, поэтому ущерб, как сообщается, оказался минимальным.

Уже на следующий день в Западной Европе, во Франции, произошла еще одна очень похожая атака. На этот раз ее целью стали морозильные установки французского центра донорства крови, в которых хранились запасы замороженной плазмы . И в этом случае удалось избежать очень серьезных последствий.

Как после первой атаки, так и позднее в СМИ звучали предположения о причастности российских спецслужб к этим событиям.

Слабо защищенные подключения

Зачем морозильные установки в супермаркетах и других учреждениях вообще подключают к интернету? Соловьев объяснил Delfi, что крупные промышленные системы зачастую проектировали без расчета на подключение к интернету. С развитием информационных технологий компании выяснили, что такое подключение позволяет снизить расходы. Например, можно централизованно управлять морозильными установками по всей сети супермаркетов, а если нужен ремонт, механик может подключиться удаленно, без выезда в каждый магазин. Проблема в том, что многие такие системы подключили к интернету, особо не задумываясь о безопасности.

"Главный риск здесь в том, что эти системы изначально не предполагалось подключать к интернету, но их подключают, и теперь управлять ими может кто угодно. Если говорить о технических уязвимостях, я бы упомянул две. Первая — пароль либо вообще не устанавливают, либо выбирают что-нибудь совсем простое, например 1234. Вторая проблема в том, что на таких системах часто нет обновлений. Тут есть два варианта — либо производитель выпустил обновления, но их не установили, либо он вообще их не выпустил, потому что проблему не выявили", — пояснил Соловьев.

В CERT.lv тем временем сообщили Delfi, что атаки последних недель нельзя связывать только с человеческими ошибками или одной конкретной уязвимостью. В Европе пострадали системы управления холодильным оборудованием нескольких производителей — Danfoss, Copeland и Dixell. В некоторых системах Danfoss и раньше находили серьезные уязвимости в программном обеспечении, для которых производитель выпустил обновления безопасности. Какие именно уязвимости использовали в этих атаках, публично пока не подтверждено.

"Риск атак существенно повышают устаревшее программное обеспечение, слабые пароли и системы управления, доступные напрямую из интернета. Кроме того, большинство производителей промышленного оборудования не предусматривают его прямого подключения к общедоступному интернету, поэтому такое подключение часто противоречит рекомендациям производителей по безопасной эксплуатации. Если промышленное оборудование не изолировано от общей компьютерной сети компании, злоумышленники могут получить к нему доступ и через уже скомпрометированную ИТ-инфраструктуру компании", — предупреждает представитель CERT.lv Крутова.

300 угроз предотвратили, еще 50 установок остаются уязвимыми

Крутова рассказала Delfi, что CERT.lv уже давно ежедневно отслеживает ситуацию в латвийском киберпространстве, чтобы вовремя выявлять недостаточно защищенные промышленные системы управления, доступные из интернета, и предупреждать их владельцев о возможных рисках. "Только в этом году таким образом удалось помочь предотвратить уже более 300 таких потенциальных угроз, которые могли привести к серьезным последствиям", — подчеркнула она.

"В связи с атаками на системы управления холодильным оборудованием в Европе CERT.lv выявила в Латвии около 50 установок в разных отраслях, которые потенциально могут оказаться под угрозой. С их владельцами уже связались, и они получили рекомендации по повышению безопасности", — сообщила представитель CERT.lv.

"CERT.lv призывает компании проверить, доступны ли их промышленные системы управления напрямую из интернета, своевременно устанавливать обновления безопасности, выпущенные производителями, а если удаленный доступ действительно необходим, использовать защищенные решения, например VPN и многофакторную аутентификацию. Важно также изолировать промышленные системы от общей ИТ-сети компании", — пояснила она.

"Кроме того, стоит рассмотреть возможность внедрения независимых средств контроля. Злоумышленники могут манипулировать и работой оборудования, и показаниями на экранах, создавая ложное впечатление, что все работает нормально. Как компания вовремя заметит опасное повышение температуры, если на дисплее установки по-прежнему будут отображаться нормальные показатели?" — предупреждают в CERT.lv.

Вандалы, шпионы или террористы?

Мотивы злоумышленников по-прежнему неясны. За атаками пока не последовало ни попыток вымогательства, ни политических заявлений. Несмотря на предположения о причастности российских спецслужб, Соловьев пока считает наиболее вероятным более простое объяснение — обычный вандализм.

По его словам, если бы это было типичное киберпреступление, злоумышленники потребовали бы выкуп, а если бы речь шла о так называемом хактивизме, нападавший сам опубликовал бы свой "манифест", то есть объяснил бы свои мотивы. "Хактивисты — это активисты, которые используют взлом, чтобы заявить о какой-то политической цели. Но у этой версии есть одна проблема — никакой политической цели нет. Мы ничего не слышали ни в прессе, ни на закрытых форумах", — отметил эксперт.

Он ссылается на автоматизированный интернет-ресурс, который регулярно проверяет наличие подобных уязвимостей по всему миру и публикует данные о незащищенных серверах. "[…] Вы можете увидеть, что это отопительные котлы, производственные линии, термостаты. Попадались даже электростанции. Но надо понимать, что злоумышленник может и сам написать такой инструмент. Скажем, я могу написать такой сканер без искусственного интеллекта за полчаса. […] Думаю, с помощью искусственного интеллекта почти любой человек мог бы написать такой же инструмент за несколько дней".

"Поэтому пока я предполагаю, что за этим стоят люди без моральных ориентиров. Скорее всего, это не хакеры, а люди, которые, возможно, используют модели искусственного интеллекта для проведения этих атак. Когда это произошло впервые, они, может быть, и не рассчитывали, что атака удастся, и им просто было интересно посмотреть, получится ли. Им показалось интересным или смешным, что такое возможно. Честно говоря, мне как эксперту по кибербезопасности тоже кажется забавным, что крупные компании, с которыми специалисты по кибербезопасности стараются разговаривать, которым пытаются все объяснить, подсказать, как действовать, и предупредить об этих и других рисках, настолько игнорировали эти советы, что оказались в такой ситуации", — признал он.

Соловьев особо подчеркнул, что распространение инструментов искусственного интеллекта значительно упростило такие атаки. "Теперь очень многие атаки сможет проводить кто угодно. Пока они простые, но будут становиться все сложнее. В каком-то смысле я смотрю на это позитивно. Компаниям наконец станет гораздо проще понять, зачем вкладывать ресурсы в кибербезопасность и почему эти проблемы нужно устранять. Конечно, чаще всего будут страдать слабо защищенные цели, а на тех, кто достаточно хорошо позаботился о своей безопасности, нападут в последнюю очередь".

Читайте Delfi в Facebook , Instagram и Telegram !