Другий етап кібератаки вірусу Petya.А вдалося зупинити - Аваков
Про це на своїй сторінці у Facebook повідомив міністр внутрішніх справ Арсен Аваков.
«Пік атаки планувався на 16.00. Стартувала о 13.40. До 15.00 Кіберполіція заблокувала розсилку та активацію вірусу з серверів інформаційної системи М.Е. Doc. Атака була зупинена. Сервери вилучено, разом зі слідами впливу кіберзлочинців з очевидними джерелами з Російськой Федерації», – написав Аваков.
За його словами, "вірус Diskcoder.C - він же ГОГА, він же Гоша, ExPetr, PetrWrap, Petya, NotPetya – це прикриття наймасштабнішої кібератаки в історії України".
Також міністр розповів, як саме сталося зараження.
27.06.2017 в 10 годин 30 хвилин українські державні структури і приватні компанії через вразливості ПЗ "M.E.doc." (програмне забезпечення для звітності та документообігу) масово потрапили під удар вірусу-шифрувальника Diskcoder.C.
Експертами було встановлено, що ураження інформаційних систем українських компаній відбулось через оновлення програмного забезпечення призначеного для звітності та документообігу – “M.E.Doc”.
За отриманими даними, зловмисники здійснили несанкціоноване втручання в роботу одного з персональних комп’ютерів компанії-розробника вказаного програмного забезпечення - ТОВ "Інтелект-Сервіс".
Отримавши доступ до вихідних кодів, вони в одне із оновлень програми вбудували бекдор - програму, яка встановлювала на комп'ютерах користувачів “M.E.Doc” несанкціонований віддалений доступ. Таке оновлення програмного забезпечення ймовірно відбулося ще 15.05.2017 року.
Представники компанії-розробника “M.E.Doc” були проінформовані про наявність вразливостей в їх системах антивірусними компаніями, але це було проігноровано. Компанія-виробник заперечила проблеми з безпекою і назвала це «збігом».
"Разом з тим з’ясовано, що виявлений бекдор за функціоналом має можливість збирати коди ЄДРПОУ уражених компаній, та відправляти їх на віддалений сервер, завантажувати файли, збирати інформацію про операційну систему та ідентифікаційні дані користувачів. Відомо, що після спрацювання бекдору, атакери компрометували облікові записи користувачів з метою отримання повного доступу до мережі. Далі отримували доступ до мережевого обладнання з метою виведення його з ладу. За допомогою IP KVM здійснювали завантаження власної операційної системи на базі TINY Linux", - додав міністр.
