Likus vos dviem dienoms iki Kalėdų Rusijos programišiai ketino „Ukrenergo“ tinkluose aktyvuoti unikalią piktybinę programinę įrangą. Prieš pat vidurnaktį pasinaudojus šia įranga buvo išjungti visi šiauriau nuo Kijevo esančios elektros perdavimo pastotės jungtuvai. Įvyko viena iš dramatiškiausių visų laikų kibernetinių atakų: užtemo didžiulė dalis Ukrainos sostinės.

Bet jau po valandos „Ukrenergo“ operatoriai sugebėjo vėl tiesiog įjungti elektros energiją. Tad kilo klausimas: kam Rusijos programišiai sukūrė tokį sudėtingą kibernetinį ginklą ir įtaisė jį į labai sunkiai pasiekiamą vietą – visos valstybės elektros skirstymo tinklo širdį – jeigu atakos rezultatas tebuvo viena valanda be elektros, ir tai ne itin didelėje teritorijoje?

Labai įtikinamai skambantį atsakymą pasiūlė nauja teorija. Kibernetinio saugumo įmonės „Dragos“ pramoninių valdymo sistemų analitikai, išanalizavę piktybinės programos kodą ir serverių įrašus, gautus iš „Ukrenergo“, rekonstravo 2016 metų elektros išjungimo operacijos eigą. Jų teigimu, programišiai norėjo ne šiaip sukelti trumpalaikį elektros tiekimo sutrikimą dalyje Ukrainos, bet sukelti ilgalaikę žalą, dėl kurios žmonės būtų priversti be elektros gyventi savaitėmis ar net mėnesiais.

Rusijos programišiai veikiausiai tikėjosi sukelti tokią žalą, kuri apsiribotų ne tik trumpalaikiu energijos tiekimo sutrikdymu, bet bet ir fiziniu sistemų sugadinimu tuo metu, kai tinklo valdytojai vėl įjungtų elektros tiekimą, tačiau elektros tiekimo atstatymo procedūra būtų atgręžta prieš patį tinklą.

„Nors realiai tai buvo tik tiesioginis elektros sutrikdymo veiksmas, programišiai panaudojo tokius įrankius ir tokią jų seką, kad esama labai stiprių indikacijų, rodančių, jog buvo siekta ne šiaip kelioms valandoms išjungti lemputes. Buvo bandoma sudaryti tokias sąlygas, kad skirstymo stotis, į kurią buvo nusitaikyta, patirtų fizinę žalą“, – sakė „Dragos“ analitikas Joe Slowikas, anksčiau vadovavęs JAV Energetikos departamento Kompiuterių saugumo ir incidentų valdymo komandai Los Alamos nacionalinėje laboratorijoje.

Spąstai

Prieš Ukrainą nutaikyta elektros tiekimo trikdymo programinė įranga, kuri yra žinoma alternatyviais „Industroyer“ arba „Crash Override“ pavadinimais, visos kibernetinio saugumo specialistų bendruomenės dėmesį patraukė 2017 metų birželį, kai ją išanalizavo ir aprašė Slovakijos įmonės ESET specialistai. Programa pasižymėjo unikaliu gebėjimu tiesiogiai sąveikauti su elektros skirstymo tinklo įranga ir automatizuotai, greita seka, keturiais skirtingais protokolais, kuriuos naudoja įvairios energijos skirstymo įmonės ir įstaigos, siųsti komandas, kurios išjungtų jungtuvus bei taip sukeltų didelės apimties energijos tiekimo sutrikimus.

Bet „Dragos“ atlikta analizė išskirtinė tuo, kad ją surašę ekspertai daugiau dėmesio skyrė ir ESET aprašytam piktybinės programinės įrangos komponentui, kurio anuokart specialistai neperprato. Kaip paaiškino ESET specialistai, tas fragmentas atrodė taip, lyg būtų skirtas išnaudoti „Siemens“ gaminamai „Siprotec“ apsauginei relei būdingą silpnybę. Apsauginės relės veikia tarsi aukštos įtampos tinklų saugikliai – jos aptinka pavojingus elektros dažnius ar įtampos svyravimus elektros įrangoje, nedelsiant praneša apie pavojų operatoriui ir automatiškai išjungia jungtuvus.

„Siemens“ apie šią saugumo spragą žinojo ir 2015 metais išplatino naujinį jai pašalinti, tačiau didelė dalis elektros skirstymo tinklų šio naujinio neįsidiegė. Tai reiškė, kad piktybiniai programišiai, sugebantys į minėtą įrenginį atsiųsti bent vieną duomenų paketą, galėjo iš esmės užmigdyti reles, perjungiant jas į būseną, skirtą programinės įrangos atnaujinimui. Tokios relės neveikia tol, kol nebūna perkraunamos rankiniu būdu.

2017 metais ESET pastebėjo to piktybinio programinės įrangos elemento nerimą keliantį gebėjimą: jie jau įtarė, kad „Industroyer“ kūrėjai siekė sukelti fizinę žalą. Tačiau vis dar buvo neaišku, kaip „Siprotec“ „nulaužimas“ galėtų sukelti labiau ilgalaikę žalą. Juk programišiai tiesiog išjungė „Ukrenergo“ energijos tiekimą, o ne atliko pavojingesnius veiksmus, tokius, kaip pavojingi įtampų svyravimai, kurie neveikiant apsauginėms relėms galėtų pridaryti daug problemų.

„Dragos“ analizė gali atskleisti paskutinę „Ukrenergo“ mįslės dalį. Šios įmonės ekspertai tikina, kad iš vyriausybinės institucijos gavo Ukrainos elektros skirstymo paslaugų teikėjų serverio įrašus – nebuvo tikslinama, kuri institucija jiems padėjo. Tai leido pirmą kartą rekonstruoti programišių atliktų veiksmų seką.

Taigi, visų pirma programišiai išjungė visus automatinius grandinės petraukiklius skirstymo stotyje, tokiu būdu išjungiant energijos tiekimą. Po valandos buvo paleistas „valytojo“ komponentas, kuris turėjo išvesti iš rikiuotės visus skirstymo stoties kompiuterius ir neleisti „Ukrenergo“ personalui stebėti jokių šios stoties skaitmeninių sistemų būklės. Ir tik tada programišiai panaudojo „Siprotec“ nulaužimo kodą prieš tos stoties apsaugines reles, tokiu būdu siekiant patyliukais išjungti keturis visą laiką veikti turinčius įrenginius praktiškai nesuteikiant jokių galimybių pastebėti, kad šios relės išjungtos.

Dabar „Dragos“ analitikai įsitikinę, kad programišių tikslas buvo sulaukti, kad „Ukrenergo“ inžinieriai, reaguodami į elektros tiekimo sutrikimą, imtų skubiai įjunginėti stoties įrangą. Darydami tai rankiniu būdu, be apsauginės relės jie galėjo sukelti pavojingus įtampos svyravimus elektros linijos transformatoriuje. Tokiu atveju būtų įmanomas katastrofiškas transformatoriaus gedimas, dėl kurio energijos tiekimas būtų kur kas ilgesnis, nei kelios valandos. Be to, kiltų pavojus ir skirstymo stoties darbuotojų gyvybei.

Bet planas žlugo. Dėl priežasčių, kurių „Dragos“ nesugebėjo visiškai išaiškinti – galbūt programišiai padarė tinklo konfigūracijos klaidą – piktybiniai duomenų paketai, skirti „Ukrenergo“ apsauginėms relėms buvo nusiųsti netinkamais IP adresais. Galbūt „Ukrenergo“ operatoriai elektrą įjungė anksčiau, nei tikėjosi programišiai ir taip, patys to nežinodami, apsaugojo įmonę nuo apsauginių rėlių sabotažo. O galbūt „Siprotec“ rėlių sabotažas netgi buvo sėkmingas, bet skirstymo stotyje buvo ir atsarginių rėlių, kurios apsaugojo nuo katastrofos. „Dragos“ analitikai tvirtina, kad nematydami aiškaus ir pilno „Ukrenergo“ saugumo sistemų vaizdo jie negali patikslinti Rusijos nesėkmės priežasčių.

„Dragos“ Grėsmių žvalgybos vadovas Sergio Caltagirone tvirtina, kad nepaisant to, jog ataka nepasisekė taip, kaip norėta, šio išpuolio metu buvo panaudotą nerimą kelianti taktika, kurios tikslų nepavyko pastebėti laiku. Programišiai prognozavo skirstymo tinklų operatoriaus inžinierių reakcijos laiką ir bandė tuo pasinaudodami padidinti kibernetinės atakos padarytą žalą.

„Jie nelaikė piršto virš mygtuko. Jie iš anksto užprogramavo ataką taip, kad destruktyvi ir gyvybei pavojinga žala stočiai būtų padaryta reaguojant į incidentą. Žalą turėjo padaryti būtent atsakas į incidentą“, – sakė S.Caltagirone.

Noras naikinti

Fizinės žalos elektros tinklams scenarijų kibernetinio saugumo inžinieriai aptarinėja jau daugiau nei dešimtmetį – mažų mažiausiai nuo to laiko, kai Idaho Nacionalinė laboratorija (JAV) 2007 metais pademonstravo, jog milžinišką 27 tonas sveriantį generatorių įmanoma sunaikinti tiesiog siunčiant skaitmenines komandas į prie to generatoriaus prijungtą apsauginę relę.

Šiam bandymui vadovavęs inžinierius Mike’as Assantas 2017 metais leidiniui „Wired“ yra pasakojęs, kad eatakos prieš apsaugines reles požymių aptikimas prieš „Ukrenergo“ panaudotoje programinėje įrangoje yra ženklas, kad toks destruktyvus kibernetinių išpuolių būdas jau tampa realybe. „Tai yra neabejotinai rimtas reikalas. Jeigu kada nors teko matyti transformatoriaus gaisrą, žinotumėte, kad jie būna galingi. Juodas dūmų stulpas staiga pavirsta ugnies kamuoliu“, – sakė jis.

Ir jeigu naujoji „Dragos“ teorija yra teisinga, tai būtų vos trečias atvejis žmonijos istorijoje, kuomet buvo realiai panaudotas piktybinis skaitmeninis įrankis, kurio tikslas yra sukelti fiziškai destruktyvų sabotažą. Pirmasis atvejis, kaip jau minėta, buvo „Stuxnet“ – JAV ir Izraelio sukurta piktybinė įranga, daugiau nei prieš dešimtmetį sunaikinusi tūkstantį centrifugų Natanzo urano sodrinimo laboratorijoje Irane. Praėjus metams po incidento Ukrainoje, 2017 metų pabaigoje, Saudo Arabijos „Petro Rabigh“ naftos perdirbimo gamykloje buvo aptiktas „Triton“ arba „Trisis“ piktybinė programa, kuri, kaip vėliau paaiškėjo sabotavo saugumo stebėjimo sistemas – įrenginius, kurie reaguoja į pavojingas sąlygas pramoninėje įrangoje.

Paskutinioji kibernetinė ataka, vėliau susieta su Maskvos centriniu chemijos ir mechanikos tyrimų institutu, tiesiog išjungė naftos perdirbimo gamyklą, tačiau ir jos pasekmės galėjo būti kur kas skausmingesnės – pavyzdžiui sprogimas ar dujų nuotėkis su potencialiai tragiškomis pasekmėmis.

S.Caltagirone labiausiai nerimauja dėl to, kad nuo pastarųjų išpuolių jau praėjo gana nemažai laiko. Per trejus metus pramoninių valdymo sistemų programišiai galėjo spėti prikurti dar velniai žino ką. „Šis išpuolis ir „Trisis“ yra du įvykiai, parodantys labai reikšmingą nepagarbą žmonių gyvybėms. Tačiau pavojingiausia yra tai, ko mes nematome“, – sakė saugumo analitikas.

22 metų saugumo tyrėjas, internete prisistatantis „MalwareTech“ pseudonimu, žiniasklaidai papasakojo, kaip jis atsitiktinai sustabdė spartų išpirkos reikalaujančios programos plitimą.

Penktadienį jis analizavo kenkėjišką programą, kai aptiko, kad ji mėgina pasiekti neįprastą interneto adresą – iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com, rašo BBC. Tačiau jis nevedė į jokią svetainę, nes jo niekas nebuvo įsigijęs.

„MalwareTech“ nusprendė išleisti 10,69 JAV dolerio ir nusipirkti interneto domeną. Jį įsigijęs jis galėjo prieiti prie analitinių duomenų ir geriau suprasti, kaip plačiai po pasaulį plinta virusas.

Tik tuomet tyrėjas pastebėjo, kad užregistravus žalingos programos naudojamą domeno pavadinimą virusas toliau nebeplinta. „Iš tiesų tai įvyko gana netyčia, – sakė jis BBC ir prisipažino, kad nemiegojo visą naktį. – Nesudėjau nė bluosto.“

Kas įvyko?

Manoma, kad kenkėjiškos programos kūrėjas joje paliko ir „išjungimo mygtuką“ – būdą, kaip sustabdyti virusą, jeigu kartais to prireiktų.

Tačiau nors paslaptingo interneto adreso užregistravimas padėjo sustabdyti viruso plitimą, tai nebepadėjo tūkstančiams kompiuterių, kurie jau buvo užkrėsti. Europai ir Azijai padėti buvo jau per vėlu, tačiau amerikiečiams toks „MalwareTech“ žingsnis davė daugiau laiko greitai apsaugoti savo kompiuterius – įdiegti „Microsoft“ išleistą atnaujinimą. Jis, tiesa, buvo išleistas dar kovo mėnesį, tačiau tūkstančiai kompiuterių visame pasaulyje vis dar nebuvo atnaujinti.

Saugumo ekspertai, tarp jų ir pats „netyčinis didvyris“ taip pat įspėja, kad gali pasirodyti nauja šio išpirkos reikalaujančio viruso versija, kurioje jau nebebūtų „išjungimo mygtuko“.

„Sustabdėme šį, bet bus kitas, kurio nesustabdysime. Čia yra daug pinigų, jiems nėra jokios priežasties sustoti. Kodo pakeitimas ir paleidimas iš naujo daug pastangų nereikalauja“, – sakė jis BBC. Visgi anksčiau kitas ekspertas „The Guardian“ sakė, kad programišiai iki maždaug šeštadienio vidurdienio buvo gavę dar tik apie 20 tūkst. JAV dolerių.

5 minutės šlovės

Asmuo sakė nenorintis atskleisti savo tapatybės. „Nėra jokios logikos išduoti savo asmeninę informaciją. Kovoju su blogiukais, ir jie tikrai tuo nebus patenkinti“, – sakė jis „The Guardian“.

Jis pasako, kad programavimas visuomet buvo jo hobis – jo subtilybių jis išmoko pats, nestudijavo universitete.

Kalbėdamas su „The Guardian“ jis juokavo, kad yra visiškas stereotipas – programuotojas, kuris tebegyvena namuose su tėvais. „Tai nepakeis mano gyvenimo, tai tik 5 minučių šlovė“, – sakė jis, tačiau prisipažino, kad nespėja reaguoti į begales pranešimų „Twitter“.

Visame pasaulyje nuo penktadienio išplitęs duomenis koduojantis kompiuterinis virusas „WannaCry“ Lietuvoje galėjo paveikti per 40 adresatų Lietuvoje, tarp jų nėra valstybinės reikšmės objektų ar kitų itin svarbių sistemų.