Co znaleziono w sieci stoczni?
Najdokładniej udało się odtworzyć atak na przedsiębiorstwo budujące okręty wojenne. Symantec przeanalizował polecenia wydawane z przejętego komputera i ustalił, jakich narzędzi używali Rosjanie. Jednym z nich był Hookedge, który pozwalał sterować urządzeniem na odległość. Hakerzy korzystali z niego również podczas ataków na producenta silników wojskowych i instytucję ścigania przestępstw.
Wszystkie trzy zaatakowane podmioty prawdopodobnie posiadały informacje bezpośrednio interesujące zagraniczne służby wywiadowcze – ocenili autorzy raportu.
Okno wielkości jednego piksela
Na komputerze pracownika stoczni przeglądarka Microsoft Edge zamknęła się i uruchomiła samoczynnie. Tyle że jej okna nie było już widać. Rosyjscy hakerzy potrafili zmniejszyć je do jednego piksela i przesunęli poza ekran. Tym sposobem ukryli program, przez który mogli wydawać polecenia przejętemu urządzeniu i zyskać kontrolę nad nim.
Do włamania doszło 24 lipca, kiedy pracownik otworzył dokument Word przysłany pocztą elektroniczną. Niby zwyczajny plik tekstowy, ale zawierał złośliwy kod uruchamiający Hookedge. Z raportu Symantec wynika, że Rosjanie korzystali początkowo z serwisu webhook.site. Sprawdzali pliki użytkownika, ustawienia komputera i jego połączenie z internetem oraz mapowali dane na dysku.
Jednak trzy dni później zmienili sposób działania. Hookedge zaczął łączyć się bezpośrednio z ich serwerem. Symantec znalazł zapis siedmiu poleceń wydanych w ciągu około 30 sekund. Tak krótkie odstępy sugerowały, że haker osobiście sterował komputerem (w czasie rzeczywistym), zamiast polegać wyłącznie na automatycznym programie.
Próbowali przejąć kolejne komputery
Rosjanie nie poprzestali na komputerze, do którego dostali się przez zainfekowany dokument. Uruchomili połączenie SSH, używane przez administratorów do zdalnej obsługi systemów. Dzięki niemu mogli łączyć się z innymi urządzeniami stoczni przez komputer pracownika.
Szukali też haseł. W tym celu uruchomili skrypt przechwytujący dane wymieniane podczas logowania do Windowsa. Sprawdzili następnie dwa komputery w firmowej sieci. Jeden z nich, sądząc po nazwie, mógł obsługiwać pocztę przedsiębiorstwa.
31 lipca pojawił się jeszcze plik ld.exe. Symantec nie znał go z wcześniejszych publicznych analiz. Plik ten służył do odszyfrowania i uruchomienia innego programu bez zapisywania go na dysku (ukrycie ścieżki). Symantec odzyskał klucz, którym posłużyli się hakerzy, ale zabrakło najważniejszego – samego zaszyfrowanego pliku. Nie było więc możliwości prześledzenia, co Rosjanie zamierzali uruchomić.
Co Rosjanie wynieśli ze stoczni?
Przez kilka tygodni hakerzy mogli korzystać z dostępu do sieci zaatakowanych organizacji. Tak wynika z ustaleń Symantec, które Dick O'Brien komentował w rozmowie z Daryną Antoniuk z Recorded Future News. Analityk nie potwierdził jednak, by z któregoś przedsiębiorstwa udało się wykraść dokumenty.
Biorąc pod uwagę charakter zaatakowanych podmiotów, można przypuszczać, że celem były informacje dotyczące obronności – powiedział O'Brien.
W fabryce ostatnie polecenia, których przebieg Symantec zdołał dokładnie odtworzyć, pochodzą z 31 lipca tego roku. Na tym jednak ślady się nie kończą. Pod koniec sierpnia na komputerze wciąż znajdowały się programy pozostawione przez Rosjan. Jeden z nich uruchomił się jeszcze pod koniec września.
Nie wiadomo, czy hakerzy sami wydali wtedy kolejne polecenie, czy zadziałał automat. Symantec nie ustalił też, kiedy Rosjanie ostatecznie utracili dostęp do firmowej sieci.
.5042037947778868704.jpg/jcr:content/Krzysztof%20Sobczak.jpg)
