Atacurile cibernetice necruțătoare ale Rusiei asupra Ucrainei ridică întrebări importante de politică

SECTOR 2022 — Toronto — Primele focuri din războiul cibernetic Rusia-Ucraina au fost trase practic pe 23 februarie, când au fost lansate atacuri distructive împotriva organizațiilor cu o zi înainte ca trupele militare ruse să intre în Ucraina. Microsoft era în mod figurat „acolo”, observând evoluțiile – iar cercetătorii săi au fost imediat îngrijorați.

Gigantul tehnologic s-a întâmplat să aibă senzori pre-poziționați în diferite rețele publice și private din țară, instalați împreună cu echipele ucrainene de recuperare a incidentelor în urma atacurilor cibernetice anterioare. Ei încă funcționau și au început o mare parte de activitate îngrijorătoare, bulgăre de zăpadă, pe măsură ce armata rusă se aduna la graniță.

„Am văzut atacuri împotriva a cel puțin 200 de sisteme guvernamentale diferite care au început să ruleze în diferite zone pe care le-am detectat în Ucraina”, a declarat John Hewie, ofițer de securitate națională la Microsoft Canada, urcând pe scena SecTor 2022 săptămâna aceasta la Toronto, într-o sesiune intitulată „Apărarea Ucrainei: lecții timpurii din războiul cibernetic. "

El a adăugat: „De asemenea, am stabilit deja o linie de comunicare cu înalți oficiali ucraineni din guvern și, de asemenea, cu organizații din Ucraina – și am putut împărtăși informații despre amenințări înainte și înapoi”.

Ceea ce a reieșit din toate aceste informații inițial a fost că valul de atacuri cibernetice viza agențiile guvernamentale, înainte de a trece la sectorul financiar, apoi la sectorul IT, înainte de a concentra în mod specific centrele de date și companiile IT care sprijină agențiile guvernamentale din țară. Dar acesta a fost doar începutul.

Războiul cibernetic: Amenințarea cu vătămări fizice

Pe măsură ce războiul a continuat, imaginea cibernetică s-a înrăutățit, deoarece infrastructura și sistemele critice folosite pentru a sprijini efortul de război a ajuns în miză.

La scurt timp după debutul invaziei fizice, Microsoft a descoperit că a fost capabilă să coreleze atacurile cibernetice din sectorul infrastructurii critice cu evenimentele cinetice. De exemplu, pe măsură ce campania rusă s-a deplasat în regiunea Donbas în martie, cercetătorii au observat atacuri coordonate împotriva sistemelor logistice de transport utilizate pentru mișcarea militară și livrarea de ajutor umanitar.

Și țintirea instalațiilor nucleare din Ucraina cu activitate cibernetică pentru a atenua o țintă înainte de incursiunile militare este ceva ce cercetătorii Microsoft au văzut în mod constant pe tot parcursul războiului.

„Exista o așteptare că vom avea un mare eveniment asemănător NotPetya, care avea să se răspândească în restul lumii, dar asta nu s-a întâmplat”, a menționat Hewie. În schimb, atacurile au fost foarte adaptate și vizate organizațiilor într-un mod care le-a restrâns sfera și amploarea - de exemplu, folosind conturi privilegiate și folosind politica de grup pentru a implementa malware-ul.

„Încă învățăm și încercăm să împărtășim câteva informații despre amploarea și amploarea operațiunilor care au fost implicate acolo și despre modul în care acestea folosesc digitalul în moduri semnificative și tulburătoare”, a spus el.

O cornucopia de APT-uri periculoase pe teren

Microsoft a raportat în mod constant despre ceea ce s-a văzut în conflictul Rusia-Ucraina, în mare parte pentru că cercetătorii săi au considerat că „atacurile care au avut loc acolo au fost foarte subraportate”, a spus Hewie.

El a adăugat asta câțiva dintre jucători care vizează Ucraina sunt cunoscute amenințări persistente avansate (APT) sponsorizate de Rusia, care s-au dovedit a fi extrem de periculoase, atât din perspectiva spionajului, cât și în ceea ce privește perturbarea fizică a activelor, pe care el le numește un set de capacități „înfricoșătoare”.

„Stronțiul, de exemplu, a fost responsabil pentru atacurile DNC în 2016; ne sunt bine cunoscuți în ceea ce privește phishingul, preluarea contului - și am făcut-o activități de perturbare la infrastructura lor”, a explicat el. „Apoi mai este Iridium, alias Sandworm, care este entitatea care este atribuită unora dintre atacurile anterioare [Energia Neagră] împotriva rețeaua electrică din Ucrainași sunt, de asemenea, responsabili pentru NotPetya. Acesta este un actor foarte sofisticat, de fapt specializat în țintirea sistemelor de control industrial.”

Printre altele, a chemat și Nobelium, APT-ul responsabil pentru Atacul pe lanțul de aprovizionare susținut de SolarWinds. „Au fost implicați într-un pic de spionaj nu doar împotriva Ucrainei, ci și împotriva democrațiilor occidentale care sprijină Ucraina pe parcursul acestui an”, a spus Hewie.

Recomandări politice din conflictul cibernetic Rusia-Ucraina

Cercetătorii nu au o ipoteză pentru motivul pentru care atacurile au rămas atât de înguste, dar Hewie a remarcat că ramificațiile politice ale situației ar trebui văzute ca foarte, foarte largi. Cel mai important, este clar că există un imperativ de a stabili norme pentru implicarea cibernetică în viitor.

Acest lucru ar trebui să se contureze în trei domenii distincte, începând cu o „Convenție digitală de la Geneva”, a spus el: „Lumea este dezvoltată în jurul normelor pentru arme chimice și mine anti-terestre și ar trebui să le aplicăm comportamentului adecvat în spațiul cibernetic al actorilor statului național. .”

A doua parte a acestui efort constă în armonizarea legilor privind criminalitatea cibernetică – sau în susținerea ca țările să dezvolte legi împotriva criminalității cibernetice în primul rând. „În acest fel, există mai puține porturi sigure pentru ca aceste organizații criminale să funcționeze cu impunitate”, explică el.

În al treilea rând, și mai larg vorbind, apărarea democrației și a procesului de vot pentru țările democratice are ramificații importante pentru cibernetica, deoarece le permite apărătorilor să aibă acces la instrumente, resurse și informații adecvate pentru a perturba amenințările.

„Ați văzut Microsoft făcând operațiuni cibernetice active, cu sprijinul unor litigii civile creative, cu parteneriate cu forțele de ordine și mulți din comunitatea de securitate – lucruri precum trickbot or Emotet și alte tipuri de activități de perturbare”, potrivit lui Hewie, toate sunt posibile deoarece guvernele democratice nu țin informațiile secrete. „Asta este imaginea mai amplă.”

Un alt rezultat este pe partea apărării; Migrarea în cloud ar trebui să înceapă să fie văzută ca o piesă critică de apărare a infrastructurii critice în timpul războiului cinetic. Hewie a subliniat că apărarea ucraineană este complicată de faptul că cea mai mare parte a infrastructurii de acolo este rulată on-premises, nu în cloud.

„Și, pe cât de mult sunt probabil una dintre cele mai bune țări în ceea ce privește apărarea împotriva atacurilor rusești de-a lungul unui număr de ani, ei încă mai fac lucrurile în local, așa că este ca o luptă corp la corp.” spuse Hewie. „Este destul de provocator.”