Những kẻ tấn công mạng Sandworm tấn công lưới điện Ukraine trong các cuộc tấn công tên lửa

Những kẻ tấn công mạng Sandworm tấn công lưới điện Ukraine trong các cuộc tấn công tên lửa

Dấu thời gian: Ngày 9 tháng 2023 năm 3 00:XNUMX sáng
Những kẻ tấn công mạng Sandworm tấn công lưới điện Ukraine trong cuộc tấn công tên lửa PlatoTình báo dữ liệu Blockchain. Tìm kiếm dọc. Ái.

Nhóm mối đe dọa dai dẳng nâng cao (APT) khét tiếng Sandworm của Nga đã sử dụng các kỹ thuật sống ngoài đất liền (LotL) để gây ra tình trạng mất điện ở một thành phố của Ukraine vào tháng 2022 năm XNUMX, trùng với một loạt cuộc tấn công bằng tên lửa.

Sandworm, được liên kết với Trung tâm Công nghệ Đặc biệt Chính của Nga, có lịch sử lâu đời về các cuộc tấn công mạng ở Ukraine: Màu đenMất điện do năng lượng vào năm 2015 và 2016, chiếc cần gạt nước khét tiếng NotPetya, và các chiến dịch gần đây hơn chồng chéo với cuộc chiến Ukraine. Ở một mức độ nào đó, chiến tranh đã tạo ra một màn khói cho các cuộc tấn công mạng có quy mô tương đương gần đây hơn.

Lấy một ví dụ từ tháng 2022 năm XNUMX, được mô tả ngày hôm nay trong báo cáo của Mandiant. Trong một trận mưa như trút nước 84 tên lửa hành trình và 24 cuộc tấn công bằng máy bay không người lái trên khắp 20 thành phố của Ukraina, Sandworm đã kiếm được tiền sau hai tháng chuẩn bị và khiến một thành phố bị ảnh hưởng bị mất điện bất ngờ.

Không giống như các cuộc tấn công lưới Sandworm trước đây, cuộc tấn công này không gây chú ý đối với một số loại vũ khí mạng tiên tiến. Thay vào đó, nhóm này đã lợi dụng các tệp nhị phân LotL để phá hoại hệ thống phòng thủ mạng cơ sở hạ tầng quan trọng ngày càng tinh vi của Ukraine.

Đối với nhà phân tích trưởng John Hultquist của Mandiant, nó đặt ra một tiền lệ đáng lo ngại. Ông nói: “Chúng ta sẽ phải tự hỏi mình một số câu hỏi hóc búa về việc liệu chúng ta có thể phòng thủ trước những điều như thế này hay không”.

Lại một vụ mất điện khác của Sandworm

Mặc dù phương pháp xâm nhập chính xác vẫn chưa được biết nhưng các nhà nghiên cứu đã xác định thời điểm lần xâm nhập đầu tiên của Sandworm vào trạm biến áp ở Ukraine ít nhất là vào tháng 2022 năm XNUMX.

Ngay sau đó, nhóm này đã có thể vi phạm ranh giới giữa mạng CNTT và công nghệ vận hành (OT), đồng thời truy cập vào một trình ảo hóa lưu trữ phiên bản quản lý thu thập dữ liệu và điều khiển giám sát (SCADA) (nơi người vận hành nhà máy quản lý máy móc và quy trình của họ).

Sau tối đa ba tháng truy cập SCADA, Sandworm đã chọn được thời điểm. Trùng hợp (trùng hợp hay không) với sự tấn công dữ dội của chiến tranh động lực vào cùng ngày, nó đã sử dụng tệp hình ảnh đĩa quang (ISO) để thực thi tệp nhị phân gốc của hệ thống điều khiển MicroSCADA. Các lệnh chính xác vẫn chưa được xác định, nhưng nhóm này có thể đã sử dụng máy chủ MicroSCADA bị nhiễm virus để gửi lệnh đến các thiết bị đầu cuối từ xa (RTU) của trạm biến áp, hướng dẫn chúng mở cầu dao và từ đó cắt điện.

Hai ngày sau khi ngừng hoạt động, Sandworm đã quay trở lại trong vài giây và triển khai phiên bản mới của phần mềm độc hại cần gạt nước CaddyWiper. Cuộc tấn công này không chạm tới các hệ thống công nghiệp - chỉ mạng CNTT - và có thể nhằm mục đích xóa sạch bằng chứng pháp lý về cuộc tấn công đầu tiên của chúng hoặc đơn giản là gây ra sự gián đoạn hơn nữa.

Nga vs Ukraine đang trở nên cân bằng hơn

Các cuộc tấn công BlackEnergy và NotPetya của Sandworm là những sự kiện quan trọng trong lịch sử an ninh mạng, Ukraine và quân sự, ảnh hưởng đến cả cách các cường quốc toàn cầu nhìn nhận chiến tranh mạng động học kết hợp và cách những người bảo vệ an ninh mạng bảo vệ các hệ thống công nghiệp.

Do nhận thức được nâng cao này, trong nhiều năm kể từ đó, các cuộc tấn công tương tự của cùng một nhóm đã không còn đạt tiêu chuẩn ban đầu nữa. Ví dụ, đã có cuộc tấn công công nghiệp lần thứ hai, không lâu sau cuộc xâm lược - mặc dù phần mềm độc hại có sức mạnh tương đương, nếu không muốn nói là mạnh hơn phần mềm đã làm sụp đổ quyền lực của Ukraine vào năm 2016, nhưng nhìn chung cuộc tấn công không gây ra bất kỳ hậu quả nghiêm trọng nào.

Hultquist nói: “Bạn có thể nhìn lại lịch sử của diễn viên này khi cố gắng tận dụng các công cụ như Industroyer và cuối cùng thất bại vì chúng bị phát hiện”.

“Tôi nghĩ rằng vụ việc này chứng tỏ rằng có một cách khác, và thật không may, cách khác đó sẽ thực sự thách thức chúng tôi với tư cách là những người bảo vệ bởi vì đây là điều mà chúng tôi không nhất thiết có thể sử dụng chữ ký chống lại và tìm kiếm hàng loạt ," anh ta nói. “Chúng ta sẽ phải làm việc rất chăm chỉ để tìm ra thứ này.”

Ông cũng đưa ra một cách khác để nhìn vào lịch sử mạng Nga-Ukraina: các cuộc tấn công của Nga ít trở nên thuần hóa hơn và nhiều khả năng phòng thủ của Ukraine đã trở nên mạnh mẽ hơn.

Hultquist kết luận: “Nếu các mạng lưới của Ukraine chịu áp lực tương tự như hiện tại, với cùng hệ thống phòng thủ như cách đây một thập kỷ, thì tình hình đã khác nhiều”. “Họ có nhiều kinh nghiệm hơn bất kỳ ai bảo vệ chống lại chiến tranh mạng và chúng tôi có rất nhiều điều để học hỏi từ họ”.

Dấu thời gian:

Thêm từ Đọc tối