Хакеры объявили о начале масштабных взломов госструктур России

Хакерская группа GhostShell заявила о намерении развязать кибервойну с российским правительством и в качестве «приветствия» опубликовала 2,5 млн. украденных почтовых адресов, паролей и различных записей государственных, правоохранительных, финансовых и других учреждений.

Свое решение объявить войну российскому правительству хакеры из группы GhostShell объяснили тем, что Россия «слишком долго была государством тирании» и погрязла в коррупции, а ее граждане «по вине политиков вынуждены жить в изоляции от остального мира». Страна, по мнению хакеров, переживает тяжелые времена, а многие люди голодают, в то же время правительство находит ресурсы для финансирования шпионов.

Атаку на российское правительство в GhostShell назвали «Project BlackStar». «Мы начнем с прекрасного приветствия», - говорится в заявлении хакеров. Таковым, по их мнению, является публикация 2,5 млн аккаунтов и записей правительственных, образовательных и правоохранительных структур, телекоммуникационных предприятий, научно-исследовательских институтов, медицинских учреждений, а также крупных нефтяных, энергетических и финансовых корпораций (включая филиалы международных).

«GhostShell в настоящее время имеет доступ к большему числу российской файлов, чем ФСБ, и мы очень хотим доказать это», - пишут злоумышленники.

Заявление хакеров было опубликовано 2 ноября 2012 г., ранее уже использовавшемся ими для сообщений о взломах. Там же была выложена украденная информация.

Беглый анализ опубликованных документов, проведенный CNews, показал, что выложенная информация состоит из порядка 600 файлов, собранных хакерами с сайтов российских государственных и коммерческих организаций. В основном файлы содержат описание баз данных, размещенных на взломанных серверах. В случае с правительством Якутии хакеры также вывесили список файлов, расположенных на их сервере.

В документах, опубликованных GhostShell, также содержится большое количество email-адресов, в том числе и с логинами и паролями. В некоторых случаях пароли зашифрованы. Файлы, которые хакеры отнесли к правительственной информации, содержат только e-mail-адреса, причем в основном они относятся к бесплатным почтовым службам. Также в распространенной информации можно найти архивы сообщений, оставленных пользователями сайтов УАЗ, интернет-аптеки Medical.ru, сервиса по аренде недвижимости Fotrline и др. В сообщениях содержатся email-адреса и телефоны отправителей, сообщает cnews.ru.

«Российские государственные структуры зачастую сосредоточены на формальном соблюдении требований законодательства и регуляторов. При этом злоумышленники также знакомы с данными требованиями и учитывают их при построении атак, - говорит Дмитрий Гвоздев, руководитель проекта «Монитор безопасности» ("Армада"). - При этом все стороны понимают, что нормативная документация не может корректироваться так же быстро, как совершенствуются методы хакеров. Также не всегда есть возможность оперативно обновить программные средства защиты и мониторинга уязвимостей. Единственным эффективным средством оперативного обеспечения безопасности остается проведение регулярных аудитов информационных систем и инфраструктуры в ручном режиме с моделированием действий злоумышленников».

В российской практике для госструктур такие аудиты, по мнению Гвоздева, проводятся крайне редко: «Поэтому заявление данной группы выглядит вполне правдоподобно».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В контроллерах Rockwell выявлена 10-балльная уязвимость

В двух десятках ПЛК производства Rockwell Automation выявлена возможность обхода аутентификации, позволяющая получить удаленный доступ к устройству и изменить его настройки и/или код приложения. Степень опасности уязвимости оценена в 10 баллов из 10 возможных по шкале CVSS.

Уязвимость, зарегистрированную под идентификатором CVE-2021-22681, параллельно обнаружили исследователи из Сычуаньского университета (КНР), «Лаборатории Касперского» и ИБ-компании Claroty. В появлении опасной проблемы повинен Studio 5000 Logix Designer (ранее RSLogix 5000) — популярный программный продукт, обеспечивающий единую среду разработки для ПЛК.

Корнем зла в данном случае является слабая защита секретного критоключа, который Studio 5000 Logix Designer использует для подтверждения полномочий рабочей станции на связь с контроллерами. В итоге открылась возможность получить доступ к ПЛК в обход аутентификации, чтобы загрузить на устройство сторонний код, скачать информацию или подменить прошивку.

Уязвимость актуальна для ПЛК линеек CompactLogix, ControlLogix, DriveLogix, Compact GuardLogix, GuardLogix и SoftLogix. Эксплуатация CVE-2021-22681, по свидетельству экспертов, тривиальна.

Чтобы снизить риски, Rockwell советует включить на контроллерах режим RUN,  предельно обновить их прошивки и заменить CIP на соединениях Logix Designer протоколом CIP Security, стандартизированным ODVA. Не стоит пренебрегать также обычными мерами безопасности, такими как сегментация сети, ограничение доступа к средствам управления, строгая изоляция и надежная защита АСУ ТП.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru