Роснефть назвала возможные цели хакерской атаки на ее серверы

Роснефть назвала возможные цели хакерской атаки на ее серверы

Роснефть назвала возможные цели хакерской атаки на ее серверы

Пресс-секретарь «Роснефти» Михаил Леонтьев предположил, что главным мотивом атаки хакеров на сети «Башнефти», могло быть желание уничтожить находящуюся в компьютерах информацию об операциях прежних владельцев. Он уточнил, что истину должны установить правоохранительные органы.

Целью атаки вируса Petya на серверы «Башнефти» могли стать данные, которые важны для судебных процессов, в которых участвует компания. Такое мнение в эфире радиостанции Business FM высказал пресс-секретарь «Роснефти» Михаил Леонтьев.

«Если смотреть на рациональные мотивы, которые могли быть у хакеров <...>, то таким рациональным мотивом было бы «убить» компьютеры «Башнефти», в которых содержится большое количество информации о деятельности «Башнефти» в период владения ей предыдущими собственниками», — считает он.

«Мы не хотим думать ни в коем случае, что это как-то связано с нашими судебными процессами, несмотря на удивительную синхронизацию», — отметил Леонтьев. Вместе с тем он подчеркнул, что говорить о целях атаки хакеров не является функцией компании. «Мы надеемся, что специалисты, правоохранительные органы это расследуют и найдут», — заключил он.

Серверы «Роснефти» и сети ей подконтрольной «Башнефти» подверглись хакерской атаке 27 июня. Источник РБК в правоохранительных органах, куда «Роснефть» обратилась для расследования инцидента, рассказал, что вирус по своему действию похож на WannaCry, который в мае частично нарушил работу «МегаФона», МВД и других организаций. Он отмечал, что оба вируса шифруют информацию на жестких дисках, после чего требуют выкуп. Официальные сайты «Роснефти» и «Башнефти», по его словам, на некоторое время перестали открываться, пишет rbc.ru.

После кибератаки Михаил Леонтьев заявлял, что «Роснефть» и ее дочерние общества продолжают работать в штатном режиме. В Twitter нефтяной компании однако вскоре появилось сообщение, что кибератака могла привести к «серьезным последствиям».

Заседание по делу «Роснефти» к АФК «Система» состоялось в Арбитражном суде Башкирии 27 июня. Ранее суд в качестве обеспечительных мер арестовал активы «Системы» на 185 млрд руб. В частности, 100% сети клиник «Медси», 90,47% Башкирской электросетевой компании (БЭСК) и 31,76% акций МТС.

До конца 2014 года АФК «Система» была владельцем контрольного пакета акций «Башнефти». Осенью прошлого года «Башнефть» купила «Роснефть», которая в мае 2017 года подала иск в размере 106,6 млрд руб. Позже «Роснефть» увеличила претензии к «Системе» до 170,6 млрд руб., в связи с обвинениями в ущербе, который «Система» якобы нанесла «Башнефти».

Новая атака в Telegram использует официальную аутентификацию мессенджера

Эксперты зафиксировали новую и довольно изощрённую фишинговую кампанию в Telegram, которая уже активно используется против пользователей по всему миру. Главная особенность атаки в том, что злоумышленники не взламывают мессенджер и не подделывают его интерфейс, а аккуратно используют официальные механизмы аутентификации Telegram.

Как выяснили аналитики компании CYFIRMA, атакующие регистрируют собственные API-ключи Telegram (api_id и api_hash) и с их помощью инициируют реальные попытки входа через инфраструктуру самого мессенджера. Дальше всё зависит от того, как именно жертву заманят на фишинговую страницу.

Всего специалисты наткнулись на два подобных сценария. В первом случае пользователю показывают QR-код в стиле Telegram, якобы для входа в аккаунт. После сканирования кода в мобильном приложении запускается легитимная сессия, но уже на стороне злоумышленника.

Во втором варианте жертву просят вручную ввести номер телефона, одноразовый код или пароль двухфакторной защиты. Все эти данные тут же передаются в официальные API Telegram.

 

Ключевой момент атаки наступает позже. Telegram, как и положено, отправляет пользователю системное уведомление в приложении с просьбой подтвердить вход с нового устройства. И вот тут в дело вступает социальная инженерия. Фишинговый сайт заранее подсказывает, что это якобы «проверка безопасности» или «обязательная верификация», и убеждает нажать кнопку подтверждения.

В итоге пользователь сам нажимает «Это я» и официально разрешает доступ к своему аккаунту. Никакого взлома, обхода шифрования или эксплуатации уязвимостей не требуется: сессия выглядит полностью легитимной, потому что её одобрил владелец аккаунта.

По данным CYFIRMA, кампания хорошо организована и построена по модульному принципу. Бэкенд централизованный, а домены можно быстро менять, не затрагивая логику атаки. Такой подход усложняет обнаружение и блокировку инфраструктуры.

После захвата аккаунта злоумышленники, как правило, используют его для рассылки фишинговых ссылок контактам жертвы, что позволяет атаке быстро распространяться дальше — уже от лица доверенного пользователя.

RSS: Новости на портале Anti-Malware.ru