Black energy вирус что это

У додатку список з небезпечними паролями. Якщо Ви знайшли свiй пароль у цьому списку, його треба змiнити.

Відділ інформаційної безпеки
Міністерства промислової політики України

Когда все началось: что утаивают облэнерго

Эксперты из компании ESET заявляют, что, скорее всего атака 23 декабря коснулась не только Прикарпатьеоблэнерго, но и еще нескольких аналогичных предприятий.

Как рассказал редакции генеральный директор украинской компании из сферы кибер-безопасности CyS Centrum Николай Коваль, заражение энергетических объектов случилось много ранее самого апогея атаки 23.12.2015, когда были выведены из строя подстанции, а также серверное оборудование и другие средства вычислительной техники. "Образцы вредоносных писем, обнаруженные в том же Прикарпатьеоблэнерго, датированы маем 2014 года", - подчеркивает он.

В то время вирусы из семейства Black Energy как раз только начали орудовать в Украине и пытались заразить предприятия Укрзализныци (все шесть железных дорог, относящихся к сфере ее управления). "Письмо счастья" тогда получило и Прикарпатьеоблэнерго. Это позволяет Ковалю предположить, что троян вот уже как более полутора лет пытались занести в систему энергокомпании (или он уже там был с того времени).

По мнению Коваля, 23 декабря были и другие пострадавшие облэнерго, решившие не предавать инцидент огласке. По его предположениям, это могли быть компании в Черновцах, Львове, Житомире, Харькове.

Кто может быть следующим

Атаки подобного рода в 2016 году абсолютно не исключены. "Объекты атомной энергетики, газотранспортная система и другие также могут стать целями (если уже ими не
стали) в любой момент", - рассказывает Николай Коваль. По его словам, в группе риска транспорт (наземный, подземный, воздушный), энергетика (в т.ч. атомная), нефтегазовые предприятия, телевидение и радиовещание, крупные IТ-узлы (операторы/провайдеры, точки обмена трафиком, вычислительные центры), промышленность (в т.ч. военная), архивы/библиотеки, государственные учреждения.

Кроме того, в CyS Centrum предполагают, что в Украине могли быть атакованы аэропорт Борисполь и Международные авиалинии Украины (обнаружен драйвер BlackEnergy2). Хотя, как добавляет представитель компании ESET Антон Черепанов, на сегодняшний момент в Украине достоверно известно о жертвах вируса Black Energy среди новостных каналов и компаний распределяющих электроэнергию.

Украинские ТВ-каналы, по его словам, потеряли часть данных. Атака на украинские СМИ с использованием того же инструментария была совершена хакерами несколько раньше - в октябре 2015 года, когда проходили местные выборы. По данным CyS Centrum, пострадать могли ТРК Украина и СТБ.

А что же люди в погонах?

Кибератаки застали врасплох украинские госорганы. После атаки на Прикарпатьеоблэнерго СБУ опубликовала заявление, в котором указала на попытку российских спецслужб атаковать компьютерные сети энергетического комплекса страны. "Идут неотложные оперативно-следовательские действия", - написала служба перед Новым годом.

Вряд ли украинские спецслужбы смогут разработать и применить комплексный подход в киберзащите государства. Ведь подготовленной нормативной базы, которая бы распределила компетенции и задания чиновников и силовиков в этой сфере, пока не существует в принципе. Уже не первый год Госспецсвязи и депутаты пытаются доработать и принять закон о кибербезопасности страны. Не первый год на профильных конференциях и встречах экспертов по безопасности идут разговоры о том, что нужно определить перечень критической инфраструктуры государства (объекты и коммуникации, которые обязательно нужно защитить от кибератак).

Вплоть до последнего времени виделось, что такие промедления не принесут особого вреда. Казалось бы, ну что может значить какая-то кибербезопасность в сравнении с вопросом о цене на газ или курсе доллара? А получилось так, что российские хакеры теперь в любой момент могут отключить электричество украинским потребителям. И не только электричество. Николай Коваль замечает некую взаимосвязь между важными политическими событиями и атакам Black Energy (выборы - атака на информресурсы, отключение Крыма от энергосети - атака на облэнерго). "Сейчас на повестке дня газовые вопросы. Кто знает, быть может, угроза коснется соответствующих предприятий", - резюмирует эксперт.

Больше, чем шпионаж В настоящее время большинство направленных атак против компаний осуществляются с кибершпионскими целями, с тем чтобы выудить драгоценные коммерческие тайны или конфиденциальную личную информацию. Но время от времени

12 февраля 2016

Больше, чем шпионаж

В настоящее время большинство направленных атак против компаний осуществляются с кибершпионскими целями, с тем чтобы выудить драгоценные коммерческие тайны или конфиденциальную личную информацию. Но время от времени злоумышленники занимаются чем-то совершенно иным, например, саботажем. Подобный вид нападения вызывает особую тревогу, поскольку IT-отделам свойственно фокусироваться на угрозе потери/утечки данных, и они оказываются неготовы к кибератаке, призванной разрушить бизнес-процесс, в который вовлечено много разных систем. Иногда может дойти и до физических последствий, особенно если подвергшийся нападению бизнес широко использует ICS/SCADA, до которых можно добраться (опасная ошибка разработчиков!) через сети общего пользования.

Damage Incorporated

Группа киберпреступников BlackEnergy — оператор направленных угроз, склонный к разрушению. Данная группа успела обрести известность, сделав себе имя в конце 2000-х годов благодаря мощным DDoS-атакам с использованием одноимённого трояна. С 2014 года она привлекла к себе особое внимание, проявив интерес к пользователям и разработчикам ICS/SCADA по всему миру. Инструменты и операции группы наглядно демонстрируют их серьёзные навыки, значительно более выдающиеся, чем у средних операторов DDoS-ботнетов, а также их способности в кибершпионаже и саботаже производства.

Украинские компании давно являются их излюбленными мишенями, особенно фирмы с ICS/SCADA, поставщики энергии, а также средства массовой информации. Как будто намеренно следуя против течения, вместо того чтобы выбрать эксплойты Java и Adobe Flash, как делают большинство современных злоумышленников, эти преступники предпочитают протаскивать свои инфекции внутрь оборонительного периметра цели при помощи файлов Microsoft Office.

#BlackEnergy: идейные разрушители наносят новый удар

Файл содержал встроенный макрос, который собирает и запускает типичный дроппер BlackEnergy. Для успешного запуска этого скрипта в файлах, в MS Word должно быть разрешено выполнение макросов. Поэтому сразу по клику на файле диалоговое окно Microsoft Word предлагало пользователю включить макросы, чтобы открыть файл. О причине в диалоговом окне говорилось, что файл создан с помощью более поздней версии MS Office. Такая приманка особенно успешна в тех географических регионах, где темпы внедрения новейших версий программного обеспечения являются низкими.

После успешного выполнения дроппер распаковывал последнюю полезную нагрузку, которая включалась и настраивалась для автозапуска.

На этом этапе, после получения команд от сервера управления и контроля основной модуль, служащий, в основном, в качестве загрузчика, начинал скачивать соответствующие вспомогательные модули, способные искать и просеивать данные и/или сеять хаос и разрушения в инфраструктуре жертвы.

Одним из самых популярных у BlackEnergy методов нанесения ущерба является обширное удаление данных. Для этого преступники добавили в свой арсенал новый очиститель — гораздо более продвинутый, чем их предыдущая модель уровня диска, и способный избирательно уничтожать различные типы данных, не нуждаясь в администраторских привилегиях.

Вредоносная программа, которую использует BlackEnergy, по всей видимости, особенно хорошо натаскана на разные системы безопасности, так что операции преступников нередко становятся успешными. Отсюда необходимость быть особенно тщательным при построении или отладке стратегии ИТ-безопасности.

Очевидно, что использовать стандартное антивирусное решение тут недостаточно. Чтобы значительно снизить риск серьёзного ущерба для вашего бизнеса, вы должны реализовать многоуровневую систему. Хорошо знакомый рейтинг Стратегий противодействия от Управления радиотехнической обороны Австралии (ASD) конкретно указывает на необходимость комплексного подхода. Такой подход призван объединить административные, операционные и сетевые меры, а также специализированные технологические меры, касающиеся отдельных слоев вашей ИТ-инфраструктуры.

Надёжная защита требует многоуровневого подхода #бизнесбезугроз

Эта платформа безопасности обеспечивает не только набор передовых технологий обнаружения, но и дополнительные уровни защиты, включая Контроль безопасности и Оценку уязвимости/Управление исправлениями. Функции Контроля запуска программ, подкреплённые нашим облачным Dynamic Whitelisting и поддерживающие сценарий Запрета по умолчанию, в частности, особенно применимы в промышленном секторе и призваны предотвратить запуск ненадёжных приложений (в том числе вредоносных программ), сохраняя при этом рабочую среду неизменной. Такие функции управления на основе белых списков наряду с Контролем за уязвимостями/исправлениями значатся в числе первых четырёх стратегий противодействия, на счету которых предотвращение 85% инцидентов, связанных с направленными атаками.

С учётом привычки BlackEnergy использовать спиэрфишинг по электронной почте, развёртывание Kaspersky Security for Mail Server создаст дополнительный мощный барьер от инфекции. А обучение вашего персонала на тренингах Kaspersky Cybersecurity Awareness тому, что не следует открывать каждый интересный на вид документ, может защитить от огромного количества угроз, в том числе тех, которые представляют собой те самые заядлые разрушители.

Подробнее о BlackEnergy читайте в статье на Securelist.

Почти 2 года неустановленными лицами с применением вредоносной программы BlackEnergy2/3 осуществляются атаки на объекты критической информационной инфраструктуры Украины и целые индустрии. Как правило, апогеем несанкционированного воздействия является выведение атакуемой компьютерной сети и ее элементов из строя. Вместе с тем, последняя атака 2015 года привела к отключению электрических подстанций в ряде областей Украины, чем, по праву, завоевала звание первой в истории Украины успешной атаки на SCADA-системы с реальным последствиями.

Учитывая недостаток пригодного для восприятия среднестатистическим украинцем новостного материала, мы также решили внести лепту в правое дело и опубликовать результаты исследования украинской компании CyS Centrum в отношении направленных на Украину кибер-атак.

Итак, по порядку.

Особенно обеспокоенным и ответственным системным администраторам, счастливым обладателям прокси-серверов в своих компьютерных сетях, рекомендуем проверить файлы регистрации событий на предмет содержания в них HTTP-запросов, содержащих следующие индикаторы компрометации (по IP-адресу или URI):

Кроме того, мы также рекомендуем проверить логи серверов электронной почты. В качестве индикатора можно использовать данные следующей строки из заголовоков электронного сообщения:

По всей видимости, для организации рассылок вредоносных писем злоумышленники решили "подломать" один из серверов Португальского университета "University of Beira Interior"

Вредоносное электронное письмо как всегда содержало очень релевантный, внушающий доверие текст и документ приманку. Примеры (хоть и не впервой) отображены на рис. 3-5.

Как и прежде, в результате эксплуатации уязвимости вредоносная программа BlackEnergy3 устанавливалась на компьютер, что, в последствии, влекло за собой установку вредоносных драйверов BlackEnergy2. В данном случае вредоносная нагрузка, после эксплуатации уязвимости, скачивалась с SMB-ресурса (Рис. 6). Более детальный анализ можно найти, например, здесь [8][9].

При анализе одного из таких таргетированных писем в замешательство приводит тот факт, что жертвами рассылки, среди прочих, были несколько областных государственных администрации Украины и архивно-исторические организации. Известный нам перечень атакованных во время второй кибер-кампании объектов отображен ниже:

• Electronic Resource Preservation and Access Network
• Department of History, Michigan State University
• Digital Preservation Europe
• Germans from Russia Heritage Collection

• Тернопільська облдержадміністрація
• Закарпатська облдержадміністрація
• Дніпропетровська облдержадміністрація
• Миколаївська облдержадміністрація
• Державний архів Чернівецької області
• Центральний державний кінофотофоноархів України імені Г. С. Пшеничного

• Центр по проблемам информатизации сферы культуры Министерства культуры Российской Федерации
• Генеалогическое агентство Литера ру

На данном этапе описание атаки, проводимой в августе 2014 года, окончим. Все, относящиеся к делу индикаторы компрометации буду приведены ниже.

В начале марта 2015 года были получены сведения о проведении атаки с применением вредоносной программы BlackEnergy2/3 в отношении радиовещательных компаний Украины. Отличительной особенность являлось то, что присылаемые по электронной почте вредоносные документы (.xls и .pps) содержали макрос и JAR-файл, соответственно, который в свою очередь запускал PE-файл. Тематика документов-приманок была посвящена, в т.ч., революционным событиям и мобилизации. Пример одного из таких писем и документов отображен на рис. 7-9.

Помимо индикаторов, которые характеризуют инфраструктуру бот-сети (о них написано в конце статьи), доступны также данные из заголовков электронного письма, которым атаковали радиовещательные компании:

Уже в конце марта 2015 года были зафиксированы две вредоносные рассылки (с одинаковым вредоносным файлом, рис. 10).

Одна рассылка – в адрес государственного учреждения Украины, занимающегося архивно-библиотечной деятельностью (объект атаки очень похож на те, что были атакованы в августе 2014 года с применением 0day эксплойта). Вторым объектом атаки стало одно из облэнерго, находящееся в западной части Украины. Характер и масштабы поражений, а также образцы выявленных вредоносных программ, позволили с уверенность сказать, что данная кибер-атака была реализована с применением вредоносной программы BlackEnergy2/3.

Электронные письма конца марта 2015 года содержали несколько иные сетевые идентификаторы в заголовках. Для полноты картины приводим соответствующую строчку из письма про мобилизацию с одним вредоносным вложением "Додаток1.xls"

Благодаря еще одному ответственному Сотруднику обсуждаемого облэнерго в этой области население было спасено от отключения электричества и связанных с этим отрицательных последствий. Скажем все спасибо Герою.

• ТРК Україна (11131526trk)
• СТБ (2015stb)

Хотелось бы отметить, что есть основания полагать, что атаке также были подвержены:

2015en – компании энергетической сферы
2015ts – компании транспортной сферы
khm10 – областная энергетическая компания
khelm – областная энергетическая компания
brd2015 – Бердянська міська рада
kiev_o – Киевоблэнерго

Небольшой перечень сетевых индикаторов компрометации приведен ниже. Рекомендуем, в первую очередь всем упомянутым в статье объектам атаки, а во-вторую – всем остальным, не пренебречь возможностью и проверить лог-файлы и информационные потоки на предмет наличия/отсутствия в них свидетельств сетевого взаимодействия с использованием указанных индикаторов:

hxxps://5.9.32.230/Microsoft/Update/KS1945777.php
hxxps://31.210.111.154/Microsoft/Update/KS081274.php
hxxps://88.198.25.92/fHKfvEhleQ/maincraft/derstatus.php
hxxps://146.0.74.7/l7vogLG/BVZ99/rt170v/solocVI/eegL7p.php
hxxps://188.40.8.72/l7vogLG/BVZ99/rt170v/solocVI/eegL7p.php
hxxps://5.149.254.114/Microsoft/Update/KC074913.php
hxxps://148.251.82.21/Microsoft/Update/KS4567890.php
hxxp://41.77.136.250/Microsoft/Update/KS081274.php

Будет не лишним проверить наличие определенных файлов, содержащих в зашифрованном виде плагины BlackEnergy2:

Больше индикаторов вы можете почерпнуть тут [17] и тут [18].

Отдел исследования киберугроз CyS Centrum