Znajdź zawartość

Amerykański Departament Sprawiedliwości (DoJ) nadał śledztwom ws. ataków ransomware podobny priorytet, co śledztwom ws. o terroryzm. Decyzje takie podjęto po ataku na największy w USA rurociąg z rafinowanym produktami z ropy naftowej, Colonial Pipeline. Do biur prokuratorów w całym kraju trafiły nowe wytyczne z DoJ. Zgodnie z nimi, śledztwa ws. ataków ransomware mają być centralnie koordynowane przez specjalną grupę zadaniową powołaną właśnie w Waszyngtonie. To wyspecjalizowany proces, dzięki któremu będziemy mogli śledzić wszelkie sprawy związane z ransomware, co pozwoli nam lepiej określić związki między sprawcami i pracować nad zniszczeniem całej struktury, powiedział John Carlin, zastępca prokuratora generalnego. Atak na Colonial Pipeline został przeprowadzony z terenu Rosji. Spowodował on pięciodniową przerwę w pracy rurociągu, niedobory paliw na wschodnim wybrzeżu USA i wzrost cen. W końcu firma zapłaciła przestępcom 5 milionów dolarów za odzyskanie dostępu do własnej sieci. Nowe zalecenia dot. śledztw w sprawach ransomware oznaczają, że prokuratorzy zostali zobowiązani do informowania Waszyngtonu na bieżąco o wszelkich szczegółach prowadzonych przez siebie śledztw. Dotychczas tego typu rozwiązania stosowano jedynie w niewielu kategoriach śledztw, jak te odnoszące się do bezpieczeństwa narodowego i terroryzmu. Marc Califano, były prokurator i ekspert ds. cyberbezpieczeństwa mówi, że dzięki podniesieniu klasyfikacji spraw o ransomware, DOJ będzie mógł bardziej efektywnie przydzielać zasoby dla śledztwa oraz lepiej identyfikować luki wykorzystywane przez cyberprzestępców. « powrót do artykułu

Cyberprzestępcy sparaliżowali jedną z tłoczni gazu w USA. W wyniku ataku typu ransomware gazociąg był przez dwa dni nieczynny, tyle bowiem czasu zajęło odzyskiwanie zaatakowanego systemu z kopii zapasowej. Przestępcy byli w stanie dostać się do części infrastruktury IT tłoczni i manipulować systemem kontroli i komunikacji (OT). Jak poinformowała Cybersecurity and Infrastructure Security Agency (CISA), atak rozpoczęto od phishingu na jednego z pracowników. Dzięki udanemu atakowi phishingowemu przestępcy mogli umieścić w sieci rancomware, które zaszyfrowało dane i uniemożliwiło dostęp do systemu kontroli. CISA poinformowała również, że takie działanie było możliwe, gdyż nie istniał rozdział pomiędzy elementami IT i OT infrastruktury sieciowej. Napastnicy nie zyskali jednak możliwości sterowania procesami fizycznymi tłoczni, a atak nie dotknął programowalnych kontrolerów (PLC), które są bezpośrednio odpowiedzialne za sterowanie procesami w środowisku przemysłowym. Stało się tak, gdyż atak był ograniczony wyłącznie do środowiska Windows. Jednak napastnicy sparaliżowali interfejsy umożliwiające obsłudze tłoczni sterowanie urządzeniami. Operatorzy tłoczni, którzy zdalnie nadzorowali jej pracę, mogli jedynie odczytywać parametry jej pracy. W tej sytuacji zdecydowano się na wyłączenie tłoczni i przywrócenie jej do ostatniej działającej konfiguracji. Przywracanie systemu trwało dwa dni, a jako, że prace kolejnych tłoczni zależą od innych, konieczne było wyłączenie całego gazociągu. Właściciele tłoczni przyznali, że nie byli przygotowani na tego typu wydarzenie. Wcześniej opracowane plany przewidywały jedynie działania na wypadek fizycznej awarii, a nie cyberataku. W związku z tym pracownicy nie byli odpowiednio przeszkoleni. Zdaniem ekspertów, ujawnia to poważniejszy problem w całym przemyśle. Wiele firm uznaje, że ich systemy kontrolne są dobrze izolowane. Tymczasem łączność z siecią jest coraz bardziej powszechna, pracownicy mają słabą świadomość zagrożeń, pojawiają się ludzkie błędy i infrastruktura przemysłowa jest wystawiona na ataki. To nie pierwszy przypadek tego typu. W listopadzie ubiegłego roku cyberprzestępcy wykorzystali dziurę w firewallach firmy Cisco i odcięli firmie sPower możliwość zdalnej kontroli jej farm wiatrowych i słonecznych. W ten sposób firma straciła możliwość monitorowania stanu systemów produkujących energię. W przemyśle jest to nazywane „utratą z pola widzenia”. Jeśli napastnicy chcieliby na przykład wyłączyć części sieci, ich pierwszym krokiem mogłyby być właśnie takie działania, gdyż w ten sposób operator sieci nie wiedziałby o kolejnych działaniach przestępców, mówi Phil Neray z firmy CyberX, która specjalizuje się w cyberbezpieczeństwie instalacji przemysłowych. « powrót do artykułu