Компания «Роснефть» пожаловалась на мощную хакерскую атаку на свои сервера. Об этом компания сообщила в своем Twitter . «На серверы компании осуществлена мощная хакерская атака. Мы надеемся, что это никак не связано с текущими судебными процедурами», - указывается в сообщении.
«По факту кибератаки компания обратилась в правоохранительные органы», - говорится в сообщении. В компании подчеркнули, что хакерская атака могла привести к серьезным последствиям, однако «благодаря тому, что компания перешла на резервную систему управления производственными процессами, ни добыча, ни подготовка нефти не остановлены». Собеседник газеты «Ведомости», близкий к одной из структур компании, указывает , что все компьютеры в НПЗ «Башнефти», «Башнефть-Добыче» и управлении «Башнефти» «единомоментно перезагрузились, после чего скачали неустановленное программное обеспечение и вывели на экран заставку вируса WannaCry».
На экране пользователям было предложено перевести $300 в биткоинах по указанному адресу, после чего пользователям якобы будет выслан ключ для разблокировки компьютеров на e-mail. Вирус, судя из описания, зашифровал все данные на пользовательских компьютерах.
Group-IB, занимающаяся предотвращением и расследованием киберпреступлений и мошенничеств, идентифицировала вирус, поразивший нефтяную компанию, сообщили Forbes в компании. Речь идет о вирусе-шифровальщике Petya, который атаковал не только «Роснефть». Специалисты Group-IB. выяснили, что атакованы около 80 компаний России и Украины: сети «Башнефти», «Роснефти», украинских компаний «Запорожьеоблэнерго», «Днепроэнерго» и Днепровской электроэнергетической системы, Mondelēz International, «Ощадбанк», Mars, «Новая Почта», Nivea, TESA и другие. Киевский метрополитен также подвергся хакерской атаке. Атакованы правительственные компьютеры Украины, магазины Ашан, украинские операторы (Киевстар, LifeCell, УкрТелеКом), ПриватБанк. Аэропорт «Борисполь», предположительно, также подвергся хакерской атаке.
Вирус распространяется или как wannacry, или через рассылку - сотрудники компаний открывали вредоносные вложения в письмах электронной почты. В результате компьютер жертвы блокировался и MFT (файловая таблица NTFS) надежно шифровалась, объясняет представитель Group-IB. При этом на экране блокировки не указано название программы-шифровальщика, что осложняет процесс реагирования на ситуацию. Также стоит отметить, что в Petya используется стойкий алгоритм шифрования и нет возможности создать инструмент расшифровки. Шифровальщик требует $300 в биткоинах. Потерпевшие начали уже переводить деньги на кошелек злоумышленников.
Специалисты Group-IB установили, что недавно модифицированную версию шифровальщика Petya - «PetrWrap» использовала группа Cobalt для сокрытия следов целевой атаки на финансовые учреждения. Преступная группа Cobalt известна тем, что успешно атаковала банки по всему миру - России, Великобритании, Нидерландах, Испании, Румынии, Белоруссии, Польши, Эстонии, Болгарии, Грузии, Молдавии, Киргизии, Армении, Тайване и Малайзии. Эта структура специализируется на бесконтактных (логических) атаках на банкоматы. Кроме систем управления банкоматами, киберпреступники стараются получить доступ к системам межбанковских переводов (SWIFT), платежным шлюзам и карточному процессингу.
Одним из ключевых докладчиков Positive Hack Days 9 станет знаменитый исследователь безопасности сетей GSM Карстен Ноль (Karsten Nohl). В студенческие годы его знали как члена сообщества Chaos Computer Club, сегодня Карстен специалист в области шифрования и безопасности данных. Подвергает сомнению и часто опровергает общепринятые идеи о проприетарном программном обеспечении. В своей работе опирается на поддержку Reliance Jio - самой быстрорастущей компании в мире.
Впервые Карстен заявил о себе в 2009 году, когда ему удалось взломать алгоритм кодирования данных в сетях GSM. На конференции Chaos Communication Congress в Берлине он первым публично продемонстрировал процесс взлома.
В 2013 году он обнаружил уязвимость в SIM-картах, которая содержалась в алгоритме шифрования DES (Data Encryption Standard) - он использовался множеством производителей и поддерживался миллионами SIM-карт. Суть атаки заключалась в отправке на телефон специального сообщения, аппарат принимал его за SMS от оператора и выдавал в ответном сообщении криптографическую подпись. Получив это, злоумышленник мог подслушивать разговоры владельца телефона, перехватывать SMS и совершать платежи. На взлом телефона у атакующего могло уйти всего пара минут.
Вместе с Якобом Леллем (Jakob Lell), исследователем компании Security Research Labs, Карстен в 2014 году сообщил об уязвимости устройств USB. С ее помощью злоумышленники могли взломать микроконтроллер и получить возможность управлять компьютером жертвы. Способ получил название BadUSB. В том же году на конференции Chaos Communication Congress Карстен Ноль и исследователь Тобиас Энгель (Tobias Engel) рассказали о серьезных уязвимостях в SS7, которые дают атакующим возможность легко перехватывать телефонные разговоры и SMS-сообщения, даже если в сотовых сетях используются самые современные стандарты шифрования. Уязвимы все телефоны и смартфоны, независимо от операционной системы.
В прошлом году Карстен Ноль и Якоб Лелль на конференции Hack In The Box поделились результатами двухлетнего исследования, в ходе которого они изучили состав обновлений безопасности, выпускаемых крупнейшими производителями устройств на базе Android . Оно показало, что многие крупные производители лишь создают видимость выхода патчей, а на деле многие баги остаются неисправленными.
На PHDays 9, который состоится 21–22 мая 2019 года, Карстен Ноль выступит с докладом «Что там у айсберга под водой: поговорим о реальных киберугрозах». Глобальный анализ данных об уровне защищенности тысяч компаний из десятков отраслей показывает, как непросто бывает большинству организаций интегрировать базовые принципы безопасности. Карстен обсудит с участниками форума, чтó действительно должно волновать общество, стремящееся к информационной безопасности.
В пресс-службе компании Group-IB, которая занимается расследованием киберпреступлений, РБК сообщили, что хакерская атака на ряд компаний при помощи вируса-шифровальщика Petya «очень схожа» с атакой, которая произошла в середине мая при помощи вредоносной программы WannaCry. Petya блокирует компьютеры и требует взамен $300 в биткоинах.
«Атака произошла около 14.00. Судя по фотографиям, это криптолокер Petya. Способ распространения в локальной сети аналогичен вирусу WannaCry», — следует из сообщения пресс-службы Group-IB.
В это же время сотрудник одной из «дочек» «Роснефти», которая занимается шельфовыми проектами, говорит, что компьютеры не выключались, экраны с красным текстом появились, но не у всех сотрудников. Тем не менее в компании коллапс, работа остановлена. Собеседники также отмечают, что в офисе «Башнефти» в Уфе полностью выключили все электричество.
На момент 15:40 мск официальные сайты «Роснефти» и «Башнефти» недоступны. Факт отсутствия ответа можно подтвердить на ресурсах проверки статуса сервера. Сайт крупнейшей «дочки» «Роснефти» «Юганскнефтегаза» тоже не работает .
Позже компания написала в своем Twitter, что хакерская атака могла привести к «серьезным последствиям». Несмотря на это, производственные процессы, добыча, подготовка нефти не были остановлены благодаря переходу на резервную систему управления, пояснили в компании.
В настоящее время Арбитражный суд Башкирии завершил заседание, на котором рассматривал иск «Роснефти» и подконтрольной ей «Башнефти» к АФК «Система» и «Системе-Инвест» о взыскании 170,6 млрд руб., которые, как утверждает нефтяная компания, «Башнефть» понесла в виде убытков в результате реорганизации в 2014 году.
Представитель АФК «Система» попросил суд отложить следующее заседание на месяц, чтобы стороны успели ознакомиться со всеми ходатайствами. Судья назначила следующее заседание через две недели — на 12 июля, отметив, что у АФК много представителей и они справятся за этот срок.
Вирус-шифровальщик атаковал компьютеры десятков компаний в России и на Украине, парализовав работу в том числе государственных структур, и начал распространяться по всему миру
В РФ жертвами вируса Petya - клона вымогателя WannaCry, поразившего компьютеры по всему миру в мае, - стали "Башнефть" и "Роснефть".
В "Башнефти" вирусом заражены все компьютеры, сообщил источник в компании "Ведомостям" . Вирус шифрует файлы и требует выкупа в размере 300 долларов на биткоин-кошелек.
"Вирус вначале отключил доступ к порталу, к внутреннему мессенджеру Skype for business, к MS Exchange, думали, просто сетевой сбой, далее компьютер перезагрузился с ошибкой. "Умер" жесткий диск, следующая перезагрузка уже показала красный экран", - рассказал источник.
Практически одновременно о "мощной хакерской атаке" на свои серверы заявила "Роснефть". IT-системы и управление добычей переведены на резервные мощности, компания работает в штатном режиме, а "распространители лживых и панических сообщений будут нести ответственность вместе с организаторами хакерской атаки", заявил ТАСС пресс-секретарь компании Михаил Леонтьев.
Сайты «Роснефти» и «Башнефти» не работают.
Атака была зафиксирована около 14.00 мск, среди ее жертв на данный момент 80 компаний. Помимо нефтяников пострадали представительства Mars, Nivea и Mondelez International (производитель шоколада Alpen Gold), сообщила Group-IB, которая занимается предотвращением и расследованием киберпреступлений.
Также об атаке на свои ресурсы сообщили металлургическая компания Evraz и банк "Хоум Кредит", который был вынужден приостановить работу всех своих отделений. По данным РБК , не менее 10 российских банков обратились во вторник к специалистам по кибербезопасности в связи с атакой.
На Украине вирус атаковал компьютеры правительства, магазины "Ашан", Приватбанк, операторов связи "Киевстар", LifeCell и "Укртелеком".
Под ударом оказались Аэропорт "Борисполь", Киевский метрополитен, "Запорожьеоблэнерго", "Днепроэнерго" и "Днепровская электроэнергетическая система".
Чернобыльская АЭС перешла на радиационный мониторинг промышленной площадки в ручном режиме из-за кибератаки и временного отключения системы Windows, сообщили "Интерфаксу" в пресс-службе Государственного агентства по управлению зоной отчуждения.
Вирус-шифровальщик затронул большое количество стран по всему миру, сообщил руководитель международного исследовательского подразделения «Лаборатории Касперского» Костин Райю в своем аккаунте в Twitter.
По его словам, в новой версии вируса, которая появилась 18 июня этого года, есть поддельная цифровая подпись Microsoft.
В 18.05 мск об атаке на свои серверы объявила датская судоходная компания A.P. Moller-Maersk. Помимо России и Украины, пострадали пользователи в Великобритании, Индии и Испании, сообщило Reuters со ссылкой на Агентство информационных технологий правительства Швейцарии.
Гендиректор ГК InfoWatch Наталья Касперская пояснила ТАСС, что сам вирус-шифровальщик появился более года назад. Он распространяется, в основном, через фишинговые сообщения и является модифицированной версией известной ранее вредоносной программы. "Он объединился с некоторым другим вымогателем-вирусом Misha, который имел права администратора. Это был улучшенная версия, резервный шифровальщик", - рассказала Касперская.
По ее словам, быстро побороть майскую атаку шифровальщика WannaCry удалось из-за имевшейся в вирусе уязвимости. "Если вирус такой уязвимости не содержит, то бороться с ним сложно", - добавила она.
Масштабная кибератака с использованием вируса-вымогателя WannaCry, поразившего более 200 тысяч компьютеров в 150 странах, произошла 12 мая 2017 года.
WannaCry шифрует файлы пользователя и для их расшифровки требует оплату в биткоинах, эквивалентную 300 долларам.
В России атаке, в частности, подверглись компьютерные системы министерства внутренних дел, министерства здравоохранения, Следственного комитета, компании РЖД, банков и операторов мобильной связи.
По данным в британском Центре кибербезопасности (NCSC), возглавляющем международное расследование атаки 12 мая, за ней стояли северокорейские хакеры из связанной с правительством группировки Lazarus.
Так теперь появился новый вирус.
Что за вирус и стоит ли его бояться
Вот так он выглядит на зараженном компьютере
Вирус под названием mbr locker 256 (который на мониторе именует себя Petya) атаковал сервера российских и украинских компаний.
Он блокирует Файлы на компьютере и шифрует их. За разблокировку хакеры требуют $300 в биткоинах.
MBR – это главная загрузочная запись, код, необходимый для последующей загрузки ОС. Он расположен в первом секторе устройства.
После включения питания компьютера проходит процедура POST, тестирующая аппаратное обеспечение, а после неё BIOS загружает MBR в оперативную память по адресу 0x7C00 и передает ему управление.
Таким образом вирус попадает в компьютер и поражает систему. Модификаций зловреда существует много.
Работает он под управлением Windows, как и прежний зловред.
Кто уже пострадал
Украинские и российские компании. Вот часть из всего списка:
Многие компании оперативно отразили атаку, но не все это сделать смогли. Из-за него не работает часть серверов.
Банки не могут осуществить из-за «Пети» ряд денежных операций. Аэропорты откладывают или задерживают рейсы. Метрополитен Украины не принимал бесконтактные платежи до 15:00.
Что касается офисной техники, компьютеров, они не работают. При этом с энергосистемой, с энергообеспечением никаких проблем нет. Это коснулось только офисных компьютеров (работают на платформе Windows). Нам дали команду отключить компьютеры. - Укрэнерго
Операторы жалуются на то, что тоже пострадали. Но при этом стараются работать для абонентов в штатном режиме.
Как защититься от Petya.A
Для защиты от него нужно закрыть на компьютере TCP-порты 1024-1035, 135 и 445. Это сделать достаточно просто:
Шаг 1 . Открываем брэндмауэр.
Шаг 2 . В левой части экрана переходим в «Правила для входящих подключений».
Шаг 3 . Выбираем «Создать правило» -> «Для порта» -> «Протокол TCP» -> «Определенные локальные порты».
Шаг 4 . Пишем «1024-1035, 135, 445», выбираем все профили, щелкаем «Блокировать подключение» и везде «Далее».
Шаг 5 . Повторяем действия для исходящих подключений.
Ну и второе - обновить антивирус. Эксперты сообщают, что необходимые обновления уже появились в базах антивирусного ПО.
