В период прелюдии к российскому вторжению в Украину и российскому вторжению в Украину было зафиксировано несколько кибератак против Украины , а также несколько атак против России . Первая крупная кибератака произошла 14 января 2022 года и вывела из строя более десятка веб-сайтов правительства Украины . [1] По словам украинских чиновников, атаке подверглись около 70 правительственных веб-сайтов, включая Министерство иностранных дел , Кабинет министров и Совет национальной обороны (СНБО). Большинство сайтов были восстановлены в течение нескольких часов после атаки. [2] 15 февраля еще одна кибератака вывела из строя несколько правительственных и банковских служб. [3] [4]
24 февраля Россия начала полномасштабное вторжение в Украину. Представители западных разведок считали, что это будет сопровождаться крупной кибератакой на украинскую инфраструктуру, однако эта угроза не материализовалась. [5] Кибератаки на Украину продолжались во время вторжения, но с ограниченным успехом. Независимые хакерские группы, такие как Anonymous , начали кибератаки на Россию в ответ на вторжение. [5] [6]
Канадское правительство в недатированной Белой книге, опубликованной после 22 июня 2022 года, считало, что «масштабы и серьезность киберопераций, связанных с российским вторжением в Украину, почти наверняка были более сложными и широкомасштабными, чем сообщалось в открытых источниках». [7]
На момент атаки напряженность между Россией и Украиной была высокой, более 100 000 российских солдат находились вблизи границы с Украиной, а переговоры между Россией и НАТО продолжались. [1] Правительство США заявило, что Россия готовилась к вторжению в Украину, включая «диверсионную деятельность и информационные операции». США также якобы нашли доказательства «операции под ложным флагом» на востоке Украины, которая могла быть использована в качестве предлога для вторжения. [2] Россия отрицает обвинения в готовящемся вторжении, но пригрозила «военно-техническими действиями», если ее требования не будут выполнены, особенно просьба о том, чтобы НАТО никогда не принимало Украину в альянс. Россия решительно выступила против расширения НАТО до своих границ. [2]
Атаки 14 января 2022 года заключались в том, что хакеры заменили веб-сайты текстом на украинском , ошибочном польском и русском языках , в котором говорилось «бойтесь и ждите худшего» и утверждалось, что в интернет просочилась личная информация. [8] Пострадало около 70 правительственных сайтов, включая Министерство иностранных дел , Кабинет министров и Совет безопасности и обороны . [9] СБУ заявила, что утечки данных не было. Вскоре после появления сообщения сайты были отключены. Большинство сайтов были восстановлены в течение нескольких часов. [1] Заместитель секретаря СНБО Сергей Демедюк заявил, что украинское расследование атаки подозревает, что для осуществления атаки были использованы права администратора сторонней компании. Программное обеспечение неназванной компании использовалось с 2016 года для разработки правительственных сайтов, большинство из которых пострадали в результате атаки. [9] Демедюк также обвинил в атаке UNC1151, хакерскую группу, предположительно связанную с белорусской разведкой. [10]
Отдельная разрушительная вредоносная атака произошла примерно в то же время, впервые появившись 13 января. Впервые обнаруженная Microsoft Threat Intelligence Center (MSTIC), вредоносная программа была установлена на устройствах, принадлежащих «нескольким государственным, некоммерческим и информационным технологическим организациям» в Украине. [11] Позже сообщалось, что это включало Государственную службу по чрезвычайным ситуациям и Бюро страхования автотранспорта. [12] Программное обеспечение, обозначенное как DEV-0586 или WhisperGate, было разработано так, чтобы выглядеть как программа-вымогатель, но не имело функции восстановления, что указывает на намерение просто уничтожить файлы вместо их шифрования с целью получения выкупа. [11] MSTIC сообщил, что вредоносная программа была запрограммирована на выполнение при выключении целевого устройства. Вредоносная программа перезаписывала главную загрузочную запись (MBR) общей запиской с требованием выкупа. Затем вредоносная программа загружает второй файл .exe , который перезаписывал все файлы с определенными расширениями из заранее определенного списка, удаляя все данные, содержащиеся в целевых файлах. Полезная нагрузка программы-вымогателя отличается от стандартной атаки программы-вымогателя несколькими способами, что указывает на исключительно разрушительное намерение. [13] Однако более поздние оценки показывают, что ущерб был ограничен, что, вероятно, было преднамеренным выбором злоумышленников. [12]
19 января российская продвинутая постоянная угроза (APT) Gamaredon (также известная как Primitive Bear ) попыталась скомпрометировать западный правительственный объект в Украине. [14] Кибершпионаж, по-видимому, является главной целью группы, [14] которая действует с 2013 года; в отличие от большинства APT, Gamaredon широко нацелена на всех пользователей по всему миру (в дополнение к тому, что она также фокусируется на определенных жертвах, особенно на украинских организациях [15] ) и, по-видимому, предоставляет услуги для других APT. [16] Например, группа угроз InvisiMole атаковала отдельные системы, которые Gamaredon ранее скомпрометировал и отпечатал. [15]
Россия отвергла обвинения Украины в своей причастности к кибератакам. [17]
Украинские правительственные учреждения, такие как Центр стратегических коммуникаций и информационной безопасности и Министерство иностранных дел , предположили, что Российская Федерация была виновником атаки, отметив, что это не первый случай нападения России на Украину . [8] [18]
Верховный представитель Европейского союза Жозеп Боррель сказал об источнике атаки: «Можно очень хорошо представить с определенной вероятностью или с долей погрешности, откуда она может исходить». [19] Генеральный секретарь НАТО Йенс Столтенберг объявил, что организация усилит координацию с Украиной в области киберзащиты перед лицом потенциальных дополнительных кибератак . Позднее НАТО объявило, что подпишет соглашение, предоставляющее Украине доступ к своей платформе обмена информацией о вредоносном программном обеспечении . [2] [8]
15 февраля крупная DDoS- атака обрушила сайты министерства обороны, армии и двух крупнейших банков Украины, ПриватБанка и Ощадбанка . [3] [20] [4] Монитор кибербезопасности NetBlocks сообщил, что атака усилилась в течение дня, также затронув мобильные приложения и банкоматы банков. [3] The New York Times описала ее как «крупнейшую атаку такого рода в истории страны». Украинские правительственные чиновники заявили, что атака, вероятно, была осуществлена иностранным правительством, и предположили, что за ней стоит Россия. [21] Хотя были опасения, что атака типа «отказ в обслуживании» может быть прикрытием для более серьезных атак, украинский чиновник заявил, что такая атака не была обнаружена. [12]
По данным правительства Великобритании [22] и Совета национальной безопасности США, атака была осуществлена Главным разведывательным управлением России (ГРУ). Сотрудница американской службы кибербезопасности Энн Нойбергер заявила, что известная инфраструктура ГРУ была замечена передающей большие объемы сообщений на украинские IP-адреса и домены. [23] Представитель Кремля Дмитрий Песков отрицал, что атака исходила из России. [24]
23 февраля третья DDoS-атака вывела из строя несколько украинских правительственных, военных и банковских сайтов. Хотя военные и банковские сайты были описаны как имеющие «более быстрое восстановление», сайт СБУ был отключен в течение длительного периода. [25]
Незадолго до 17:00 23 февраля вредоносное ПО для удаления данных было обнаружено на сотнях компьютеров, принадлежащих нескольким украинским организациям, в том числе в финансовом, оборонном, авиационном и ИТ-секторах. ESET Research окрестила вредоносное ПО HermeticWiper, названное в честь его подлинного сертификата подписи кода от кипрской компании Hermetica Digital Ltd. Сообщается, что устройство для удаления было скомпилировано 28 декабря 2021 года, в то время как Symantec сообщила о вредоносной активности еще в ноябре 2021 года, что подразумевает, что атака была спланирована за несколько месяцев до нее. Symantec также сообщила об атаках с использованием устройства в Литве и о том, что некоторые организации были скомпрометированы за несколько месяцев до атаки с использованием устройства для удаления. Подобно январской атаке WhisperGate, программа-вымогатель часто развертывается одновременно с устройством для удаления в качестве приманки, и устройство для удаления повреждает основную загрузочную запись устройства. [26] [27]
За день до атаки ЕС развернул группу быстрого реагирования на кибератаки, состоящую из примерно десяти экспертов по кибербезопасности из Литвы, Хорватии, Польши, Эстонии, Румынии и Нидерландов. Неизвестно, помогла ли эта группа смягчить последствия кибератаки. [28]
Атака совпала с признанием Россией сепаратистских регионов на востоке Украины и разрешением на размещение там российских войск. США и Великобритания обвинили в атаке Россию. Россия отвергла обвинения и назвала их «русофобскими». [25]
Взлом Viasat , произошедший между 5 и 9 утра по восточноевропейскому времени 24 февраля [29] , мог быть направлен на то, чтобы нарушить работу украинских военных сетей, которые использовали сеть Viasat для предоставления им услуг связи. [30] [31] Атака могла быть направлена на то, чтобы нанести удар по «аспектам военного командования и управления в Украине». [32] [33] Атака «вывела из строя тысячи спутниковых широкополосных модемов Viasat KA-SAT в Украине, включая те, которые используются военными и другими правительственными учреждениями, что привело к серьезным потерям в интернет-связи». [34] [30] [35] [36]
В совместном сообщении от 10 мая 2022 года многие западные правительства представили доказательства того, что Россия несет ответственность за нападение из-за их вторжения. [37] [38] [39] [40] [41]
26 февраля министр цифровой трансформации Украины Михаил Федоров объявил о создании ИТ-армии , в которую войдут киберспециалисты, копирайтеры, дизайнеры, маркетологи и таргетологи. В результате атакам подверглись многочисленные российские правительственные сайты и банки. [42] Были обнародованы десятки выпусков российских звезд и чиновников, а на некоторых телеканалах транслировались украинские песни, в том числе « Молитва за Украину ». [43] [44]
Чтобы защитить себя и сохранить подключение к Интернету во время войны, украинские власти посчитали возможным решением доступ в Интернет через Starlink в своей стране . [45]
В отличие от обычного спутникового интернета, такого как Viasat, доступ в интернет через Starlink работает в сети, фрагментированной на отдельные части. [46] [47] Интернет транслируется на определенную тарелку с ограниченным радиусом действия, обеспечивая доступ в интернет в ограниченной области тарелки, как персональная точка доступа в Интернет. [47] [48] Вся система не позволяет Starlink быть выведенным из строя одной атакой со стороны России. [49]
26 февраля украинское правительство и украинский министр Михаил Федоров обратились в Twitter к Илону Маску с просьбой предоставить Украине помощь Starlink. [50] [51] Маск согласился, и SpaceX ответила активацией обслуживания по всей стране, а первая партия терминалов Starlink прибыла через два дня, 28 февраля. [50]
Начиная с 6 марта, Россия начала значительно увеличивать частоту своих кибератак против украинских мирных жителей. [52]
Только 9 марта блокирующий вредоносное ПО рекурсивный распознаватель Quad9 перехватил и смягчил 4,6 миллиона атак на компьютеры и телефоны в Украине и Польше, что в десять раз превышает средний показатель по Европе. Эксперт по кибербезопасности Билл Вудкок из Packet Clearing House отметил, что заблокированные DNS-запросы, поступающие из Украины, явно демонстрируют рост фишинговых и вредоносных атак на украинцев, и отметил, что польские цифры также были выше обычных, поскольку 70%, или 1,4 миллиона, украинских беженцев находились в Польше в то время. [53] Объясняя характер атаки, Вудкок сказал: «Украинцы подвергаются огромному количеству фишинга, и большая часть вредоносного ПО, которое попадает на их машины, пытается связаться с вредоносной инфраструктурой командования и управления». [52]
28 марта российский интернет-провайдер RTComm.ru с помощью BGP заблокировал IPv4-адрес Twitter 104.244.42.0/24 на два часа пятнадцать минут. [54] [55]
В то время как наш общий трафик упал в Киеве — и немного вырос в Варшаве из-за сбоев инфраструктуры внутри Украины — соотношение "хороших запросов" к "заблокированным запросам" резко возросло в обоих городах. Скачок коэффициента блокировки в среду (9 марта 2022 г.) днем в Киеве был примерно в 10 раз выше обычного уровня по сравнению с другими городами Европы. Этот скачок порядка величины является беспрецедентным.