СБУ предупреждает о возможной кибератаке на учреждения и предприятия

Об этом сообщает Depo.ua со ссылкой на пресс-центр СБУ.

Как известно, 27 июня этого года Украина подверглась масштабной кибератаке с использованием вредоносного программного обеспечения, идентифицированного как компьютерный вирус "Petya".

Во время анализа последствий и предпосылок этой атаки было установлено, что ей предшествовал сбор данных о предприятиях Украины (электронные почты, пароли учетных записей, которые используются предприятиями и их сотрудниками, реквизиты доступа к командно-контрольным серверам и хэш-данные учетных записей пользователей в пораженных системах и другая информация, которая отсутствует в открытом доступе), с последующим их сокрытием в файлах cookies и отправлением на командный сервер.

Специалисты СБУ предполагают, что именно эта информация и была целью первой волны кибератаки и может быть использована настоящими инициаторами как для проведения киберразведки, так и в целях дальнейших деструктивных акций.

Об этом свидетельствует обнаруженная специалистами во время исследования кибератаки "Petya" утилита Mimikatz (инструмент, в т.ч. реализующий функционал Windows Credentials Editor и позволяющий получить высокопривилегированные аутентификационные данные из системы в открытом виде), которая использует архитектурные особенности службы Kerberos в Microsoft Active Directory с целью скрытого сохранения привилегированного доступа над ресурсами домена.

Работа службы Kerberos базируется на обмене и верификации так называемых билетов доступа (TGT-билетов). В регламентах по информационной безопасности большинства учреждений и организаций смена пароля пользователя krbtgt не предусмотрена. Таким образом у злоумышленников, которые в результате проведенной кибератаки "Petya" несанкционированно получили административные сведения, появилась возможность генерации условно бессрочного TGT-билета, выписанного на идентификатор администратора системы (SID 500).

Особенностью упомянутого TGT-билета является то, что в условиях отключения скомпрометированной учтенной записи, аутентификация по Kerberos будет легитимной и будет восприниматься системой. Для подгрузки TGT-билета в адресное пространство операционной системы root-полномочия не нужны.

В связи с этим Служба безопасности Украины просит придерживаться разработанных рекомендаций, а именно:

1) осуществить обязательную смену пароля доступа пользователя krbtgt;

2) осуществить обязательную смену паролей доступа ко всем без исключения учетным записям в подконтрольной доменной зоне ИТС;

3) произвести смену паролей доступа к серверному оборудованию и программам, которые функционируют в ИТС;

4) на выявленных скомпрометированных ПЭВМ осуществить обязательную смену всех паролей, которые хранились в настройках браузеров;

5) повторно произвести смену пароля доступа пользователя krbtgt; перезагрузить службы KDC.

Также СБУ рекомендует в дальнейшем избегать сохранения в ИТС аутентификационных данных в открытом виде (использовать для этих целей специализированное программное обеспечение).

Напомним, вчера киберполиция заявила, что кибератака на Украину (вирус "Petya") 27 июня была демонстрацией, а не пробной атакой.