Міненерговугілля відзвітувало про розслідування кібератаки на українські обленерго, яка сталася наприкінці минулого року.
Розслідування показало, що компрометація інформаційних мереж обленерго відбулася як мінімум за півроку до безпосередньої атаки. Віруси сімейства BlackEnergy були відправлені на електронні адреси компаній, знайдені у відкритому доступі, в доданих файлах до листів.
Після запуску вірусу зловмисники отримали можливість зібрати інформацію про структуру інформаційних мереж, що використовувані програми, облікові записи віддаленого доступу до інфраструктури, паролі і т. ін. Після цього зловмисники отримали можливість здійснити безпосередню атаку.
Загалом вона складалася з таких складових:
- попереднє зараження мереж за допомогою підроблених листів
- захоплення управління автоматизованою системою диспетчерського управління і відключення підстанцій
- виведення з ладу елементів ІТ-інфраструктури (джерела безперебійного живлення, модеми, RTU, комутатори)
- знищення інформації на серверах і робочих станціях утилітою KillDisk
- атака на телефонні номери кол-центрів з метою відмови в обслуговуванні знеструмлених абонентів
Хакери атакували три обленерго: "Прикарпаттяобленерго", "Чернівціобленерго" і "Київобленерго". Встановлено, що підключення зловмисників відбувалося з підмереж, що належать російським провайдерам. Дзвінки в кол-центри обленерго також здійснювали з російських номерів.
Робоча комісія прийшла до висновку, що основна причина вдалої атаки - це відсутність загальних обов'язкових вимог до енергетичних компаній у гарантуванні ІТ-безпеки систем автоматизації виробництва, недостатня обізнаність та підготовка технічного персоналу з приводу кібербезпеки і відсутність внутрішніх структур контролю кібербезпеки, не залежних від системних адміністраторів .
Міністерство пропонує проінформувати всі підприємства галузі про порядок взаємодії з державним кіберпідрозділом CERT-UA в разі виявлення ознак хакерської атаки. Також слід перевірити антивірусні програми всіх комп'ютерів, а сервери і комп'ютери систем управління взагалі потрібно ізолювати від мережі Інтернет. Обленерго рекомендують змінити всі облікові записи з використанням складних паролів і заборонити віддалений доступ до робочих комп'ютерів.