NotPetya: cyberatak, który kosztował świat 10 mld dolarów

Fałszywa aktualizacja, która otworzyła drzwi

Historia zaczyna się niepozornie - od programu M.E.Doc, popularnego na Ukrainie oprogramowania księgowego, z którego korzystała niemal każda firma rozliczająca tam podatki. Napastnicy przejęli serwer aktualizacji tego programu i wgrali do niego złośliwy kod. Wystarczyło, że firma pobrała rutynową aktualizację księgową, by złośliwe oprogramowanie trafiło prosto do jej sieci wewnętrznej.

To klasyczny przykład ataku na łańcuch dostaw - zamiast atakować tysiące firm z osobna, wystarczyło skompromitować jednego dostawcę oprogramowania, z którego korzystali wszyscy. Skala infekcji na Ukrainie była tak duża, że ucierpiały banki, lotnisko w Kijowie, elektrownie, a nawet systemy monitorujące poziom promieniowania w Czarnobylu.

Robak, który udawał okup, a chciał tylko niszczyć

Na pierwszy rzut oka NotPetya wyglądał jak ransomware - szyfrował dane i wyświetlał żądanie okupu w bitcoinach. W rzeczywistości był to tak zwany wiper, czyli oprogramowanie, którego jedynym celem jest nieodwracalne zniszczenie danych. Klucz deszyfrujący był generowany w sposób losowy i nigdzie nie zapisywany, więc nawet po zapłaceniu okupu odzyskanie plików było niemożliwe.

Do rozprzestrzeniania się w sieciach firmowych kod wykorzystywał lukę EternalBlue - ten sam exploit wykradziony wcześniej amerykańskiej NSA, który kilka tygodni wcześniej posłużył do ataku WannaCry. Dodatkowo NotPetya używał narzędzia Mimikatz do wykradania haseł z pamięci komputerów, dzięki czemu mógł przeskakiwać między maszynami w sieci firmowej bez konieczności wykorzystywania kolejnych luk - wystarczyło jedno zainfekowane stanowisko, by zarazić całą infrastrukturę.

Kilka godzin, by sparaliżować globalne korporacje

Skutki były błyskawiczne. Duński gigant żeglugowy Maersk, obsługujący około jednej piątej światowego transportu morskiego, stracił działanie praktycznie wszystkich swoich systemów IT w niecałe siedem minut. Terminale kontenerowe na całym świecie zamarły, a pracownicy musieli ręcznie kierować ruchem statków i ciężarówek.

Firma farmaceutyczna Merck wstrzymała częściowo produkcję szczepionek, kurierski FedEx (za pośrednictwem spółki TNT Express) miesiącami odbudowywał swoje systemy logistyczne, a producent czekolady Mondelez i francuski koncern Saint-Gobain liczyli straty idące w setki milionów dolarów. Co istotne - żadna z tych firm nie była bezpośrednim celem ataku. Wszystkie stały się ofiarami efektu ubocznego operacji wymierzonej pierwotnie w Ukrainę.

Rachunek na 10 miliardów dolarów

Biały Dom oszacował globalne straty spowodowane przez NotPetya na ponad 10 miliardów dolarów, co czyni go najdroższym cyberatakiem w historii. Co ważne, znaczna część tych kosztów nie dotyczyła firm ukraińskich, lecz międzynarodowych korporacji, które miały choćby jeden oddział lub partnera korzystającego z zainfekowanego oprogramowania księgowego.

Kto stał za atakiem

Rządy Stanów Zjednoczonych, Wielkiej Brytanii i kilku innych państw oficjalnie przypisały atak grupie Sandworm, powiązanej z rosyjskim wywiadem wojskowym GRU. Uznano, że NotPetya był elementem szerszej kampanii wymierzonej w Ukrainę w okresie napięć wokół Krymu i Donbasu, a globalne rozprzestrzenienie się kodu było efektem ubocznym - lub, jak twierdzą niektórzy badacze, częściowo zamierzonym pokazem siły.

Czego uczy nas ta historia małe i średnie firmy

NotPetya pokazał, że nie trzeba być celem ataku, by stać się jego ofiarą. Kilka wniosków pozostaje aktualnych do dziś:

• Aktualizacje oprogramowania trzeba traktować jako potencjalny wektor ataku - stąd rosnące znaczenie kontroli łańcucha dostaw (SBOM) i weryfikacji dostawców.
• Segmentacja sieci ogranicza szkody - w firmach Maersk czy Merck infekcja mogła swobodnie przeskakiwać między działami właśnie z powodu płaskiej, niesegmentowanej sieci.
• Kopie zapasowe offline są jedyną skuteczną obroną przed atakiem typu wiper - szyfrowanie danych bez planu odtworzenia nie ma znaczenia, jeśli backup też zostanie zainfekowany.
• Niezałatane luki, nawet te ujawnione miesiące wcześniej, wciąż bywają furtką do katastrofy.

Dla polskich firm z sektora MŚP, korzystających z zagranicznych partnerów czy specjalistycznego oprogramowania branżowego, lekcja jest prosta - bezpieczeństwo własnej sieci zależy też od bezpieczeństwa dostawców, z którymi się łączy.