Romania, tinta unui nou atac informatic

O grupare din Rusia a atacat calculatoare ale Guvernului, în căutare de informaţii.

O grupare din Rusia a atacat cibernetic timp de mai mulţi ani ţări precum Ucraina, România, Germania sau Spania, pentru a descoperi vulnerabilităţi în sistemele electronice şi pentru a culege date de la figuri politice proeminente, instituţii guvernamentale, servicii de telecomunicaţii şi criminalitate informatică sau companii aerospaţiale, arată un raport al Bitdefender, care a studiat, împreună cu specialişti ai serviciilor secrete, operaţiunea Sofacy, de tip APT (advanced persistent threat, ameninţare cibernetică persistentă), similară celor precum Stuxnet din Iran sau Octombrie Roşu, care a vizat şi România. Cele mai intense atacuri ale acestei operaţiuni au avut loc în februarie 2015, în timpul negocierilor de la Minsk, pentru pacea din Estul Ucrainei, când ruşii au scanat aproape toate IP-urile alocate Ucrainei, dar şi multe din România, pentru a găsi vulnerabilităţi de securitate şi a spiona după informaţii scre gandul.info.

Dacă operaţiunea de scanare după IP-uri vulnerabile era făcută automatizat, Bitdefender arată că infectarea propriu-zisă se făcea manual, de operatori umani, pe ţinte alese dinainte.

Apoi, existau trei metode de infectare a ţintelor alese: emailuri de tip phishing, cu documente infectate ataşate, de tip Word sau Excel; siteuri de phishing găzduite pe domenii care conţineau mici greşeli de tipar (o literă lipsă sau diferită faţă de domenii legitime, cunoscute); sau iFrames maliţioase care ducea la vulnerabilităţi de tip zero-day (originare) în Java sau Flash.Astfel, ţinta se infecta cel mai des accesând un URL infectat. Se descărca un mic program pe hard (numit runrun.exe), care apoi descărca un fişier ce era executat la rândul lui de Windows.

Astfel, calculatorul infectat intra în contact cu centrul de control şi comandă al hackerilor. Atunci urma partea a doua a infectării, care prin aceeaşi metodă instala un alt fişier prin care calculatorul infectat, prin backdoor-ul creat, contacta trei servere. Astfel, atacatorii aveau acces nelimitat la calculatorul respectiv.

În unele cazuri, operaţiunea se desfăşura manual, arată Bitdefender.

România nu este pentru prima oară în centrul unei operaţiuni de atac cibernetic de mare amploare, de tip APT. În 2013, operaţiunea de spionaj cibernetic denumită “Octombrie Roşu”, devoalată de firma de securitate IT Kaspersky, a avut implicaţii mult mai mari asupra siguranţei naţionale a României decât se credea iniţial, conform SRI. Atunci, spionii au vizat informaţii secrete privind politica externă, resursele naturale din Marea Neagră şi secrete economice şi politice din zona Mării Negre.

“Ameninţarea a fost una dintre cele mai mari din ultimii ani, la adresa României şi a aliaţilor săi, pentru că lucrurile au fost puse în contextul Uniunii Europene şi al NATO, în care România este membră. Putem spune că este cel mai mare atac din ultimii 20 de ani. În ultima perioadă, se poate observa o turnură în modul în care acţionează serviciile de spionaj în această zonă: se acţionează prin atacuri de tip cibernetic“, declara în 2013 purtătorul de cuvânt al SRI, Sorin Sava, pentru gândul.

“În afară că s-a urmărit accesul la reţelele naţionale de informaţii, s-au căutat informaţii despre politica externă a României, despre resursele naturale şi politica din zona Mării Negre şi despre spaţiul economic din această zonă”, a mai spus oficialul SRI.

Operaţiunea de spionaj cibernetic se derula de 5 ani, cu precădere în zona Europei de Est şi a fostelor state sovietice. Denumită “Octombrie Roşu”, operaţiunea se folosea de viruşi creaţi de hackeri chinezi, care erau plantaţi în reţelele informatice spionate cu ajutorul unor programe create de hackeri ruşi.

Iniţial, SRI a anunţat că atacul asupra României nu a avut o anvergură atât de mare, spionii reuşind doar accesul la informaţii confidenţiale, nu însă şi la cele secrete. Conform Centrului Naţional de Răspuns la Incidente de Securitate Cibernetică (CERT), operaţunea de spionaj a afectat doar 4 adrese de IP ale unor ambasade şi instituţii străine din România.