Microsoft предупреждает о разрушительной кибератаке на украинские компьютерные сети

ВАШИНГТОН - В субботу вечером компания Microsoft предупредила, что обнаружила в десятках правительственных и частных компьютерных сетей в Украине крайне разрушительную форму вредоносной программы, которая, похоже, ожидает запуска неизвестным субъектом.

В своем блоге компания сообщила, что в четверг - примерно в то же время, когда правительственные учреждения в Украине обнаружили, что их веб-сайты были повреждены - следователи, наблюдающие за глобальными сетями Microsoft, обнаружили код. "Эти системы охватывают множество правительственных, некоммерческих и информационно-технологических организаций, расположенных в Украине", - говорится в сообщении Microsoft.

В воскресенье советник президента Байдена по национальной безопасности Джейк Салливан заявил, что правительство изучает код, о котором впервые сообщила Microsoft. "Мы уже несколько недель и месяцев предупреждаем, как публично, так и частным образом, что кибератаки могут быть частью широкомасштабных усилий России по эскалации ситуации в Украине", - сказал г-н Салливан в программе "Лицом к нации" на канале CBS, отметив долгую историю использования Россией кибероружия против энергосистемы Украины, правительственных министерств и коммерческих фирм.

Однако он предупредил, что "мы пока не можем конкретно объяснить эту атаку", и что Microsoft и другие компании также не сделали этого. "Но мы упорно работаем над атрибуцией", - сказал он, добавив, что "меня ничуть не удивит, если в итоге это будет приписано России".

Код, по-видимому, был развернут примерно в то время, когда российские дипломаты после трехдневных встреч с представителями США и НАТО по поводу размещения российских войск на украинской границе заявили, что переговоры, по сути, зашли в тупик.

Украинские чиновники первоначально обвинили группу из Беларуси в порче сайтов их правительства, хотя они заявили, что подозревают причастность России. В воскресенье Министерство цифрового развития в своем заявлении сообщило, что ряд государственных учреждений подвергся атаке вредоносного ПО, предположительно того же кода, о котором сообщила компания Microsoft.

"Все доказательства указывают на то, что за кибератакой стоит Россия", - говорится в заявлении. "Москва продолжает вести гибридную войну и активно наращивает свои силы в информационном и киберпространстве".

Но министерство не предоставило никаких доказательств, а ранняя атрибуция атак часто бывает ошибочной или неполной.

Компания Microsoft заявила, что пока не может определить группу, стоящую за вторжением, но, похоже, это не тот злоумышленник, с которым ее следователи сталкивались ранее.

Код, по описанию следователей компании, похож на программу-выкуп - он замораживает все функции компьютера и данные и требует оплаты. Однако никакой инфраструктуры для приема денег не существует, что позволяет следователям сделать вывод о том, что целью программы является нанесение максимального ущерба, а не сбор денег.

Возможно, что разрушительное программное обеспечение не получило слишком широкого распространения и что раскрытие информации Microsoft затруднит метастазирование атаки. Но также возможно, что злоумышленники теперь запустят вредоносное ПО и постараются уничтожить как можно больше компьютеров и сетей.

"Мы обнародовали информацию, чтобы дать правительству, организациям и структурам в Украине возможность найти вредоносное ПО и устранить последствия", - сказал Том Берт, вице-президент Microsoft по безопасности и доверию клиентов, который руководит работой компании по обнаружению и предотвращению атак. В данном случае, по его словам, следователи из подразделения компании по борьбе с киберпреступностью заметили необычные действия в сетях, которые они обычно контролируют.

Предупреждения, подобные предупреждению Microsoft, могут помочь предотвратить атаку до того, как она произойдет, если пользователи компьютеров постараются искоренить вредоносное ПО до его активации. Но это также может быть рискованно. Разоблачение меняет расчеты преступника, который, обнаружив атаку, может ничего не терять, чтобы посмотреть, какие разрушения она принесет.

Пока нет никаких доказательств того, что разрушительная вредоносная программа была запущена хакерами, которые поместили ее в украинские системы. Но г-н Салливан, отвечая на вопрос о том, начнут ли Соединенные Штаты применять финансовые и технологические санкции, если атаки России будут ограничиваться киберпространством, а не физическим вторжением, сказал, что сначала важно получить окончательное заключение об источнике атаки.

"Если выяснится, что Россия наносит Украине удары кибератаками, - сказал он, - и если это продолжится в предстоящий период, мы будем работать с нашими союзниками над соответствующим ответом".

Г-н Салливан сказал, что Соединенные Штаты работают с Украиной над укреплением ее систем и американских сетей, если череда ransomware и других атак из России на Соединенные Штаты ускорится.

Для президента России Владимира В. Путина Украина часто становилась полигоном для испытания кибероружия.

Атака на Центральную избирательную комиссию Украины во время президентских выборов в 2014 году, в ходе которой Россия безуспешно пыталась изменить результаты, оказалась образцом для российских спецслужб; позже США выяснили, что они проникли на серверы Демократического национального комитета в США. В 2015 году первая из двух крупных атак на электросети Украины на несколько часов отключила свет в разных частях страны, в том числе в столице Киеве.

А в 2017 году предприятия и государственные учреждения Украины подверглись атаке разрушительного программного обеспечения под названием NotPetya, которое использовало дыры в одном из видов программного обеспечения для подготовки налогов, широко используемого в стране. Атака привела к остановке работы экономики, а также затронула FedEx и судоходную компанию Maersk; сотрудники американской разведки позже установили, что в ней участвовали российские игроки. Это программное обеспечение, по крайней мере, по своему общему дизайну, имеет некоторое сходство с тем, о чем Microsoft предупреждала в субботу.

Новая атака уничтожает жесткие диски и уничтожает файлы. Некоторые эксперты в области обороны говорят, что такая атака может быть прелюдией к наземному вторжению России. Другие считают, что она может заменить вторжение, если злоумышленники считают, что киберудар не повлечет за собой финансовых и технологических санкций, которые г-н Байден пообещал ввести в ответ.

Джон Халтквист, ведущий аналитик киберразведки Mandiant, заявил в воскресенье, что его фирма говорит своим клиентам "готовиться к разрушительным атакам, включая атаки, напоминающие выкупные программы".

Он отметил, что российское хакерское подразделение, известное как Sandworm, которое впоследствии было тесно связано с российской военной разведкой, ГРУ, в последние годы разрабатывало "более сложные средства атаки на критическую инфраструктуру", в том числе на энергосистему Украины.

"Они также довели до совершенства атаки с целью вымогательства выкупа", - сказал г-н Хультквист, имея в виду атаки, которые сначала выглядят как преступные вымогательства, но на самом деле направлены на уничтожение данных или вывод из строя электросетей, систем водо- и газоснабжения или правительственных министерств. "Они делали это и до NotPetya, и много раз пытались сделать это после".