» »

Serangan terbesar dalam sejarah. Kementerian Dalam Negeri, MegaFon dan ribuan perusahaan lainnya diretas. Kementerian Dalam Negeri dan Megafon menjadi korban serangan virus Megafon tertular virus

Selain perusahaan telekomunikasi, lembaga penegak hukum Rusia - Kementerian Dalam Negeri dan Komite Investigasi - menjadi korban serangan peretas, menurut sumber dari RBC, serta Gazeta.Ru dan Mediazona.

Teman bicara RBC di Kementerian Dalam Negeri berbicara tentang serangan terhadap jaringan internal departemen. Menurutnya, sebagian besar departemen regional kementerian diserang. ​Dia mengklarifikasi bahwa virus tersebut menginfeksi komputer di setidaknya tiga wilayah di bagian Eropa Rusia. Sumber tersebut menambahkan, serangan ini seharusnya tidak mempengaruhi pekerjaan Kementerian Dalam Negeri. Teman bicara RBC lainnya di kementerian mengatakan bahwa peretas bisa saja memperoleh akses ke database Kementerian Dalam Negeri, namun tidak diketahui apakah mereka berhasil mengunduh informasi dari sana. Serangan terhadap Kementerian Dalam Negeri hanya mempengaruhi komputer-komputer yang sistem operasinya sudah lama tidak diperbarui, kata seorang sumber di departemen tersebut. Pekerjaan kementerian tidak dilumpuhkan oleh peretas, namun sangat terhambat.

DI DALAM Jerman layanan peretas Deutsche Bahn, yang merupakan operator kereta api utama di negara itu. Hal ini dilaporkan oleh saluran TV ZDF dengan mengacu pada Kementerian Dalam Negeri negara tersebut.

Departemen Keamanan Dalam Negeri AS memberikan dukungan teknis dan bantuan kepada mitra dalam memerangi ransomware WannaCry.

Virus jenis apa?

Sesuai dengan pesannya Lab Kaspersky , virus yang dimaksud adalah ransomware WannaCry. “Seperti yang ditunjukkan oleh analisis, serangan terjadi melalui kerentanan jaringan Microsoft Security Bulletin MS17-010 yang terkenal. Kemudian rootkit diinstal pada sistem yang terinfeksi, yang digunakan penyerang untuk meluncurkan program enkripsi,” kata perusahaan itu.

“Semua solusi Kaspersky Lab mendeteksi rootkit ini sebagai MEM: Trojan.Win64.EquationDrug.gen. Solusi kami juga mendeteksi ransomware yang digunakan dalam serangan ini dengan putusan berikut: Trojan-Ransom.Win32.Scatter.uf, Trojan-Ransom.Win32.Fury.fr, PDM: Trojan.Win32.Generic (komponen yang digunakan untuk mendeteksi ini malware System Watcher harus diaktifkan),” kata perusahaan itu.

Untuk mengurangi risiko infeksi, para ahli Kaspersky Lab menyarankan pengguna untuk menginstal patch resmi dari Microsoft, yang menutup kerentanan yang digunakan dalam serangan tersebut, dan untuk mencegah insiden tersebut, gunakan layanan informasi ancaman untuk menerima data tepat waktu mengenai serangan paling berbahaya. dan kemungkinan infeksi.

Serangan hacker juga dikomentari Microsoft . “Saat ini para ahli kami telah menambahkan deteksi dan perlindungan terhadap malware baru yang dikenal sebagai Ransom: Win32.WannaCrypt. Pada bulan Maret, kami juga memperkenalkan perlindungan tambahan terhadap malware jenis ini dengan pembaruan keamanan yang mencegah penyebaran malware ke seluruh jaringan. Pengguna antivirus gratis kami dan versi Windows terbaru terlindungi. Kami bekerja sama dengan pengguna untuk memberikan bantuan tambahan,” demikian pernyataan perwakilan Microsoft di Rusia yang diterima RBC.

Perwakilan Keamanan Tenaga Surya mengatakan kepada RBC bahwa perusahaan tersebut melihat serangan tersebut dan saat ini sedang memeriksa sampel virus. “Kami belum siap untuk membagikan detailnya saat ini, tetapi malware tersebut jelas-jelas ditulis oleh para profesional. Belum dapat dikesampingkan bahwa ini adalah sesuatu yang lebih berbahaya daripada ransomware. Sudah jelas bahwa kecepatan penyebarannya sangat tinggi,” kata sumber tersebut. Menurutnya, kerusakan akibat virus ini “sangat besar”; virus ini telah menyerang organisasi-organisasi besar di 40 negara, namun penilaian yang akurat masih belum dapat diberikan, karena kemampuan malware tersebut belum sepenuhnya dipelajari dan serangannya belum sepenuhnya diketahui. saat ini sedang dalam pengembangan.

CEO Grup-IB Ilya Sachkov mengatakan kepada RBC bahwa ransomware yang serupa dengan yang digunakan dalam serangan saat ini sedang menjadi tren yang sedang berkembang. Pada tahun 2016, jumlah serangan serupa meningkat lebih dari seratus kali lipat dibandingkan tahun sebelumnya, katanya.

Sachkov mencatat bahwa, sebagai suatu peraturan, perangkat terinfeksi dalam kasus ini melalui email. Berbicara tentang WannaCry, pakar mencatat bahwa program enkripsi ini memiliki dua fitur. “Pertama, ia menggunakan eksploitasi ETERNALBLUE, yang dipublikasikan oleh peretas Shadow Brokers. Patch yang mengatasi kerentanan ini untuk Windows Vista dan yang lebih lama tersedia pada tanggal 9 Maret sebagai bagian dari buletin MS17-010. Pada saat yang sama, tidak akan ada patch untuk sistem operasi lama seperti Windows XP dan Windows server 2003, karena sudah tidak didukung lagi,” ujarnya.

“Kedua, selain mengenkripsi file, ia memindai Internet untuk mencari host yang rentan. Artinya, jika komputer yang terinfeksi masuk ke jaringan lain, malware tersebut juga akan menyebar di sana, sehingga sifat infeksinya seperti longsoran salju,” tambah Sachkov.

Perlindungan terhadap serangan semacam itu, menurut Sachkov, dapat dipastikan dengan menggunakan solusi “sandbox”, yang diinstal pada jaringan organisasi dan memindai semua file yang dikirim ke email karyawan atau diunduh dari Internet. Selain itu, pakar mengingatkan, penting untuk melakukan percakapan penjelasan dengan karyawan tentang dasar-dasar “kebersihan digital” - jangan menginstal program dari sumber yang tidak terverifikasi, jangan memasukkan flash drive yang tidak dikenal ke komputer dan jangan mengikuti tautan yang meragukan, seperti serta memperbarui perangkat lunak tepat waktu dan tidak menggunakan sistem operasi yang tidak didukung oleh produsen.

Siapa yang bersalah

Belum jelas siapa dalang di balik serangan siber skala besar tersebut. Mantan pegawai NSA Edward Snowden mengatakan bahwa virus yang dikembangkan oleh NSA bisa saja digunakan dalam serangan hacker global yang terjadi pada 12 Mei. WikiLeaks sebelumnya mengumumkan kemungkinan ini.

Sebaliknya, pihak berwenang Rumania mengatakan bahwa di balik upaya serangan tersebut mungkin ada sebuah organisasi “yang terkait dengan kelompok kejahatan dunia maya APT28/Fancy Bear,” yang secara tradisional diklasifikasikan sebagai “peretas Rusia.”

The Telegraph menyatakan bahwa kelompok Shadow Brokers, yang terkait dengan Rusia, mungkin berada di balik serangan tersebut. Mereka mengaitkan hal ini dengan klaim peretas pada bulan April bahwa mereka telah mencuri "senjata dunia maya" dari komunitas intelijen AS, yang memberi mereka akses ke semua komputer Windows.

Direktur hubungan masyarakat MegaFon, Petr Lidov, mengatakan kepada Kommersant bahwa kantor ibu kota perusahaan menjadi sasaran serangan peretas. “Komputer mogok dan layar kunci muncul meminta $300 untuk membukanya,” katanya. Kemudian muncul informasi bahwa hal serupa juga terjadi pada pelanggan operator Telefonica dan Vodafone di Spanyol.

Menurut Peter Lidov, para spesialis harus mematikan jaringan pada tahap tertentu untuk mencegah penyebaran virus lebih jauh. “Sejumlah daerah terdampak, sisanya terpaksa ditutup sementara sebagai tindakan pencegahan. Hal ini mempengaruhi layanan ritel dan dukungan pelanggan, karena operator secara alami menggunakan PC untuk mengakses database. Call center telah diperbaiki. Ini tidak mempengaruhi komunikasi dan akun pribadi,” kata Lidov.

Seperti yang dikatakan Boris Ryutin, peneliti dari Digital Security, kepada Kommersant, pakar MalwareHunterTeam dan peneliti independen lainnya setuju bahwa ini adalah program jahat berjenis ransomware, yaitu virus ransomware. “Bahaya infeksinya adalah, tergantung pada implementasinya, file pengguna mungkin hilang,” jelasnya.

“Kami melihat adanya serangan, dan virus ini sangat kompleks,” kata Solar Security kepada Kommersant. “Kami saat ini sedang mengembangkan rekomendasi mengenai tindakan penanggulangannya.” “Virus ini sangat kompleks, dan belum dapat dikesampingkan bahwa virus ini lebih berbahaya daripada ransomware biasa. Sudah jelas bahwa kecepatan penyebarannya sangat tinggi,” tambah perusahaan itu.

Perwakilan Microsoft Kristina Davydova mengatakan kepada Kommersant bahwa para spesialis telah menambahkan deteksi dan perlindungan terhadap malware baru yang dikenal sebagai Ransom:Win32.WannaCrypt. “Pada bulan Maret, kami juga memperkenalkan perlindungan tambahan terhadap malware semacam ini bersama dengan pembaruan keamanan yang mencegah penyebaran malware ke seluruh jaringan,” katanya.

Perangkat lunak berbahaya adalah sebutan untuk semua produk perangkat lunak yang tujuannya sengaja untuk menimbulkan kerugian bagi pengguna akhir.

Penyerang menemukan cara baru dan licik untuk mendistribusikan malware, yang sebagian besar dikembangkan untuk sistem operasi Android. Pada saat yang sama, Anda dapat “menangkap” virus tidak hanya di beberapa situs yang meragukan, tetapi juga dengan menerima pesan dengan tautan dari orang yang Anda kenal (teman, saudara, kolega).

Salah satu malware modifikasi untuk ponsel pintar dan tablet berbasis sistem operasi Android, setelah memasuki perangkat seluler Anda, pertama-tama akan mengirimkan tautan dengan pesan ramah “Lihat tautannya!” atau “Foto saya untuk Anda” di seluruh daftar kontak Anda. Siapa pun yang mengikuti tautan tersebut akan menerima virus di ponsel cerdasnya.

Namun seringkali, penjahat menganggap Trojan sebagai aplikasi yang berguna.

Apa ancaman virus ini?

Program Trojan yang dihasilkan tidak hanya dapat mengirim SMS ke teman Anda, tetapi juga menguras akun Anda. Trojan perbankan termasuk yang paling berbahaya. Semua pemilik gadget yang menggunakan aplikasi perbankan mungkin menderita. Pengguna ponsel pintar Android adalah kelompok yang paling berisiko - 98% Trojan mobile banking diciptakan untuk sistem operasi ini.

Saat Anda meluncurkan aplikasi perbankan, Trojan menampilkan antarmukanya sendiri di atas antarmuka bank seluler sebenarnya. Dan dengan demikian mencuri semua data yang dimasukkan pengguna. Malware paling canggih ini dapat menipu antarmuka puluhan bank seluler, sistem pembayaran, dan bahkan sistem perpesanan yang berbeda.

Langkah penting lainnya ketika mencuri uang adalah penyadapan SMS dengan kata sandi satu kali untuk melakukan pembayaran dan transfer. Oleh karena itu, Trojan biasanya memerlukan hak akses ke SMS, dan inilah sebabnya Anda harus sangat berhati-hati dengan aplikasi yang meminta hak tersebut.

Tanda-tanda ponsel Anda terinfeksi

Ada beberapa tanda ponsel Anda terinfeksi malware:

  • Pengiriman SMS tersembunyi ke daftar kontak Anda - teman, kenalan, dan kolega yang telah menerima pesan meragukan mulai menghubungi Anda;
  • Pembelanjaan dana cepat - dana didebit dari Rekening Pribadi lebih cepat dari biasanya;
  • Debit tidak sah dari kartu bank;
  • Kurangnya SMS dari bank - ketika Anda mengaktifkan layanan “SMS-informing”, Anda berhenti menerima pemberitahuan SMS tentang pendebetan dana dari rekening Anda;
  • Baterai terkuras lebih cepat.

Bagaimana cara melindungi diri sendiri?

  • Pantau secara teratur rilis pembaruan keamanan untuk sistem operasi perangkat seluler Anda dan instal tepat waktu;
  • Instal perangkat lunak anti-virus pada ponsel cerdas, tablet Anda, setelah instalasi, perbarui dan periksa perangkat seluler Anda;
  • Gunakan perangkat lunak anti-virus yang memberikan perlindungan online dan perbarui secara berkala;
  • Unduh dan jalankan aplikasi hanya dari toko resmi - Play Store, App Store, Google Play, dan sebagainya;
  • Berhati-hatilah saat memberikan izin ke aplikasi - program yang meminta hak akses untuk memproses pesan SMS patut mendapat perhatian khusus;
  • Berpikirlah sebelum Anda mengeklik tautan. Jangan kehilangan kewaspadaan, jangan membuka tautan dari surat atau SMS, atau pesan di jejaring sosial, jika Anda tidak yakin bahwa pesan tersebut berasal dari penerima yang dikenal dan aman;
  • Jika Anda menerima SMS mencurigakan berisi tautan dari teman Anda, hubungi dia untuk mengetahui apakah dia yang mengirim pesan tersebut. Jika tidak, peringatkan bahwa ponsel cerdas atau tabletnya terinfeksi virus;
  • Berhati-hatilah pada jaringan Wi-Fi publik, dan saat menyambung ke jaringan, pastikan jaringan tersebut sah;
  • Gunakan kata sandi yang rumit;
  • Di menu “Pengaturan”, klik “Penggunaan Data”, di bagian “Nirkabel & Jaringan” Anda dapat melihat berapa banyak data yang digunakan setiap aplikasi dan menetapkan batas data;
  • Aktifkan "pemberitahuan SMS" tentang pendebitan dana dari akun Anda - tidak semua Trojan mencegat SMS.

Apa yang harus dilakukan jika uang dicuri?

Hal pertama yang harus dilakukan adalah menghubungi bank secepat mungkin.

Pengguna dari Moskow, Nizhny Novgorod, Penza, Saratov, Samara, Ryazan, Ufa, dan kota-kota Rusia lainnya menyatakan bahwa mereka tidak dapat melakukan panggilan - jaringan tidak tersedia.

Pertama, Twitter resmi perusahaan memposting saran untuk mengatur jenis jaringan ke “hanya 3G” dan me-reboot ponsel, dan sekarang tanggapan standar dikirimkan ke semua pelanggan yang terkena dampak: “Saat ini, terdapat kesulitan komunikasi yang sangat besar. Kami sudah memperbaikinya. Kami mohon maaf atas ketidaknyamanan yang ditimbulkan". Perusahaan menambahkan bahwa mereka tidak memiliki data mengenai jangka waktu tertentu untuk memperbaiki masalah tersebut.

Panggilan gagal

Megafon mengatakan bahwa keberhasilan panggilan di Moskow dan beberapa kota lain telah menurun sebesar 30%, dan mencatat bahwa panggilan masih dapat dilakukan menggunakan pesan instan. Sayangnya, hal ini tidak memuaskan banyak klien perusahaan, yang tidak dapat menggunakan pesan instan tanpa akses Wi-Fi.

Seperti yang dilaporkan layanan pers Megafon di saluran Telegramnya, penyebab kegagalan tersebut adalah kecelakaan pada salah satu elemen peralatan jaringan.

Selain itu, salah satu kantor perusahaan juga menyatakan mengalami kecelakaan, namun belum diketahui jangka waktu penghapusan akibat yang ditimbulkan. Karyawan yang ingin menerima kompensasi diminta untuk menulis surat pernyataan di kantor perusahaan. Ketika ditanya tentang alasan kegagalan tersebut, dilaporkan bahwa serangan hacker tidak dapat dikesampingkan.

Beberapa waktu setelah laporan kegagalan Megafon, muncul informasi di media bahwa operator seluler lain, misalnya Beeline, juga mengalami masalah komunikasi. Dalam percakapan dengan Gazeta.Ru, juru bicara perusahaan mengatakan bahwa jaringan beroperasi secara normal tanpa kegagalan besar, dan penyebaran pesan palsu tentang masalah pada jaringan operator dikaitkan dengan tanggapan dari karyawan dukungan teknis tentang pengoperasian satu jaringan. dari stasiun pangkalan perusahaan.

Sekretaris pers juga memberi tahu Gazeta.Ru tentang operasi yang stabil: “Jaringan MTS beroperasi seperti biasa.”

Dalam percakapan telepon dengan seorang koresponden, Lidov mengatakan bahwa pada hari serangan itu, banyak komputer kantor Megafon mulai melakukan boot ulang dan menampilkan pesan yang meminta uang tebusan untuk mendekripsi data, dan tidak hanya Moskow, tetapi juga kota-kota Rusia lainnya yang terkena dampaknya.

Untungnya, penyebaran serangan itu melambat, dan hanya beberapa jam kemudian, seluruh pusat panggilan Megafon dipulihkan sehingga pelanggan dapat berkomunikasi dengan layanan dukungan. Perwakilan perusahaan menekankan bahwa virus WannaCry tidak mempengaruhi layanan komunikasi dengan cara apa pun, dan data pribadi klien operator tetap aman.

Pada Januari 2017, pengguna Megafon juga mengeluhkan tidak tersedianya beberapa layanan - Multifon, MegafonTV, serta masalah pada situs. Perusahaan menjelaskan kegagalan tersebut sebagai kecelakaan di pusat data (DPC), yang disebabkan oleh cuaca beku yang tidak normal di wilayah tersebut.

Setelah beberapa waktu, layanan mulai berfungsi normal. Kemudian perwakilan dari operator seluler mengatakan kepada Gazeta.Ru bahwa ketertiban dalam sistem diukur bukan dari adanya kegagalan, tetapi dari kemampuan untuk menghilangkannya dengan cepat. “Ini dilakukan oleh spesialis perusahaan dalam waktu sesingkat mungkin. Dan malam hari saat hari libur,” tambah Dorokhina.

Screensaver merah putih yang mengkhawatirkan muncul di ribuan komputer di seluruh dunia dalam hitungan jam. Virus Internet bernama WannaCry (“Saya ingin menangis”) telah mengenkripsi jutaan dokumen, foto, dan arsip. Untuk mendapatkan kembali akses ke file mereka sendiri, pengguna diminta membayar uang tebusan dalam waktu tiga hari: awalnya $300, kemudian jumlahnya meningkat. Selain itu, mereka memerlukan pembayaran dalam mata uang virtual, dalam bitcoin, agar tidak melacak pembayaran tersebut.

Sekitar seratus negara diserang. Virus ransomware dimulai di Eropa. Di Spanyol - Perusahaan Telefonica, bank Iberica, perusahaan gas Gas Natural, layanan pengiriman FedEx. WannaCry kemudian direkam di Singapura, Taiwan dan Tiongkok, setelah itu mencapai Australia dan Amerika Latin, serta kepolisian Andhra Pradesh di India.

Di Rusia, virus tersebut mencoba memeras Megafon, VimpelCom, Sberbank dan Kereta Api Rusia, dan dari lembaga pemerintah - Kementerian Kesehatan, Kementerian Situasi Darurat dan Kementerian Dalam Negeri. Namun, mereka mengatakan di mana-mana bahwa serangan segera dilacak dan dihalau, dan tidak ada kebocoran data.

"Virus ini telah terlokalisasi, pekerjaan teknis sedang dilakukan untuk menghancurkannya dan memperbarui alat perlindungan anti-virus. Perlu dicatat bahwa kebocoran informasi resmi dari sumber informasi Kementerian Dalam Negeri Rusia sepenuhnya dikecualikan," kata Irina Volk, perwakilan resmi Kementerian Dalam Negeri Rusia.

"Tujuannya sangat sulit untuk dipahami. Saya pikir itu bukan tujuan politik, ini jelas merupakan penipu yang hanya mencoba menghasilkan uang dari bisnis ini. Itu yang mereka katakan, mereka meminta uang, ini adalah virus ransomware. Kita bisa berasumsi bahwa tujuannya adalah finansial,” kata presiden InfoWatch yang menggandeng Natalya Kasperskaya.

Tapi siapa penipu ini? Versi tentang sifat virus dikemukakan tergantung pada tingkat kesegaran pikiran atau peradangan otak. Siapa sangka seseorang akan segera mulai mencari peretas Rusia. Mereka mengatakan bahwa Rusia diserang secara aktif, tidak seperti negara lain. Jadi ini orang Rusia. Nah, pepatah “Aku akan menutup telingaku karena dendam pada ibuku”, tentu saja berasal dari cerita rakyat kita.

Virus ini pertama kali terdeteksi pada bulan Februari. Dan bahkan Angkatan Udara mengatakan bahwa akarnya berasal dari Badan Keamanan Nasional Amerika, di mana mereka mengembangkan cara untuk menguji stabilitas sistem Windows, namun kode tersebut justru berakhir di tangan penipu. Pakar Rusia juga berbicara tentang asal Amerika. Mereka hanya mengatakan bahwa akarnya bukan di NSA, tapi di CIA AS.

"Ada beberapa rincian yang menunjukkan bahwa virus tersebut kemungkinan besar bukan berasal dari Rusia. Pertama, kita tahu bahwa virus tersebut asli palsu, berasal dari alat militer CIA, dan kedua, bahkan mereka yang memperbarui dan meluncurkannya ke dalam pekerjaan, sebagian besar kemungkinan besar, bukan orang Rusia, karena di antara format kerjanya, tidak ada satu pun format paling populer di negara kita - file 1C. Jika ini adalah peretas Rusia asli yang ingin menginfeksi sebanyak mungkin, mereka “Kami tentu saja akan menggunakan 1C,” kata Igor Ashmanov, CEO Ashmanov and Partners, pengembang kecerdasan buatan dan sistem keamanan informasi.

Jadi, mungkin akar virusnya berasal dari Amerika, tetapi peretasannya masih dilakukan oleh penipu Rusia?

"Anda harus memahami bahwa virus ini diposting, kodenya dibocorkan oleh WikiLeaks dua bulan lalu. Disterilkan di sana, tetapi peretas yang mengambilnya menghidupkannya kembali, memercikkannya dengan air hidup dan mempostingnya di suatu tempat, misalnya di a diunduh dari situs atau dikirim melalui pos. Mungkin itu hanya upaya untuk memeriksa apakah virus militer jahat ini berfungsi,” kata Igor Ashmanov.

Sementara itu, Edward Snowden yang terkenal mengklaim bahwa badan intelijen Amerika, lebih tepatnya NSA, sendiri terlibat dalam serangan cyber ini. Menurut versi lain dari Angkatan Udara yang sama, serangan itu bisa saja dilakukan oleh lawan ideologis Presiden Trump. Jika ya, maka mereka adalah “orang-orang yang luar biasa”. Dalam perjuangan kejayaan filantropi, fasilitas sosial juga ikut terpukul. Di Brasil - menurut sistem jaminan sosial.

Dan di Inggris, pukulan telak menimpa NHS - Sistem Perawatan Kesehatan Nasional. Operasi telah dihentikan di banyak rumah sakit dan hanya layanan ambulans yang tersedia. Bahkan Perdana Menteri Theresa May menyampaikan pidato khusus.

Nampaknya virus tersebut memang ditujukan untuk pengguna korporat. Meski begitu, Anda tidak boleh membuka email yang mencurigakan, lebih baik buat salinan cadangan dokumen, foto, dan video penting ke media eksternal. Dan saran dari para ahli: Anda perlu memperbarui.

"Fakta bahwa virus ini menyebar dengan sangat cepat menunjukkan bahwa pengguna tampaknya tidak melakukan pembaruan terlalu banyak. Pada saat yang sama, banyak organisasi yang terinfeksi. Dan dalam organisasi, seperti yang Anda tahu, pembaruan sering kali dilakukan secara terpusat. Artinya, para administrator dari virus ini organisasi tidak memantau pembaruan dan penutupan kerentanan. Atau prosesnya terstruktur seperti ini. Kami hanya dapat menyatakan bahwa lubang ini tidak ditutup, meskipun patch untuk lubang ini sudah siap," kata Natalya Kasperskaya.