Jau yra žinoma, kad piktybinė programinė įranga, tyrėjų pavadinta „CrashOverride“, yra sutrikdžiusi vieno elektros tinklo veikimą – tai įvyko 2016 metų gruodį Ukrainoje. To incidento metu programišiai trumpam išjungė penktadalį Kijevo elektros generatorių.
Atlikus tam tikras modifikacijas ta pati priemonė gali būti pritaikyta bet kurios valstybės elektros perdavimo ir paskirstymo tinklų atakai bei padaryti milžinišką žalą, sakė kibernetinio saugumo bendrovės „Dragos“ grėsmių žvalgybos vadovas Sergio Caltagirone, daugiausia akcentavęs grėsmes prieš JAV.
Anot jo, jau yra žinoma, kad Rusijos vyriausybės programišiai yra parodę susidomėjimą JAV energetikos ir kitų komunalinių paslaugų sistemomis.
„Tai yra daugiau nei dešimtmečio teorijų ir kibernetinių atakų scenarijų kulminacija. Tai yra žaidimo taisykles keičianti priemonė“, – įspėjo S.Caltagirone.
Bendrovė „Dragos“ grupuotę, kuri sukūrė šį kibernetinį ginklą, pavadino „Electrum“ ir su dideliu patikimumo lygmeniu nustatė, kad „Electrum“ naudojasi tomis pačiomis kompiuterių sistemomis, kaip ir Ukrainos elektros sistemų gadintojai 2016 metų gruodį. To išpuolio metu be elektros liko 225 tūkst. vartotojų. Kitų JAV kibernetinio saugumo tyrėjų teigimu, išpuolio vykdytojai buvo su Rusijos valdžia siejami programišiai. JAV valdžios pareigūnai oficialiai tokios sąsajos nėra paviešinę, tačiau kai kurie jų kalbant privačioje aplinkoje sutinka su kibernetinio saugumo ekspertų išvadomis.
Šiame ginkle yra „valytojo“ komponentas, kuris ištrina programinę įrangą tose kompiuterių sistemose, kurios valdo grandinių jungiklius, todėl elektros tinklo valdytojai būna priversti dirbti rankiniu būdu – fiziškai važiuoti į elektros pastotes norint atstatyti elektros tiekimą
„Ta pati Rusijos grupuotė, kuri bandė atakuoti JAV pramoninės kontrolės sistemas 2014 metais, išjungė šviesas Ukrainoje 2016 metais“, – sakė abu incidentus analizavęs ekspertas Johnas Hultquistas, tuo metu dirbęs įmonėje „iSight Partners“, kurią vėliau įsigijo „FireEye“. J.Hultquisto vadovaujama komanda šią programišių grupę pakrikštijo „Sandworm“ pavadinimu.
„Esame įsitikinę, kad „Sandworm“ yra kažkokiu būdu susijusi su Rusijos vyriausybe, bet nesame tikri, ar jie atlieka darbą pagal sutartį, ar yra tikri vyriausybiniai pareigūnai. Esame įsitikinę, kad jie yra susiję su saugumo tarnybomis“, – sakė J.Hultquistas.
Labai tikėtina, kad „Sandworm“ ir „Electrum“ yra ta pati grupuotė. Arba tai yra dvi atskiros grupuotės, dirbančios tai pačiai organizacijai. Bet kokiu atveju, kibernetinių pėdsakų analizė rodo, kad jos yra glaudžiai susijusios, sakė „Dragos“ vadovas Robertas M.Lee.
JAV energetikos sektoriaus ekspertai teigia, kad tokio kibernetinio ginklo egzistavimas kelia susirūpinimą, tačiau ši pramonės šaka vysto priemones, kurios galėtų sutrikdyti į jų sistemas besilaužiančių programišių pastangas.
„JAV komunalinių paslaugų teikėjai stiprina savo kibernetinį saugumą, tačiau tokie puolamieji įrankiai, kaip šis, kelia labai realią grėsmę patikimam elektros energijos sistemų veikimui“, – sakė buvęs Šiaurės Amerikos elektros patikimumo korporacijos kibernetinio saugumo vadovas Michaelas J.Assante, šioje korporacijoje prižiūrėjęs kibernetinio saugumo standartų diegimą visoje JAV elektros energijos sistemoje.
„CrashOverride“ kol kas yra tik antras žinomas kibernetinis ginklas, kurio tiesioginė paskirtis yra sutrikdyti ar sunaikinti pramonines valdymo sistemas. Pirmoji tokia sistema – „Stuxnet“ – buvo sukurta bendromis JAV ir Izraelio kibernetinių pajėgų pastangomis. Pasinaudojus „Stuxnet“ buvo smarkiai sutrikdytos Irano pastangos sodrinti uraną iki tinkamumo gamintis atominį ginklą: „Stuxnet“ fiziškai sunaikino urano sodrinimo centrifugas, nepaisant to, kad jos veikė itin gerai apsaugotoje vietoje, o centrifugas valdančios sistemos neturėjo jokio ryšio su internetu.
2016 metais Rusijos piktybinė programinė įranga prasiskverbė į Vakarų Ukrainos elektros tiekimo tinklą, tačiau, anot J.Hultquisto, šiuo atveju elektra išsijungė ne dėl autonominio tos programinės įrangos veikimo, o dėl tiesioginio valdymo iš programišių, manipuliavusių svetimomis valdymo sistemomis, pusės.
Vyriausiasis grėsmių ieškotojas įmonėje „Dragos“, Danas Gunteris, sakė, kad „CrashOverride“ atveju itin didelį susirūpinimą kelia tai, kad iš tiesų tai tėra tik dalis kur kas didesnio kibernetinių ginklų tinklo.
Anot D.Gunterio, šis tinklas yra tarsi šveicariškas kariškas peiliukas, iš kurio galima pasirinkti konkrečiam darbui reikalingą įrankį ir į kurį galima pridėti bet kokį naujų įrankių kiekį.
Teoriškai tą pačią piktybinę įrangą galima modifikuoti taip, kad ji atakuotų skirtingas pramonines valdymo sistemas – ne tik elektros, bet ir, pavyzdžiui, dujotiekio bei vandentiekio. Tiesa, kol kas praktiškai tokių galimybių kibernetinis priešas dar nėra pademonstravęs.
Bet svarstoma, kad užpuolikų pusė turėjo pakankamą finansavimą ir pakankamai gerus ekspertus, kad ne tik sukurtų kibernetinių ginklų tinklą, tačiau ir jį išbandytų. „Tai yra ženklas apie didesnes pajėgas, dažnai siejamas arba su vyriausybinio lygio, arba su gerai finansuojamomis komandomis“, – sakė D.Gunteris.
Viena iš klastingiausių „CrashOverride“ funkcijų – manipuliuoti elektros tinklo valdymo sistemų nustatymus. Ginklas nuskenuoja sistemą ieškodamas kritinių komponentų, kurie valdo grandinių jungiklius ir perjungia juos taip, kad elektros srovė sustotų. Be to, tas pats ginklas neleidžia tikriesiems elektros tinklų valdytojams šių jungiklių vėl perjungti į reikiamą poziciją.
Taip pat šiame ginkle yra „valytojo“ komponentas, kuris ištrina programinę įrangą tose kompiuterių sistemose, kurios valdo grandinių jungiklius, todėl elektros tinklo valdytojai būna priversti dirbti rankiniu būdu – fiziškai važiuoti į elektros pastotes norint atstatyti elektros tiekimą.
Naudojant tokią įrangą programišiai gali pasirinkti ir „laikrodinės bombos“ funkcionalumą, galintį suveikti keliose vietose vienu metu – tokiu būdu be elektros galėtų likti iškart kelios skirtingos teritorijos.
JAV ekspertai svarsto, kad dėl tokio išpuolio elektros tiekimas galėtų sutrikti bent kelioms valandoms, bet veikiausiai ne ilgiau nei porą dienų – JAV elektros tinklų darbuotojai turi darbo krizės sąlygomis patirties, mat elektros tiekimą neretai sutrikdo galingos audros.
Tad, anot ekspertų, nors toks ginklas ir yra labai rimtas šuolis į priekį kibernetinio ginklavimosi varžybose, jis pasaulio pabaigos nesukeltų.
Pirmieji piktybinės programinės įrangos pavyzdžius sugebėjo gauti Slovakijos kibernetinio saugumo bendrovės ESET specialistai, pavadinę ją „Industroyer“.
