Хакери замінили стартові сторінки погрозами українською, російською та польською мовами, згадали про Волинь, УПА, Галичину й Полісся, щоб підозра впала на Польщу. Але ця версія сумнівна, в Exif-даних єдині дані - це GPS-координати, що вказують... на Варшаву. Занадто тонко.

Журналісти польского видання Wprost заявили, що польська версія написана з помилками, скоріш за все, її писали через автопереклад люди, які не знають польської.

В українській версії теж помилки: “ждите худшего” треба перекласти як “чекайте на найгірше” (рос. "ждите худшего"). Українську версію теж писали перекладачем із російської. Тож текст писали або російськовомні люди, або такі, що робили помилки на рівні шкільної програми.

НБУ заявив про атаку, що почалася ще раніше, але її, за даними банку “було нейтралізовано”. Це викликає деякі сумніви, і я далі поясню, чому. Зламані сайти працювали на системі керування Ocbober CMS, це розробка російського програміста Олексія Бобкова (з 2012 живе в Канаді)

Колись CMS мала відкритий код, з квітня 2021 перейшла на закритий. У травні 2021 (це важливо) в її коді знайшли баг: через відновлення пароля можна було зайти до панелі й отримати контроль над сайтом. Сайт НБУ працює на іншій системі, і скоріш за все, саме тому його не зламали.

Всі зламані сайти створювалися київською компанією Kitsoft, якою керує Олександр Єфремов (серед цінностей компанії іронічно вказано “не боїмося помилок”).

У листопаді 2021 Kitsoft виграла тендер на розробку Єдиного порталу електронних послуг для Дії, за це ми заплатимо 38 млн грн. В тендері брало участь дві компанії, Кітсофт запропонував ціну на 100 тис. меншу за іншого учасника.

Чи можна було уникнути зламу? Якби ті, хто займався підтримкою сайтів, вчасно їх оновили, цього би не сталося. Оновити сайт можна за кілька хвилин. Більш того, при правильному налаштуванні серверу, навіть неоновлену версію сайту зламати таким чином майже неможливо.

Схоже, що після створення, міністерства не замовляли підтримку сайтів, тож вони просто не оновлювалися. Чи є альтернативи, не пов’язані з Росією? Так, і чимало. Зокрема, простий, безкоштовний та популярний Wordpress, на якому працює більшість сайтів планети.

З квітня 2021 року користування російською October платне, ліцензія на один сайт коштує 9$ на рік (20 грн/місяць). Сайти без ліцензій теж працюють, але оновлюватися не можуть. Зате з ліцензією, сайт може оновлюватися автоматично.

Схоже, що державники зекономили, ліцензію не купували і систему не оновили. Бобков продає за 150$ ліцензію на необмежену кількість сайтів, тож 3000 грн могли врятувати сайти міністерств.

Я не дивуюся такому підходу після того, як міністр цифрової трансформації Федоров заявив, що роль кібербезпеки "трохи перебільшена".

Мета такої атаки виключно репутаційна - показати, через яке місце створюються та підтримуються сайти наших міністерств, зокрема, тих, які мали би відповідати за цифровізацію країни.

У системі Дія є дані мільйонів українців. А розробкою рішень для неї досі займається та ж компанія Кітсофт, що віддає перевагу російським рішенням на 9-му році війни з Росією. У мене все.

З розслідування Microsoft стало відомо, що атаку було використано для прикриття більшого кібернападу, який ймовірно ще триває. Поки невідомий реальний масштаб втрат, але заяви влади про те, що дані громадян не було втрачено, виглядають передчасними.

Технічні деталі розслідування є в блозі Microsoft.

Видання @TextyOrgUa опублікувало скорочену адаптацію українською.

Атака ймовірно проводилася через поставика ПЗ, вона схожа на атаки 2017 року. На пк жертви переписується MBR (master boot record), з'являється повідомлення про шифрування і вимога викупу ($10к). Але немає id пристрою, отже, ймовірно, що й механізму відновлення роботи ПК немає.

Атака проводиться в два етапи: перший (stage1.exe) описано вище, він показує таке повідомлення, що очевидно є неправдою, бо щоб відновити дані, треба хоч якийсь ідентифікатор пристрою.

Другий етап: файл stage2.exe завантажує з інтернету додатковий файл, який після запуску знаходить всі файли з такими розширеннями (на скріні), замінює їхній контент на один і той же набір символів (розмір 1Мб) і перейменовує випадковим чином. Ця частина зламу ще досліджується.

Microsoft поки не змогли пов'язати атаки з відомими їм групами хакерів, достеменно відомо лише, що атакували державні установи та компанії, що працюють із ними, тут докладніше.