Украинских пользователей предупреждают о возможной новой кибератаке

Новое нападение может быть осуществлено в ближайшие дни на сети украинских учреждений и предприятий. Пользователей просят соблюдать разработанные рекомендации.

Напомним, 27 июня компьютерные сети ряда украинских предприятий и учреждений подверглись масштабной кибератаке. Вирус Petya использовал недостатки операционных систем и шифровал системные файлы. Жертвами вредоносного ПО стали сотни украинских компаний и банков.

При анализе последствий и предпосылок этой атаки было установлено, что ей предшествовал сбор данных о предприятиях Украины (электронные почты, пароли к учетным записям, реквизиты доступа к серверам, хеш-данные и другая информация, которая отсутствует в открытом доступе), с последующим их сокрытием в файлах cookies и отправкой на командный сервер. Специалисты СБУ предполагают, что именно эта информация была целью первой волны кибератаки и может быть использована настоящими инициаторами как киберразведка, так и в целях дальнейших деструктивных акций.

Установлено, что обнаруженная специалистами в ходе исследования кибератаки «Petya» утилита Mimikatz которая использует особенности сетевых служб с целью получения скрытого привилегированного доступа над ресурсами домена. Таким образом у злоумышленников, которые в результате кибератаки «Petya» получили административные сведения, появилась возможность использовать чужие учетные данные без участия их владельцев.

С 27.06.17 вредоносное ПО содержится в информационно-телекоммуникационных системах и могло выполнять подготовительную фазу для реализации второй волны кибератаки. Для обеспечения безопасности электронных систем предприятий и учреждений рекомендуется в кратчайшие сроки провести такие действия:

- сменить пароли доступа пользователя krbtgt;

- осуществить обязательную смену паролей доступа ко всем без исключения учетных записей в подконтрольной доменной зоне ИТС;

- сменить пароли доступа к серверному оборудованию и программам, которые функционируют в ИТС;

- также на выявленных скомпрометированных ПЭВМ осуществить обязательную смену всех паролей, которые хранились в настройках браузеров;

- повторно осуществить смену пароля доступа пользователя krbtgt;

- перезагрузить службы KDC.

Рекомендуется в дальнейшем избегать сохранения в ИТС аутентификации данных в открытом виде (использовать для таких целей специализированное программное обеспечение).