Как бе осъществена кибератаката срещу Colonial Pipeline?

Кибератаката срещу Colonial Pipeline се случила месеци преди момента на криптиране. Хакерите са били толкова дълго време в системата на оператора на тръбопровода, че най-вероятно са познавали мрежата му по-добре от IT специалистите на компанията. Това заяви пред Bloomberg TV Bulgaria Александър Свердлов, експерт по IT сигурност, основател на Аtlant Security и бивш консултант по киберсигурност на Корпорацията за ядрена енергия на ОАЕ.

"Рансъмуерът е последният етап на кибератаката. Хакерите получават достъп до цялата компютърна мрежа на оператора, като първата им цел е да видят какви данни могат да извлекат. В случая на Colonial те най-вероятно са били в мрежата поне 6 месеца, в които са източили и са изцедили, колкото могат от тази информация, която впоследствие са препродали, за да се презастраховат", обясни гостът.

"За да си заличат следите, хакерите накрая криптират всичко и ако не им бъде платено, информацията ще бъде изтрита", допълни Александър Свердлов. 

От разговора стана ясно, че обикновено при рансъмуер атаките, хакерите получават достъп до един компютър в мрежата, причиняват проблем, който предизвиква намеса на IT специалиста на компанията и впоследствие те крадат неговата парола.

"Може да отнеме до 24 часа, но обикновено им отнема 15 минути да си осигурят пълен достъп до мрежата чрез "атачмънти" с вируси, които не се хващат от антивирусните системи - от един компютър следва пълно компрометиране на цялата система", добави експертът.

Основателят на Аtlant Security сподели интересен факт - Colonial е имала само двама-трима инженери по киберсигурността и дори не е назначила мениджър в този сектор.

"Не е задължително атаката срещу Colonial да е била таргетирана - те са изпитали естественото нещо, което се случва с компания, която не се грижи за своята сигурност. Това е като банка без сейф", добави гостът.

По думите на бившия консултант по киберсигурност на Корпорацията за ядрена енергия на ОАЕ, подобни хакерски групи като DarkSide много често са международни и от статистическа гледна точка повечето киберпрестъпления започват в САЩ.

Целия разговор може да видите на сайта на Bloomberg TV Bulgaria.