7.000 κωδικοί διέρρευσαν από την LVM

Στις 22 Ιουνίου, η κρατική δασική εταιρεία της Λετονίας LVM κατέβασε ολόκληρη την πληροφοριακή της υποδομή, προκειμένου να εμποδίσει τον εισβολέα να αντιγράψει περισσότερα αρχεία. Οι παραδόσεις ξυλείας προς τους περισσότερους αγοραστές ξανάρχισαν μέσα σε τέσσερις ημέρες και τα περισσότερα εσωτερικά συστήματα είχαν αποκατασταθεί έως τις 29 Ιουνίου. Ωστόσο, περίπου 44 GB εσωτερικών δεδομένων είχαν ήδη δημοσιευθεί στο διαδίκτυο, ενώ ο συνολικός όγκος των κλεμμένων αρχείων ενδέχεται να είναι μεγαλύτερος.

Για έναν κρατικό φορέα που διαχειρίζεται δασικούς πόρους, η επιστροφή σε λειτουργία μέσα σε τέσσερις ημέρες είναι γρήγορη. Οι αγοραστές χρειάζονται ξυλεία, οι εργολάβοι οδηγίες και μια δημόσια εταιρεία πρέπει να συνεχίσει να λειτουργεί όσο οι τεχνικοί και οι ερευνητές κάνουν τη δουλειά τους. Η LVM αναφέρει ότι διέθετε λειτουργικά αντίγραφα ασφαλείας και ότι δεν έλαβε αίτημα καταβολής λύτρων. Η εθνική αρχή κυβερνοασφάλειας της Λετονίας, η CERT.LV, επιβεβαίωσε ότι τα αντίγραφα ασφαλείας ήταν ανακτήσιμα, διαψεύδοντας τις πρώτες αναφορές ότι είχαν καταστραφεί. Ο οργανισμός συνέχισε να λειτουργεί. Το πρόβλημα είναι τι είχε ήδη φύγει από το εσωτερικό του δικτύου πριν κλείσουν οι πόρτες.

Ένας παλιός διακομιστής, δύο εβδομάδες πρόσβασης

Το σύγχρονο ransomware μοιάζει λιγότερο με έναν υπολογιστή που κλειδώνει και περισσότερο με διάρρηξη. Ο εισβολέας βρίσκει ένα αδύναμο σημείο εισόδου, κινείται από σύστημα σε σύστημα, συγκεντρώνει κωδικούς, αντιγράφει αρχεία και στη συνέχεια απειλεί με δημοσίευση αν δεν πληρωθεί. Ο οδηγός της CISA για το ransomware περιγράφει αυτή την τυπική ακολουθία: αρχική πρόσβαση, εξάπλωση στο δίκτυο, κλοπή διαπιστευτηρίων, αντιγραφή δεδομένων, κρυπτογράφηση.

Ο ειδικός κυβερνοασφάλειας Έλβις Στραζντίνς δήλωσε σε λετονικά μέσα ότι ο δράστης φέρεται να παρέμεινε σχεδόν δύο εβδομάδες μέσα στα συστήματα της LVM, έχοντας μπει από διακομιστή που λειτουργούσε με απαρχαιωμένο λογισμικό. Σύμφωνα με τις ίδιες αναφορές, απέκτησε πρόσβαση σε περίπου 7.000 κωδικούς εργαζομένων και εγκατέστησε κακόβουλο λογισμικό. Πρόκειται για εκτιμήσεις ειδικού και δημοσιογραφικές πληροφορίες, όχι για επίσημα εγκληματολογικά ευρήματα. Δείχνουν όμως μια γνωστή αδυναμία: ένας μη ενημερωμένος διακομιστής, ακόμη και μέσα σε ένα κατά τα άλλα σύγχρονο δίκτυο, μπορεί να ανοίξει πρόσβαση σε ολόκληρη την υποδομή.

Ο Στραζντίνς είπε επίσης ότι επικοινώνησε με τον χάκερ και ότι του αναφέρθηκε πως το τίμημα για την αποκρυπτογράφηση ήταν περίπου 618.600 ευρώ, ποσό συνδεδεμένο με το 0,1 τοις εκατό των εσόδων της LVM. Η εταιρεία επιμένει ότι κανένα τέτοιο αίτημα δεν έφθασε σε αυτήν. Η επικεφαλής της CERT.LV, Μπάιμπα Κάσκινα, περιέγραψε τον δράστη ως κάποιον που αναζητούσε περισσότερο δημοσιότητα παρά χρήματα, σημειώνοντας ότι η ομάδα είχε στοχοποιήσει οργανισμούς σε πολλές χώρες. Δεν υπάρχουν αξιόπιστες ενδείξεις κρατικής εμπλοκής. Το μοτίβο ταιριάζει περισσότερο σε εμπορικά υποκινούμενο ransomware, με έντονο στοιχείο αυτοπροβολής.

Αλλαγμένες κλειδαριές, φωτογραφημένα έγγραφα

Τα αντίγραφα ασφαλείας έσωσαν τη λειτουργία της LVM. Το δυσκολότερο ζήτημα είναι ότι τα backups αντιμετωπίζουν την κρυπτογράφηση, όχι τη διαρροή. Κωδικοί, πιστοποιητικά ασφαλείας, δηλαδή τα ψηφιακά διαπιστευτήρια που αποδεικνύουν ότι ένας διακομιστής είναι πράγματι αυτός που δηλώνει, εσωτερικά έγγραφα: από τη στιγμή που αντιγράφονται, παραμένουν εκτεθειμένα, όσο καλά κι αν αποκατασταθούν τα πρωτότυπα συστήματα.

Το να αλλάξεις κλειδαριές μετά από διάρρηξη είναι απαραίτητο, αλλά δεν φέρνει πίσω τα έγγραφα που φωτογράφισε ο διαρρήκτης φεύγοντας. Η CERT.LV προειδοποίησε ότι οι εκτεθειμένοι κωδικοί, τα πιστοποιητικά και τα ψηφιακά κλειδιά πρέπει να αντικατασταθούν, καθώς και ότι τα δεδομένα που διέρρευσαν δημιουργούν διαρκείς κινδύνους για κάθε τρίτο μέρος που συνδέεται με τα συστήματα της LVM.

Όταν η προετοιμασία γίνεται νομική υποχρέωση

Το κενό ανάμεσα στο «τα συστήματα αποκαταστάθηκαν» και στο «τα δεδομένα προστατεύθηκαν» βρίσκεται στον πυρήνα της ευρωπαϊκής οδηγίας NIS2, η οποία καλύπτει 18 κρίσιμους τομείς. Η βασική μετατόπιση που φέρνει η NIS2 είναι ότι οι διοικήσεις πρέπει να αποδεικνύουν πως είχαν προετοιμαστεί πριν από την επίθεση, όχι απλώς ότι αντέδρασαν μετά. Η οδηγία καθιστά την ηγεσία άμεσα υπεύθυνη για τη διαχείριση κινδύνου και την αναφορά περιστατικών.

Το αν η LVM εμπίπτει πλήρως στο πεδίο εφαρμογής της NIS2 εξαρτάται από τον τρόπο με τον οποίο την ταξινομεί η Λετονία. Τα χρονοδιαγράμματα πλήρους συμμόρφωσης στα κράτη-μέλη εκτείνονται έως το 2027 και αργότερα, πράγμα που σημαίνει ότι πολλοί φορείς εξακολουθούν να χτίζουν τις άμυνες τις οποίες σύντομα θα πρέπει να μπορούν να τεκμηριώσουν.

Η εμπειρία της LVM δείχνει και τις δύο όψεις αυτού του κενού. Η προετοιμασία που λειτούργησε, δηλαδή τα αντίγραφα ασφαλείας, η σταδιακή επαναφορά και ο σχεδιασμός συνέχειας, επέτρεψε την επανέναρξη των παραδόσεων μέσα σε λίγες ημέρες. Η προετοιμασία που δεν λειτούργησε, δηλαδή η πλήρης ενημέρωση κάθε διακομιστή και ο έγκαιρος εντοπισμός του εισβολέα, άφησε χιλιάδες διαπιστευτήρια και gigabytes αρχείων εκτεθειμένα. Η Κάσκινα συνόψισε την ασυμμετρία με απλό τρόπο: οι αμυνόμενοι πρέπει να προστατεύσουν τα πάντα, ενώ ο επιτιθέμενος χρειάζεται μόνο ένα αδύναμο σημείο. Αυτό είναι το μόνιμο πρόβλημα για κάθε ευρωπαϊκό φορέα δημόσιας υπηρεσίας, είτε διαχειρίζεται δάση, είτε νοσοκομεία, είτε εφοδιαστικές αλυσίδες.