यूक्रेनी इलेक्ट्रिक नेटवर्क की एक अभूतपूर्व हैकिंग का विवरण

बुधवार 23 दिसंबर 2015 को 15:30 बजे, पश्चिमी यूक्रेन में इवानो-फ्रैंकिवस्क के निवासी काम के दिन की समाप्ति की तैयारी कर रहे थे और सर्दियों की ठंडी सड़कों पर घर जाने वाले थे। Prikarpatyeoblenergo उद्यम के नियंत्रण केंद्र में , जो क्षेत्र में बिजली वितरित करता है, प्रेषणकर्ताओं ने अपनी शिफ्ट लगभग पूरी कर ली है। लेकिन जब उनमें से एक ने काम पूरा करने से पहले टेबल पर पेपर को टाइड किया, तो कंप्यूटर स्क्रीन पर कर्सर जगह से बाहर चला गया।

डिस्पैचर ने कर्सर को क्षेत्रीय सबस्टेशन पर सर्किट ब्रेकर्स के लिए नियंत्रण बटन पर स्थानांतरित करने के लिए देखा, फिर सबस्टेशन को ऑफ़लाइन लाने के लिए स्विच के साथ विंडो खोलने के लिए बटन दबाया। ऑपरेशन की पुष्टि करने के अनुरोध के साथ स्क्रीन पर एक डायलॉग बॉक्स दिखाई दिया, और ऑपरेटर इस विंडो में कर्सर के खिसकने के रूप में गूंगा दिख रहा था और पुष्टि बटन दबाया। वह जानता था कि शहर के बाहर के इलाके में, हज़ारों घर सिर्फ रोशनी खो चुके हैं।

डिस्पैचर ने माउस को पकड़ लिया और सख्त नियंत्रण पाने की कोशिश की, लेकिन कर्सर ने उसके हेरफेर का जवाब नहीं दिया। वह स्वतंत्र रूप से एक और स्विच की दिशा में चले गए, और नियंत्रण कक्ष में वर्तमान प्राधिकरण सत्र अप्रत्याशित रूप से बाधित हो गया। डिस्पैचर ने जल्दबाजी में फिर से प्रवेश करने की कोशिश की, लेकिन उसके पासवर्ड ने अब काम नहीं किया: हमलावरों ने इसे बदल दिया। वह केवल स्क्रीन पर असहाय रूप से देख सकता था, जहां अज्ञात ने सबस्टेशन स्विच को बंद कर दिया, एक के बाद एक, उनमें से लगभग 30 को काम करना बंद कर दिया। वे वहीं नहीं रुके। Prikarpatyeoblenergo के अलावा, एक ही समय में दो और ऊर्जा उद्यमों पर हमला किया गया था, इसलिए विकलांग सबस्टेशनों की कुल संख्या दोगुनी थी, और 230,000 निवासियों को बिजली के बिना छोड़ दिया गया था। और जैसे कि वह पर्याप्त नहीं था, हैकर्स ने अभी भी बैकअप पावर स्रोतों को बंद कर दिया,डिस्पैचरों को तीन नियंत्रण केंद्रों में से दो में खुद को प्रकाश से वंचित करना।

शानदार योजना

यूक्रेन के ऊर्जा उद्यमों को हैक करने वाले हैकर्स - दुनिया के बिजली आउटेज का पहला पुष्ट मामला - कुछ अवसरवादी अपनी क्षमताओं का परीक्षण नहीं कर रहे थे। घटना की गहन जांच के परिणामस्वरूप, नए विवरण सामने आए: यह स्पष्ट है कि हमले के पीछे योग्य और गुप्त रणनीतिकार हैं, जिन्होंने कई महीनों तक हमले की सावधानीपूर्वक योजना बनाई, पहले टोही का संचालन किया, पीड़ितों के नेटवर्क की जांच की, नियंत्रक की साख प्राप्त की, और फिर तीन पर एक समकालिक आक्रमण शुरू किया। नियंत्रण केंद्र।

"यह एक शानदार हमला था," रॉबर्ट एम। ली, जिन्होंने जांच में सहायता की, अमेरिकी वायु सेना में एक पूर्व साइबर परिचालन अधिकारी और ड्रैगोस सिक्योरिटी के सह-संस्थापक थे, जो महत्वपूर्ण बुनियादी ढांचे की रक्षा करने में माहिर थे। - हैकिंग के परिष्कार के बारे में बात करते हुए, कई लोग हमेशा उस मैलवेयर पर ध्यान केंद्रित करते हैं जो इस्तेमाल किया गया था। लेकिन मेरे लिए, हमले का परिष्कार रसद के स्तर और ऑपरेशन की योजना में निहित है ... और इसके दौरान क्या होता है। और वास्तव में उत्तम काम था। ”

यूक्रेन ने तुरंत रूस को हमले के आरंभकर्ता के रूप में संकेत दिया। रॉबर्ट ली एक देश को फोन करने से कतराते हैं, लेकिन उन्होंने कहा कि ऑपरेशन के विभिन्न चरणों के बीच एक स्पष्ट अंतर है, जिसका मतलब है कि विभिन्न स्तरों पर विभिन्न स्तरों के हैकर्स की भागीदारी। इसलिए, यह संभावना है कि हमले को कई पूरी तरह से अलग-अलग प्रतिभागियों - शायद साइबर अपराधियों और राज्य-स्तरीय खिलाड़ियों के सहयोग से किया गया था।

"यह एक अच्छी तरह से वित्त पोषित, अच्छी तरह से प्रशिक्षित टीम होना चाहिए ... लेकिन यह राज्य स्तर पर जरूरी नहीं है," उन्होंने कहा। शायद पहले निम्न-स्तर के साइबर अपराधियों ने नेटवर्क तक प्रारंभिक पहुंच प्राप्त की, और फिर संघीय स्तर के अधिक हैकर्स के लिए नियंत्रण स्थानांतरित कर दिया।

एक तरह से या किसी अन्य, लेकिन ऊर्जा नेटवर्क पर एक सफल हमला संयुक्त राज्य में ऐसे नेटवर्क की सुरक्षा का सवाल उठाता है, विशेषज्ञों का कहना है। आश्चर्यजनक रूप से, यूक्रेनी प्रबंधन प्रणाली अमेरिकी लोगों की तुलना में इस तरह के हमले से बेहतर रूप से सुरक्षित हैं, क्योंकि वे व्यापार नेटवर्क से फायरवॉल द्वारा अच्छी तरह से अलग हैं। लेकिन इस तरह की सुरक्षा भी पर्याप्त नहीं थी, क्योंकि कर्मचारी दूरस्थ रूप से SCADA (पर्यवेक्षी नियंत्रण और डेटा अधिग्रहण) नेटवर्क में प्रवेश करते हैं, जहां से विद्युत सबसिस्टम नियंत्रित होते हैं। इसी समय, दो-कारक प्रमाणीकरण गायब है, ताकि डिस्पैचर की साख जानने के लिए, हमलावर विद्युत सबस्टेशन नियंत्रण प्रणालियों का नियंत्रण ले सकें।

यूक्रेनी शहरों में बिजली की आपूर्ति एक से छह घंटे में बहाल हो गई। लेकिन हमले के दो महीने बाद भी, नियंत्रण केंद्र सामान्य ऑपरेशन में वापस नहीं आए, हाल ही में अमेरिकी रिपोर्ट में कहा गया है । यूक्रेन और संयुक्त राज्य अमेरिका के कंप्यूटर सुरक्षा विशेषज्ञों का कहना है कि हैकर्स ने 16 सबस्टेशनों में महत्वपूर्ण उपकरणों पर फर्मवेयर को बदल दिया है, और अब वे केंद्र से आदेशों का जवाब नहीं देते हैं। बिजली की आपूर्ति की जाती है, लेकिन स्विच को मैनुअल मोड में नियंत्रित किया जाना चाहिए।

अमेरिकी नेटवर्क पर हमला करते समय, सब कुछ और अधिक दुख की बात हो सकती है, क्योंकि कई अमेरिकी सबस्टेशनों में निरर्थक मैनुअल नियंत्रण प्रणाली नहीं है, अर्थात, ऐसे तोड़फोड़ के मामले में ऊर्जा आपूर्ति को बहाल करना बहुत अधिक कठिन होगा।

हमला समयरेखा

कई अमेरिकी एजेंसियों ने हमले की जांच में यूक्रेन की मदद की है, जिसमें एफबीआई और यूएस डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी शामिल हैं। सलाहकारों में शामिल थे, रॉबर्ट ली और माइकल जे। एसांटे, दोनों ने वाशिंगटन एसएनएस संस्थान में कंप्यूटर सुरक्षा पाठ्यक्रम पढ़ाया । वे सुखद आश्चर्यचकित थे कि यूक्रेनी ऊर्जा कंपनियों में फायरवॉल और सिस्टम लॉग की एक उन्नत प्रणाली है जो घटनाओं के कालक्रम को फिर से बनाने में मदद करती है - यह अक्सर वाणिज्यिक कंपनियों पर हमलों की जांच करते समय नहीं देखा जाता है, और महत्वपूर्ण बुनियादी ढांचे पर हमला करते समय भी कम बार होता है।

ली और यूक्रेनी विशेषज्ञ, जिन्होंने जांच में भाग लिया, के अनुसार, हमले की तैयारी ऊर्जा कंपनियों और सिस्टम प्रशासकों के आईटी कर्मचारियों के उद्देश्य से एक फ़िशिंग अभियान के साथ पिछले वसंत से शुरू हुई। यूक्रेन में 24 क्षेत्र हैं, प्रत्येक क्षेत्र में 11-27 जिले हैं। प्रत्येक क्षेत्र की अपनी कंपनी है जो नेटवर्क में बिजली के वितरण का प्रबंधन करती है। अनुलग्नक में Word दस्तावेज़ के साथ फ़िशिंग ईमेल इन तीन कंपनियों के कर्मचारियों को भेजे गए थे। जब आप दस्तावेज़ शुरू करते हैं, तो एक विंडो आपको मैक्रोज़ को सक्षम करने के लिए कहती है। यदि उपयोगकर्ता ने ऐसा किया है, तो रिमोट एक्सेस के लिए पिछले दरवाजे के साथ कंप्यूटर पर BlackEnergy3 नामक एक प्रोग्राम स्थापित किया गया था। वर्ड में कमजोरियां और मैक्रोज़ के माध्यम से ट्रोजन स्थापित करना एक प्राचीन तकनीक है जो हाल ही में फिर से लोकप्रिय हो गई है ।

एक फ़िशिंग हमले ने घुसपैठियों को कॉर्पोरेट नेटवर्क तक पहुंचने की अनुमति दी। SCADA प्रणाली में जाने के लिए, आपको फ़ायरवॉल के माध्यम से तोड़ना पड़ा। कई महीनों तक, हैकर्स ने खुफिया कार्रवाई की। उन्होंने विंडोज डोमेन नियंत्रकों तक पहुंच प्राप्त की, जो उपयोगकर्ता लॉगिन प्रक्रियाओं को नियंत्रित करते हैं, जिसमें उपयोगकर्ता लॉगिन प्रक्रिया, प्रमाणीकरण और निर्देशिका खोज शामिल हैं। वहां से, उन्होंने कर्मचारियों की क्रेडेंशियल्स लीं, जिनमें वीपीएन सेवाओं के पासवर्ड शामिल थे जो कर्मचारियों द्वारा SCADA प्रणाली तक पहुंचने के लिए दूरस्थ रूप से उपयोग किए गए थे। SCADA में घुसने के बाद, हैकर्स धीरे-धीरे हमले की तैयारी करने लगे।

सबसे पहले, उन्होंने निर्बाध बिजली आपूर्ति (यूपीएस) के कॉन्फ़िगरेशन को बदल दिया, जिसने देश के दोनों निवासियों और उद्यम में प्रेषण करने वालों के लिए एक ही समय में प्रकाश बंद करने के लिए दो नियंत्रण केंद्रों में बैकअप शक्ति प्रदान की। यह एक अहंकारी और आक्रामक कार्रवाई है जिसे ऊर्जा कंपनियों के लिए "बड़ी बकवास" के रूप में व्याख्या किया जा सकता है, ली ने कहा।

प्रत्येक कंपनी का अपना बिजली वितरण नेटवर्क है, और खुफिया चरण में, हैकर्स ने इन नेटवर्क की सावधानीपूर्वक जांच की। फिर उन्होंने सबस्टेशन में सीरियल-टू-ईथरनेट कन्वर्टर्स के लिए मूल फर्मवेयर संस्करण लिखे। ये डिवाइस कंट्रोल सेंटर से सबस्टेशन तक कमांड भेजते हैं। कनवर्टर की विफलता सबस्टेशन के रिमोट कंट्रोल को असंभव बनाती है। "एक विशेष ऑपरेशन के लिए दुर्भावनापूर्ण फर्मवेयर अद्यतन कभी नहींरॉबर्ट ली की टिप्पणी से पहले इस्तेमाल नहीं किया गया था। - हमले के मामले में, यह बहुत अच्छा है। मेरा मतलब है, वास्तव में महान काम। ”

वैसे, अमेरिकी सबस्टेशन में समान सीरियल-टू-ईथरनेट कनवर्टर मॉडल का भी उपयोग किया जाता है।

दुर्भावनापूर्ण फर्मवेयर से लैस, हैकर्स एक हमले शुरू करने के लिए तैयार थे।

23 दिसंबर को लगभग 15:30 बजे, उन्होंने वीपीएन के माध्यम से किसी और के पासवर्ड का उपयोग करके SCADA सिस्टम में लॉग इन किया और प्री-कन्फिगर्ड यूपीएस को अक्षम करने के लिए कमांड भेजे। फिर वे सबस्टेशनों की पहुंच खोलने लगे और उन्हें एक-एक करके बंद कर दिया। इससे ठीक पहले, ऊर्जा कंपनियों के कॉल सेंटरों पर एक टीडीओएस फोन हमला किया गया था, ताकि उपभोक्ताओं को समय से पहले और ब्लैकआउट के बारे में डिस्पैचरों को सूचित न किया जा सके। रॉबर्ट ली ने नोट किया कि टेलीफोन DDoS पूरे ऑपरेशन के लिए उच्च स्तर की जटिलता और योजना दिखाता है। वह कहते हैं, '' परिष्कृत हैकर्स जो करते हैं वह ठोस प्रयास करता है, यहां तक ​​कि असंभावित परिदृश्यों को ध्यान में रखते हुए, यह सुनिश्चित करने के लिए कि वे सभी संभावित समस्याओं को खत्म करते हैं, '' वह कहते हैं।

टोडो का संचालन करने से हमलावरों को थोड़ा और समय मिला। जब तक डिस्पैचर कंप्यूटर पर अजीब गतिविधि को नोटिस करते हैं, तब तक कुछ सबस्टेशन पहले से ही बंद हो जाएंगे। विशेषज्ञों का कहना है कि यूक्रेन के खिलाफ राजनीतिक रूप से प्रेरित रूसी हमले की स्थिति में, टेलीफोन डीडीओ एक और कार्य करता है: यूक्रेनी ऊर्जा कंपनियों और सरकार में नागरिकों के विश्वास को कम करना।

सबस्टेशनों पर बिजली बंद करने के बाद, हैकर्स ने वहां स्थापित सीरियल-टू-ईथरनेट कन्वर्टर्स पर फर्मवेयर को बदल दिया। ऑपरेशन पूरा होने पर, उन्होंने नियंत्रण केंद्रों में कंप्यूटर पर फ़ाइलों और एमबीआर को मिटाने के लिए किलडिस्क नामक मैलवेयर लॉन्च किया।

हमले के शुरू होने के 90 मिनट बाद, यानी लगभग 5 बजे, एक लॉजिक पर स्थापित लॉजिक बम किलडिस्क शुरू हो गया। यह इस समय था कि Prikarpatyeoblenergo ने अपनी वेबसाइट पर एक संदेश प्रकाशित किया था जिसमें नागरिकों को पहले से ही ज्ञात था: कई जिलों में बिजली काट दी गई थी और विफलता के कारणों की जांच की जा रही थी।

आधे घंटे बाद, जब किलडिस्क ने अपना गंदा व्यवसाय पूरा किया, तो Prikarpatyeoblenergo ने एक और संदेश प्रकाशित किया: एक हैकर हमले को विफलता का कारण बताया गया था।

...

जो भी यूक्रेन में ब्लैकआउट के आयोजन के पीछे है, वह अपनी तरह का पहला हमला है, जो दुनिया भर में विद्युत नेटवर्क की सुरक्षा के लिए एक अशुभ मिसाल कायम करता है। Prikarpatyeoblenergo डिस्पैचर को उस दिन स्क्रीन पर माउस कर्सर के फ़्लिकर होने का पता नहीं चल सकता है। लेकिन अब दुनिया में ऊर्जा आपूर्ति के लिए जिम्मेदार सभी लोगों को एक चेतावनी मिली है। यह हमला अपेक्षाकृत छोटा और नरम था। निम्नलिखित मामला नहीं हो सकता है।

Source: https://habr.com/ru/post/hi391439/