Директор по связям с общественностью «МегаФона» Петр Лидов сообщил «Ъ», что столичный офис компании подвергся хакерской атаке. «Компьютеры вышли из строя - на них появился экран блокировки, где просили $300 за разблокировку»,- рассказал он. Потом пришла информация, что то же самое произошло у абонентов операторов Telefonica и Vodafone в Испании.
По словам Петра Лидова, специалистам пришлось отключить сети на каком-то этапе, чтобы вирус не распространялся дальше. «Ряд регионов задело, остальные превентивно пришлось временно отключить. Это коснулось ритейла и службы поддержки абонентов, потому что операторы, естественно, пользуются ПК для доступа в базы. Колл-центры починили. На связь и личные кабинеты это не повлияло»,- сообщил господин Лидов.
Как рассказал «Ъ» исследователь из Digital Security Борис Рютин, эксперты MalwareHunterTeam и другие независимые исследователи сходятся во мнении, что это вредоносная программа типа ransomware, то есть вирус-вымогатель. «Опасность заражения в том, что в зависимости от реализации, файлы пользователя могут быть безвозвратно утеряны»,- уточнил он.
«Мы видим атаку, и вирус очень сложный,- сообщили «Ъ» в компании Solar Security.- В данный момент мы разрабатываем рекомендации по мерам противодействия». «Вирус очень сложный, и пока нельзя исключать, что он представляет собой нечто более опасное, чем простой шифровальщик. Уже очевидно, что скорость его распространения беспрецедентно высокая»,- добавили в компании.
Представитель Microsoft Кристина Давыдова рассказала «Ъ», что специалисты добавили обнаружение и защиту от новой вредоносной программы, известной как Ransom:Win32.WannaCrypt. «В марте мы также представили дополнительную защиту от вредоносного ПО подобного характера вместе с обновлением безопасности, которое предотвращает распространение вредоносного ПО по сети»,- сообщила она.
Пользователи из Москвы, Нижнего Новгорода, Пензы, Саратова, Самары, Рязани, Уфы и других российских городов заявили о невозможности совершить звонок — сеть оказалась недоступна.
Сначала в официальном твиттере компании появился совет установить тип сети «только 3G» и перезагрузить телефон, а теперь всем пострадавшим клиентам отправляется стандартный ответ: «На текущий момент наблюдаются массовые сложности со связью. Уже исправляем. Приносим извинения за доставленные неудобства». Компания добавила, что не располагает данными о конкретных сроках исправления проблемы.
Неуспешный дозвон
«Мегафон» заявил, что успешность дозвона в Москве и нескольких других городах снизилась на 30%, отметив, что звонки по-прежнему возможны с помощью мессенджеров. К сожалению, это не удовлетворило многих клиентов компании, которые не могут воспользоваться мессенджерами без доступа к Wi-Fi.
Как сообщает пресс-служба «Мегафона» в своем Telegram-канале, причиной сбоя стала авария на одном из элементов сетевого оборудования.
Кроме того, в одном из офисов компании также рассказали, что у них произошла авария, но сроки устранения последствий пока неизвестны. Желающим получить компенсацию сотрудники предлагают писать заявление в офисе компании. На вопрос о причинах сбоя сообщается, что не исключена хакерская атака.
Спустя некоторое время после сообщений о сбоях «Мегафона» в СМИ появилась информация о том, что с проблемами со связью столкнулись и другие мобильные операторы, например «Билайн». В разговоре с «Газетой.Ru» пресс-секретарь компании заявила, что сеть работает в штатном режиме без массовых сбоев, а распространение ложного сообщения о проблемах с сетью оператора связано с ответом сотрудника техподдержки о работе одной базовой станции компании.
О стабильной работе «Газету.Ru» проинформировал и пресс-секретарь : «Сеть МТС работает в штатном режиме».
В телефонном разговоре с корреспондентом Лидов сообщил, что в день атаки многие офисные компьютеры «Мегафона» начали перезагружаться и выдавать сообщение о требовании выкупа за расшифровку данных, причем пострадала не только Москва, но и другие города России.
К счастью, распространение атаки удалось замедлить, и буквально спустя пару часов была восстановлена работа всего колл-центра «Мегафона», чтобы абоненты могли общаться со службой поддержки. Представитель компании подчеркнул, что вирус WannaCry никак не отразился на услугах связи, а личные данные клиентов оператора остались в безопасности.
В январе 2017 года пользователи «Мегафона» также жаловались на недоступность некоторых сервисов — «Мультифона», «МегафонТВ», а также неполадки в работе сайта. В компании сбой объяснили аварией в центре обработки данных (ЦОД), вызванной аномальными морозами в регионе.
Спустя некоторое время сервисы заработали в нормальном режиме. Тогда представитель мобильного оператора рассказала «Газете.Ru», что порядок в системе измеряется не наличием сбоев, а умением их оперативно устранять. «Это и было сделано специалистами компании в кратчайшие сроки. Причем в ночное время в праздничный день», — добавила Дорохина.
Помимо телекоммуникационных компаний, жертвами атак хакеров, по словам источников РБК, а также «Газеты.Ru» и «Медиазоны», стали силовые ведомства России — МВД и Следственный комитет.
Собеседник РБК в МВД рассказал об атаке на внутренние сети ведомства. По его словам, атаке подверглись в основном региональные управления министерства. Он уточнил, что вирус поразил компьютеры как минимум в трех областях европейской части России. Источник добавил, что на работе МВД эта атака не должна отразиться. Другой собеседник РБК в министерстве рассказал, что хакеры могли получить доступ к базам МВД, но неизвестно, успели ли они скачать оттуда информацию. Атака на МВД затронула только те компьютеры, на которых давно не обновлялась операционная система, рассказал собеседник в ведомстве. Работа министерства не парализована хакерами, но сильно затруднена.
В Германии хакеры сервисы компании Deutsche Bahn, которая является основным железнодорожным оператором страны. Об этом сообщил телеканал ZDF со ссылкой на МВД страны.
Министерство национальной безопасности США партнерам техническую поддержку и помощь в борьбе с «программой-вымогателем» WannaCry.
Что за вирус?
Согласно сообщению «Лаборатории Касперского» , вирус, о котором идет речь, — программа-шифровальщик WannaCry. «Как показал анализ, атака происходила через известную сетевую уязвимость Microsoft Security Bulletin MS17-010. Затем на зараженную систему устанавливался руткит, используя который, злоумышленники запускали программу-шифровальщик», — рассказали в компании.
«Все решения «Лаборатории Касперского» детектируют данный руткит как MEM: Trojan.Win64.EquationDrug.gen. Также наши решения детектируют программы-шифровальщики, которые использовались в этой атаке, следующими вердиктами: Trojan-Ransom.Win32.Scatter.uf, Trojan-Ransom.Win32.Fury.fr, PDM: Trojan.Win32.Generic (для детектирования данного зловреда компонент System Watcher должен быть включен)», — отметили в компании.
Для снижения рисков заражения специалисты «Лаборатории Касперского» советуют пользователям установить официальный патч от Microsoft, который закрывает используемую в атаке уязвимость, а для предупреждения подобных инцидентов использовать сервисы информирования об угрозах, чтобы своевременно получать данные о наиболее опасных атаках и возможных заражениях.
Хакерскую атаку прокомментировали и в Microsoft . «Сегодня наши специалисты добавили обнаружение и защиту от новой вредоносной программы, известной как Ransom: Win32.WannaCrypt. В марте мы также представили дополнительную защиту от вредоносного ПО подобного характера вместе с обновлением безопасности, которое предотвращает распространение вредоносного ПО по сети. Пользователи нашего бесплатного антивируса и обновленной версии Windows защищены. Мы работаем с пользователями, чтобы предоставить дополнительную помощь», — говорится в заявлении представителя Microsoft в России, поступившем в РБК.
Представитель Solar Security заявил РБК, что компания видит атаку и в настоящий момент исследует образец вируса. «Сейчас мы не готовы делиться деталями, но зловред явно написан профессионалами. Пока нельзя исключать, что он представляет собой нечто более опасное, чем шифровальщик. Уже очевидно, что скорость его распространения беспрецедентно высокая», — сказал собеседник. По его словам, ущерб от вируса «огромен», он задел крупные организации в 40 странах мира, но точную оценку пока дать невозможно, поскольку возможности зловреда еще не до конца изучены и атака сейчас находится в развитии.
Генеральный директор Group-IB Илья Сачков рассказал РБК, что программы-шифровальщики, аналогичные той, что использовалась при нынешней атаке, — это нарастающий тренд. В 2016 году количество таких атак увеличилось более чем в сто раз по сравнению с предыдущим годом, уточнил он.
Сачков отметил, что, как правило, заражение устройства в таком случае происходит через электронную почту. Говоря о WannaCry, эксперт отметил, что у этой программы-шифровальщика есть две особенности. «Во-первых, она использует эксплоит ETERNALBLUE, который был выложен в открытый доступ хакерами Shadow Brokers. Патч, закрывающий эту уязвимость, для ОС Windows Vista и старше, стал доступен 9 марта в составе бюллетеня MS17-010. При этом патча для старых ОС вроде Windows XP и Windows server 2003 не будет, так как они выведены из-под поддержки», — рассказал он.
«Во-вторых, помимо шифрования файлов она осуществляет сканирование интернета на предмет уязвимых хостов. То есть, если зараженный компьютер попал в какую-то другую сеть, вредоносное ПО распространится и в ней тоже, — отсюда и лавинообразный характер заражений», — добавил Сачков.
Защиту от подобных атак, по словам Сачкова, можно обеспечить, используя решения класса «песочница», которые устанавливаются в сеть организации и проверяют все файлы, приходящие на почту сотрудникам или скачиваемые ими из интернета. Кроме того, напомнил эксперт, важно проводить с сотрудниками разъяснительные беседы об основах «цифровой гигиены» — не устанавливать программы из непроверенных источников, не вставлять в компьютер неизвестные флэшки и не переходить по сомнительным ссылкам, а также вовремя обновлять ПО и не использовать ОС, которые не поддерживаются производителем.
Кто виноват
Кто стоит за масштабной кибератакой, пока не ясно. Экс-сотрудник АНБ Эдвард Сноуден , что при глобальной хакерской атаке, случившейся 12 мая, мог быть использован вирус, разработанный АНБ. О такой возможности ранее заявил WikiLeaks.
В свою очередь власти Румынии , что за попыткой атаки может стоять организация, «связанная с группировкой киберпреступности APT28/Fancy Bear», которую традиционно причисляют к «русским хакерам».
The Telegraph предполагает , что за атакой может стоять группировка Shadow Brokers, связанная с Россией. Они связывают это с заявлениями хакеров, прозвучавшими в апреле, что они якобы украли «кибероружие» разведывательного сообщества США, что дает им доступ ко всем компьютерам с ОС Windows.
Вредоносное программное обеспечение — наименование для всех программных продуктов, целью которых заведомо является нанесение ущерба конечному пользователю.
Злоумышленники придумывают все новые хитрые способы распространения вредоносных программ, большинство из которых разработаны под операционную систему Android. При этом вирус можно «подцепить» не только на каком-нибудь сомнительном сайте, но и получив сообщение со ссылкой от известного вам человека (друга, родственника, коллеги).
Одна из модификаций вредоносного ПО для смартфонов и планшетов на базе операционной системе Android, попав в ваше мобильное устройство, первым делом разошлёт ссылку с дружелюбным сообщением «Зацени ссылку!» или «Моё фото для тебя» по всему списку контактов. Каждый, кто перейдет по ссылке, получит вирус уже на свой смартфон.
Но чаще всего преступники выдают троянов за полезные приложения.
Чем грозит вирус?
Полученная троянская программа может не только рассылать SMS вашим друзьям, но и опустошить ваш счёт. Банковские троянцы - одни из самых опасных. Пострадать могут все владельцы гаджетов, использующие банковские приложения. Больше всего рискуют пользователи Android-смартфонов - 98% мобильных банковских троянов созданы для этой операционной системы.
При запуске банковского приложения троян выводит собственный интерфейс поверх интерфейса настоящего мобильного банка. И таким образом ворует все данные, которые вводит пользователь. Наиболее продвинутые зловреды умеют подделывать интерфейсы десятков различных мобильных банков, платёжных систем и даже систем обмена сообщениями.
Другой важный этап при краже денег - это перехват SMS с одноразовыми паролями для осуществления платежей и переводов. Поэтому троянам обычно нужны права доступа к SMS, и именно поэтому стоит быть особенно осторожными с приложениями, которые такие права запрашивают.
Признаки того, что ваш телефон заражён
Есть несколько признаков того, что ваш телефон заражён вредоносным программным обеспечением:
- Скрытая отправка SMS по списку контактов — к вам начинают обращаться друзья, знакомые и коллеги, получившие сомнительные сообщения;
- Быстрое расходование денежных средств — средства с Лицевого счёта списываются быстрее, чем обычно;
- Несанкционированные списания с банковской карты;
- Отсутствие SMS из банка – при подключённой услуге «SMS-информирование» вы перестали получать SMS-уведомления о списании средств со счёта;
- Быстрее разряжается аккумулятор.
Как защитить себя?
- Регулярно следите за выпуском обновлений безопасности операционной системы вашего мобильного устройства и своевременно их устанавливайте;
- Установите антивирусное ПО на свой смартфон, планшет, после установки обновите его и проверьте мобильное устройство;
- Используйте антивирусное ПО, осуществляющее защиту в режиме on-line, и регулярно обновляйте его;
- Скачивайте и запускайте приложения только из официальных магазинов - Play Store, App Store, Google Play и так далее;
- Будьте внимательны при выдаче прав приложениям - особенно подозрительного отношения заслуживают программы, которые просят права доступа на обработку SMS-сообщений;
- Думайте перед тем, как переходить по ссылке. Не теряйте бдительность, не открывайте ссылки из писем или SMS, или сообщений в социальных сетях, если не уверены в том, что послание пришло от известного вам адресата и безопасно;
- Если вам пришло подозрительное SMS со ссылкой от вашего друга, позвоните ему, чтобы уточнить, отправлял ли он сообщение. Если нет, предупредите, что его смартфон или планшет заражён вирусом;
- Будьте осторожны в общедоступных сетях Wi-Fi, и при соединении с сетью удостоверьтесь, что она легитимна;
- Используйте сложные пароли;
- В меню «Настройки» нажмите «Data Usage» (Использованием данных), в разделе «Wireless & Networks» (Беспроводная связь) можно увидеть, как много данных каждое приложение использует, и установить лимит на работу с данными;
- Подключите «SMS-информирование» о списании средств со счёта - не все трояны перехватывают SMS.
Что делать, если украли деньги?
Первое, что нужно сделать - как можно быстрее обратиться в банк.
Тревожная красно-белая заставка за считаные часы появилась на тысячах компьютеров по всей планете. Интернет-вирус под названием WannaCry ("Хочется плакать") зашифровал миллионы документов, фотографий и архивов. Чтобы вернуть доступ к своим же файлам, пользователям предлагается в течение трех суток заплатить выкуп: сначала — 300 долларов, дальше сумма возрастает. Причем платить требуют в виртуальной валюте, в биткоинах, чтобы не отследить платеж.
Атакованы около ста стран. Вирус-вымогатель начал с Европы. В Испании — компания Telefonica, банк Iberica, газовая компания Gas Natural, служба доставки FedEx. Позднее WannaCry был зафиксирован в Сингапуре, на Тайване и в Китае, после чего добрался до Австралии и Латинской Америки, а также полиции штата Андхра-Прадеш в Индии.
В России вирус пытался шантажировать "Мегафон", "Вымпелком", "Сбербанк" и РЖД, а из госорганов — Минздрав, МЧС и МВД. Впрочем, там везде говорят, что атаки оперативно отслежены и отражены, а утечек данных нет.
"Вирус локализован, проводятся технические работы по его уничтожению и обновлению средств антивирусной защиты. Стоит отметить, что утечка служебной информации с информационных ресурсов Министерства внутренних дел России полностью исключена", — заявила Ирина Волк, официальный представитель МВД России.
"Цели очень трудно понять. Думаю, они не политические цели, это явные мошенники, которые пытались просто на этом деле заработать. Они это и говорят, требуют денег, это вирус-вымогатель. Мы можем предполагать, что цель - финансовая", — сказала сказала президент холдинга InfoWatch Наталья Касперская.
Но кто эти мошенники? Версии о природе вируса выдвигаются в зависимости от степени свежести ума или воспаленности мозгов. Кто бы сомневался, что кто-то сразу начнет искать русских хакеров. Мол, Россию же атаковали как никого активно. Значит, это русские. Что ж, поговорка "назло маме отморожу уши" — это, конечно, из нашего фольклора.
Впервые вирус был засечен в феврале. И даже в ВВС говорят, что его корни произрастают из американского Агентства национальной безопасности, где разрабатывали способы проверки на устойчивость системы Windows, но коды действительно попали к мошенникам. Об американском происхождении говорят и российские специалисты. Только говорят, что корни не в АНБ, а в ЦРУ США.
"Есть некие детали, которые показывают, что вирус, скорее всего, не русский. Во-первых, мы знаем, что его оригинал — црушный, он из боевых инструментов ЦРУ, во-вторых, что даже те, кто его обновил и запустил в работу, скорее всего, не русские, потому что среди тех форматов, в которых он работает, нет одного из самых популярных в нашей стране форматов — файла 1С. Если бы это были настоящие русские хакеры, которые хотели бы заразить как можно больше всего, они бы 1С использовали, конечно же", — считает генеральный директор компании "Ашманов и партнеры", разработчик систем искусственного интеллекта и информационной безопасности Игорь Ашманов.
Так, может, пусть корни вируса американские, а хакнули все-таки русские мошенники?
"Надо понимать, что этот вирус был выложен, его код в утечке WikiLeaks два месяца назад. Он там был стерилизован, но хакеры, которые его взяли, заново его оживили, спрыснули живой водой и разместили где-то, например, на сайте для скачивания или разослали почтой. Возможно, это была просто попытка проверить, работают ли эти црушные боевые вирусы", — отметил Игорь Ашманов.
Тем временем небезызвестный Эдвард Сноуден , что американские спецслужбы, точнее АНБ, причастна к этой кибератаке сама. По другой версии все той же ВВС, атаку могли устроить идейные противники президента Трампа. Если так, то это — "прекрасные люди". В борьбе за торжество человеколюбия ударили и по социальным объектам. В Бразилии — по системе собеса.
А в Британии удар вообще пришелся на NHS — Национальную систему здравоохранения. Во многих больницах остановлены операции, работает только скорая помощь. Со специальным обращением выступила даже премьер Тереза Мэй.
Похоже, вирус действительно был нацелен на корпоративных пользователей. Как бы то ни было, подозрительный email не стоит открывать, лучше сделать резервные копии важных документов, фото и видео на внешние носители. И совет от специалистов: надо обновляться.
"То, что вирус пошел, как пожар, показывает, что пользователи, видимо, не очень сильно обновляются. При этом очень многие организации были заражены. А в организациях, как известно, обновление очень часто централизовано. Значит, администраторы этих организаций не следили за обновлением и закрытием уязвимостей. Либо еще как-то был процесс так построен. Мы можем только констатировать, что эта дырка закрыта не была, хотя заплатка под нее уже была готова", — отметила Наталья Касперская.
