Od jari 2017, bez toho aby o tom vedela, začala slúžiť aj na iný účel. Hekeri zo Sandwormu obsadili jej servery aby ich neskôr použili ako zadné vrátka k tisíckam počítačov na celom svete ktoré M.E.Doc tiež používali. Potom, 27. júna, tie zadné vrátka použili aby cez ne dostali do sveta najničivejšiu kyberzbraň v dejinách internetu.
Najprv zasiahla tisícky počítačov ukrajinskej Oščadbanky, neskôr tisícky veľkých i malých firiem po celej krajine. Odborníci na softvérovú bezpečnosť hneď zo začiatku zistili len základné fakty: za ransomwerovým útokom bol automatizovaný červ. Vyzeral trochu ako WannaCry ale bol iný. Nielen náhodne skenoval internet a infikoval zraniteľné počítače, ale nejakým spôsobom získal prístupové údaje administrátora, čo mu dalo prístup do celej bankovej siete. Zrútenie celej siete veľkej ukrajinskej banky mu trvalo 45 sekúnd.
Výskumníkom z firmy Kaspersky pripomínal kriminálny ransomware "Péťa", ktorý bol v obehu od roku 2016, no významne sa od neho odlišoval v mnohých charakteristikách. Preto dostal názov "Nie Péťa" - NotPetya.
Keď infikoval novú mašinu, okamžite začal šifrovať časť operačného systému ktorá udržiavala záznam o mieste uloženia softvéru v pamäti počítača. Taktiež zašifroval každý jeho súbor individuálne. Bolo to akoby niekto v knižnici zoskartoval všetky knižničné lístky a potom postupne drvil všetky knihy zaradom. Na rozdiel od pôvodného Péťu tento v skutočnosti nedovoľoval aby boli počítače odšifrované po zaplatení výkupného ktoré sa požadovalo. Miesto toho oznam o výkupnom vyzeral iba ako krytie pre skutočný úmysel páchateľa - trvalé zničenie dát. NotPetya bol iný aj v tom, že bol vyladený na maxinálnu nákazlivosť. Využíval v tandeme Mimikatz a EternalBlue. Ten prvý slúžil ako primárny nástroj rozšírenia. Po tom čo vydoloval z pamäti počítača prístupové heslá, preskakoval z jedneho prístroja na druhý, pričom využíval bežné riadiace nástroje Windows ktoré administrátorom dávali voľný prístupk iným počítačom v sieti ak mali tie správne prihlasovacie údaje. Ten druhý potom poslúžil ako výbušný katalyzátor. Keď akýkoľvek počítač v sieti nebol zaplátaný proti EternalBlue, NotPetya doňho preskočil a šíril odtiaľ novú infekciu s použitím Mimikatz. Bolo možné infikovať nezaplátaný počítač, vybrať z neho heslá do celej siete a potom z nich napadnúť aj tie ktoré záplatu mali. Výsledkom bola spálená zem, ktorá sa šírilia automaticky, rýchlo a bezohľadne. V momente, keď nákazu niekto zbadal jeho dátové centrum bolo v háji.
V priebehu hodín sa rozšíril za hranice Ukrajiny do celého sveta. Ochromil nadnárodné korporácie - giganta v oblasti námornej prepravy firmu Maersk, európsku pobočku FedEx, francúzsku stavebnú firmu Saint-Gobain, giganta potravinárskeho priemyslu firmu Mondeléz, Reckit Benckiser - svetového výrobcu drogerijných vecí vrátane kondómov Durex, ruskú Rosnefť a Sberbank.
Najviac postihnutou krajinou na svete však bola Ukrajina. Masová infekcia rozožierala jej digitálnu infraštruktúru zaživa. Expertom z tamojšej počítačovej bezpečnostnej firmy ISSP bolo jasné, že ide o nový fenomén: masívnu koordinovanú kybernetickú inváziu.
Bývalý izraelský vládny heker Amit Serper, ktorý pracoval vo firme Cybereason sídliacej v Bostone, začal hneď po obdržaní kópie NotPetya rozoberať jeho kód kúsok po kúsku, kým nenašiel takzvaný vypínač (kill switch). Našiel funkciu "exit process" - inštrukciu ktorá zastavila časť programu. Vlastnosť, ktorú našiel ukrytú v kóde, mohla úplne zastaviť deštruktívnu šifrovaciu silu NotPetya. Ak bol na počítači inštalovaný súbor s určitým názvom, červ ho nezašifroval a ušetril tak jeho dáta pred zničením. Cybereason čoskoro kontaktovali ukrajinské úrady s ponukou pomoci. Bolo im umožnené preštudovať políciou zabavené počítače firmy Linkos Group odkiaľ sa nákaza začala šíriť. Na ich základe dokázali potom detailne pospájať digitálne "odtlačky prstov" tých ktorí infikovali program M.E.Doc. Na firemných harddiskoch Linkosu našli ešte staršie dôkazy o tom, že niekto mal tajný prístup do ich siete už od novembra 2015, teda plných 20 mesiacov.
Útok znamenal jedno. Zraniteľnosť obyčajného ukrajinského účtovného softvéru mala dopad na národnú bezpečnosť nielen USA, ale celého sveta, na dodávky vakcín, fungovanie zdravotného systému a dopravu čohokoľvek kamkoľvek. Fyzika kyberpriestoru je úplne iná od akéhokoľvek iného vojnového priestoru. NotPetya pripomenul, že vzdialenosť nie je ochranou.
Prvé trhliny v informačniom vákuu sa začali trhať v januári 2018, keď sa vo Washington Post objavil článok https://www.washingtonpost.com/ od dlhoročného experta na počítačovú bezpečnosť, v ktorom je z útoku nielen obvinené Rusko, ale je menovaná aj organizácia, pre ktorú hekeri pracovali. Bolo to Hlavné Centrum pre Špeciálnu Technológiu (GTsST), časť ruskej vojenskej špionážnej agentúry GRU. Bola to tá istá organizácia, ktorej hekeri zo skupiny "Fancy Bear" boli menovaní ako hlavní manipulátori v prípadoch amerických prezidentských volieb v roku 2016 a ukrajinských prezidentských volieb v roku 2014, tentoraz pod názvom CyberBerkut.
Nakoniec John Hultquist, expert bezpečnostnej firmy FireEye identifikoval hekerov zo skupiny Sandworm ako jednotku 74455 GRU, ktorá sa tiež podieľala na úniku informácií z centrály Demokratickej strany a bola spojená s fiktívnou osobou Guccifer 2.0 ktorá vraj dodala ukradnuté dokumenty WikiLeaks. Tými šikovnými chlapíkmi boli:
a ich ďalší štyria kolegovia z Kirovovej ulice 22 v meste Chimki, Rusko.
Špeciálne hekerské jednotky podobného rázu má aj Čína, Severná Kórea, Izrael, Irán,... Kam to dospeje? Čím väčšia automatizácia čohokoľvek, tým väčšia šanca, že vládu nad tým čímkoľvek získa nejaký geniálny hipík s jointom v ruke, alebo tajná skupina pracujúca pre vládu ktorá nás nemá rada. Ako sa potom brániť? Nebude bezpečnejšie vrátiť sa späť do doby analógovej a zabudnúť na automatizáciu a internet? Všetko na papieri, nič v počítači...Možno sa nakoniec budeme dorozumievať dymovými signálmi. Ale keď aj tie sa dajú heknúť?
Zdroj informácií: Andy Greenberg - Sandworm.
