Kaj se je dogajalo v hekerskem napadu na ukrajinsko omrežje

Raziskovalci iz podjetja Dragos so objavili izsledke svoje preiskave o električnem mrku, ki so ga konec leta 2016 v Ukrajini povzročili ruski hekerji. Napad na 330-kilovoltno razdelilno transformatorsko postajo za severni del Kijeva je povzročil dobro uro dolg izpad električne energije, trajnih posledic pa ni imel. A v resnici bi se bilo lahko končalo precej huje, saj so bili ruski nameni veliko bolj zlovešči.

Joe Slowik iz Dragosa pojasnjuje, da je šlo za podoben napad, kot se je zgodil že leto pred tem. Vseeno pa je presenečala hitrost, s katero je Ukrenergo uspel ponovno vzpostaviti napajanje. Kot kažejo rezultati preiskave, je šlo za tretji hekerski napad v zgodovini, kjer je bil cilj povzročiti trajno škodo na strojni opremi. Prvi tak je bil Stuxnet, ki je v letih 2009-2010 sabotiral iranske jedrske centrifuge, leta 2017 pa je Triton skušal poškodovati naftno rafinerijo v Savdski Arabiji.

Premisa zadnjega napada je bila enostavna. Najprej so napadalci prekinili vse električne povezave, ki so jih lahko, kar je povzročilo prekinjeno dobavo energije. Nato so pobrisali računalnike, ki so nadzorovali prenos energije, da osebje ni vedelo, kaj točno se dogaja. Zadnji stadij, ki pa se jim ni posrečil, bi moral biti izraba ranljivosti v Siemensovi opremi Siprotec. To so zaščitni releji, ki skrbijo, da frekvence in tokovi ne pobegnejo iz nastavljenih mej, koder bi lahko poškodovali opremo. Symantec je že leta 2015 v Siprotecu zakrpal ranljivost, ki je omogočala, da ga napadalci oddaljeno onemogočijo (postavijo v stand-by, ki je sicer namenjen le za čas posodobitev). Hekerji so nameravali s posebej oblikovanimi paketki onemogočiti te releje, kar bi bistveno otežilo ponovno zaganjanje sistema. Če bi operaterji tedaj preobremenili kakšno izmed linij, bi povzročili fizično škodo na omrežju.

Neznanka ostaja razlog, zakaj jim to ni uspelo. Bodisi so ukaze poslali na napačne naslove IP, bodisi so Ukrajinci elektriko priklopili nazaj, še preden je bil Siprotec onemogočen ali kaj tretjega. Ob tem Slowik dodaja, da bi tudi ob izrabi te ranljivosti drugi zaščitni elementi morda zdržali, a je to brez temeljitega poznavanja ukrajinskega sistema nemogoče reči.