Nagyon súlyos lehet az államkincstárt ért kibertámadás, a közzétett képek alapján a támadó gyakorlatilag ahhoz férhetett hozzá, amihez akart

A Telex által megkérdezett szakértők szerint a belső rendszerek ismerete nélkül nehéz megítélni a teljes érintettség mértékét, de a közzétett felvételek alapján úgy tűnik, hogy nagyon súlyos lehet az a kibertámadás, ami a Magyar Államkincstár alá tartozó Mezőgazdasági és Vidékfejlesztési Hivatalt (MVH) érte a múlt héten. Ha a támadó valóban mindenhez hozzáférést szerzett, amiről képernyőképeket tett közzé, akkor „egy 10-es skálán ez egyértelműen 10-es besorolású incidens”. A szervezet vasárnap erősítette meg a Telexnek, hogy kibertámadás érte az informatikai hálózatát, de a jelenlegi információik szerint adatvesztés nem történt, a szükséges lépéseket pedig megtették. Azt is hozzátették, hogy a támadás orosz szerverekről történt, de

a támadásról egy fórumon és a saját honlapján is részleteket posztoló, ByteToBreach nevű hekker kérdésünkre azt írta, fogalma sincs, honnan származhat ez az infó.

„A támadás állítólagos orosz eredete engem is meglep, nem tudom, hogy juthatott valaki erre a következtetésre, hacsak nem a korábbi traumáiból indult ki” – írta kérdésünkre a hekker. Levelében beismerte, hogy ő áll a támadás mögött, és, mint írta, ahogy két hete az általa feltört román földhivatali rendszer (ANCPI) esetében, úgy itt is egyedül a pénz motiválta a támadást. Ahogy ott, úgy állítása szerint itt sem követel váltságdíjat, és azt is írta, hogy a megszerzett adatokat szinte sosem adja el, inkább alkualapnak használja őket. Mint írta, csak a titkosított adatok feloldásában ajánlja fel a „segítségét”, az államkincstártól pedig senkit nem keresett meg, és nem is fog.

A hekker a támadásról szóló posztjában elég részletesen végigment azon, hogy hogyan férkőzött be az államkincstár rendszereibe, erről a Telexnek annyit írt, hogy kizárólag dokumentált sérülékenységeket használt, és ezeket kombinálva szerzett egyre magasabb privilégiumokat a hálózaton belül. Mint írta, a Mezőgazdasági és Vidékfejlesztési Hivatal és egy nyugdíjakkal foglalkozó hivatal áldozatául esett egy zsarolóvírusnak, ami rengeteg adatot titkosított, de arra, hogy ezen túl milyen mértékben kompromittálódott a hálózat, nem válaszolt. Utalt viszont arra, hogy más rendszerekhez is hozzáfért, ami a közzétett képernyőképek alapján is valószínűnek tűnik.

Ahogy a Telexnek nyilatkozó kiberbiztonsági szakértők kiemelték, ezekből látszik az is, hogy az egész támadás kiindulópontja az volt, hogy a támadó talált egy publikusan elérhető szervert, amelyen egy régi Java programokhoz használt alkalmazásszerver (az Oracle WebLogic) futott. Ez a rendszer tartalmazott egy olyan, magas kockázatú sebezhetőséget, amelyet a támadó ki tudott használni. Ez egyébként nagyon régi, már 2017 októbere óta ismert, az Oracle akkor ki is adott rá egy javítást. Ez önmagában még nem jelentett teljes sikert a hekkernek, de elég volt ahhoz, hogy tovább mozogjon a belső hálózatban, és további sebezhetőségeket, esetleg potenciális célpontokat keressen.

„A támadók gyakorlatilag minden kritikus rendszerben megszerezték a legmagasabb szintű rendszergazdai jogosultságokat, vagyis teljesen szabadon mozoghattak a környezetben” – írta egy szakértő a közzétett képek és videók alapján arra a kérdésre, hogy a támadónak meddig sikerült eljutnia. A sebezhetőségekkel és a megszerzett jogosultságokkal ki tudták nyerni a felhasználók belépési adatait, és számos más szolgáltatás hitelesítését kezelő rendszer teljes adatbázisát, az itt tárolt jelszavakat pedig vissza is tudták fejteni. Ez azt jelenti, hogy ha valóban mindenhez hozzáfértek, ami a képeken látszik, akkor lényegében az MVH szinte összes felhasználójának belépési adataihoz hozzáférhettek.

A szakértők szerint szintén rendkívül súlyos probléma, hogy az MVH teljes Windows-tartományához és tartományvezérlőjéhez is rendszergazdai hozzáférést szereztek. Ezekkel a jogosultságokkal a tartományhoz tartozó összes kliens- és szervergép, sőt akár a levelezőrendszer is elérhetővé válik. A virtualizációs környezethez szintén adminisztrátorjogot szereztek, mert az egyik gépen egy fájlban titkosítatlanul, olvasható formában szerepelt egy egyébként sem bonyolult jelszó. Így nemcsak az összes virtuális géphez, hanem azok adattárolóihoz és biztonsági mentéseihez is hozzáfértek, ami összesen 116 virtuális gépet és 229 terabyte-nyi adatot érint.

Ezek alapján a támadók az MVH környezetében lényegében mindenhez hozzáférhettek, amihez hozzá akartak, akár az MVH tartományán túl is – de mivel erről a hekker a posztban és a válaszában sem árult el semmit, nehéz megmondani, hogy ez a gyakorlatban mit jelenthet.

„Nagyon súlyos a helyzet. A fent említett okok miatt a támadók gyakorlatilag bármihez hozzáférhettek, és ha továbbra is jelen vannak a környezetben, akkor jelenleg is hozzáférhetnek bármely rendszerhez, amelyet el akarnak érni” – írta a Telexnek egy kiberbiztonsági szakértő. Szerinte nagyon sok munka lesz helyreállítani a rendszert, nem is lehet megmondani, hogy mennyire, mert ilyenkor csak teljes újratelepítéssel garantálható a teljes biztonság, ami egy ekkora hálózatnál rendkívül erőforrás- és időigényes feladat.

A szakértő szerint a jövőbeni megelőzéshez sok helyen kellene megerősíteni a rendszert, mert ezek olyan problémák, amelyeket idejében észlelni kellett volna. A bemutatott támadói aktivitásnak riasztást kellett volna kiváltania, amire a biztonsági szakembereknek lett volna lehetőségük kellő időben reagálni. Ehelyett a támadó egy közel 10 éves sebezhetőséget kihasználva tudott bejutni a rendszerbe, ez idő alatt nem történt meg a szükséges frissítés. Az államkincstár közleménye szerint az érintett szervereket az észlelés után leválasztották a hálózatról, és lépéseket tettek a további károk elkerüléséért, adatvesztés pedig nem történt. Azt írták,

csak belső felhasználók számítógépén tárolt állományok váltak titkosítottá, az általuk kezelt ügyféladatokat a jelenlegi információk szerint nem érintette a támadás.

Az esemény teljes körű kivizsgálása a Nemzeti Kiberbiztonsági Intézet szakértőinek közreműködésével zajlik, összehangoltan dolgoznak a támadás elhárításán és a biztonságos működés mielőbbi helyreállításán.

Hogy mi fog kiderülni az állítólagos orosz érintettségről, amit az államkincstár említ, de a hekker tagad, érdekes kérdés. A KELA nevű kiberbiztonsági cég nemrég azt állította, hogy a rendelkezésre álló adatok alapján ByteToBreach egy algériai férfi lehet, aki egyedül dolgozik, de ezt, vagy bármilyen hasonló állítást nagyon nehéz alátámasztani. A mostani támadás képein látható IP-cím holland volt, de önmagában erre nem lehet alapozni semmit, az ilyen támadásoknál a hekkerek mindig el szokták fedni a valós forráscímüket.

Az mindenesetre az általa közzétett posztok és a Telexnek írt válasza alapján nagyon valószínű, hogy a támadást valóban ByteToBreach követte el, aki az elmúlt időszakban több kelet-európai országban is hajtott végre hasonló kaliberű akciókat. A legutóbbi ilyen a román ANCPI elleni támadás volt, ott a hekker annyira súlyos károkat okozott a rendszerben, hogy egy hétig tartott helyreállítani a működést, és ezalatt gyakorlatilag nem lehet földhivatali ügyeket intézni az országban. A hekkernek ott sem kellett túlzottan megerőltetnie magát, korábban kiszivárgott belépési adatokat és az ügynökség számára is ismert szoftveres sérülékenységeket használt ki.