A ByteToBreach néven fellépő hacker közvetlenül a Telexnek is elismerte, hogy ő áll a Magyar Államkincstár mezőgazdasági és vidékfejlesztési rendszerét ért kibertámadás mögött. A támadó azt állította, hogy dokumentált sérülékenységeket összekapcsolva szerzett egyre magasabb jogosultságokat, és vitatta azt a korábbi közlést, amely szerint az akció oroszországi szerverekről indult. A nyilvánosságra hozott képernyőképeket elemző kiberbiztonsági szakértők szerint a hacker a legfontosabb belső rendszerekben is rendszergazdai hozzáférést szerezhetett, így felhasználói fiókokat, szervereket, a levelezést, 116 virtuális gépet, 229 terabájtnyi tárhelyet és biztonsági mentéseket is elérhetett. Egyikük tízes skálán tízes súlyosságú incidensnek nevezte a látottakat.
Kedden reggel már beszámoltunk arról, hogy kibertámadás érte a Magyar Államkincstár mezőgazdasági és vidékfejlesztési területének informatikai hálózatát. A Kincstár közlése szerint az incidens során egyes belső számítógépeken tárolt állományok titkosítottá váltak, adatvesztést azonban nem észleltek, és akkori információik alapján az ügyféladatokat sem érintette a támadás.
A Telexnek a ByteToBreach nevet használó hacker ezzel szemben azt állította, hogy jóval mélyebbre jutott a rendszerben. Képeket és technikai adatokat tett közzé azokról a felületekről, amelyekhez állítása szerint hozzáférést szerzett. Ezeket az anyagokat azóta kiberbiztonsági szakértők is megvizsgálták. Értékelésük szerint hiteles felvételek esetén nem egyszerűen néhány megfertőzött munkaállomásról, hanem a teljes érintett informatikai környezetet veszélyeztető incidensről lehet szó.
Egy kívülről elérhető szerveren kezdődhetett
A közzétett technikai adatok alapján a támadó egy internetről elérhető szerveren találhatott belépési pontot. A szerveren az Oracle WebLogic nevű alkalmazáskiszolgáló olyan változata működhetett, amely egy 2017 óta ismert, magas kockázatú sérülékenységet tartalmazott.
Az Oracle már 2017 őszén kiadta a szükséges biztonsági javításokat, és külön figyelmeztette ügyfeleit arra, hogy a nyilvánosságra került hibákat támadók is kihasználhatják. A gyártó ezért a frissítések haladéktalan telepítését javasolta. Amennyiben valóban ezen a hibán keresztül jutottak be, az azt jelenti, hogy egy csaknem kilenc éve javítható sérülékenység maradhatott nyitva az állami rendszer egyik kívülről elérhető elemén.
A kezdeti hozzáférés még nem jelentette volna automatikusan az egész hálózat megszerzését. A támadó azonban saját közlése szerint több, már dokumentált biztonsági hibát kapcsolt össze, majd fokozatosan egyre magasabb jogosultságokat szerzett.
A felhasználói fiókok is a támadó kezébe kerülhettek
A felvételeket értékelő szakértők szerint a hacker hozzáférhetett a hálózat felhasználóit és jogosultságait kezelő központi rendszerhez. Itt találhatók azok az információk, amelyek meghatározzák, hogy egy munkatárs mely számítógépeket, szervereket és alkalmazásokat használhatja.
A támadó állítólag belépési adatokat is ki tudott nyerni, és hozzáférhetett más szolgáltatások hitelesítési adatbázisaihoz. A szakértők úgy látták, hogy a tárolt jelszavak egy részét is vissza tudták fejteni. Ha ez valóban megtörtént, akkor nemcsak egyetlen feltört kiszolgálóval rendelkeztek, hanem számos munkatársi és rendszergazdai fiókot is felhasználhattak a hálózaton belüli továbblépéshez.
A képek alapján a támadó a teljes Windows-tartományban rendszergazdai jogosultságokat szerezhetett. Ez az érintett környezetben lévő számítógépek, szerverek és akár a belső levelezés elérését is lehetővé tehette.
Egy fájlban olvasható jelszót is találhattak
A szakértői értékelés szerint a virtualizációs rendszerhez vezető egyik rendszergazdai jelszót titkosítatlan, olvasható formában tárolhatták egy belső fájlban. A jelszó ráadásul a beszámoló alapján nem volt különösebben összetett.
Ennek megszerzésével a hacker hozzáférhetett ahhoz a központi felülethez, amelyen keresztül az intézmény virtuális szervereit kezelik. Ilyen jogosultsággal a támadó elindíthat, leállíthat vagy módosíthat virtuális gépeket, hozzáférhet azok tárhelyéhez, és a biztonsági mentéseket is elérheti.
A közzétett adatok alapján 116 virtuális gép és mintegy 229 terabájtnyi tárhely válhatott hozzáférhetővé. Ez nem jelenti automatikusan azt, hogy a hacker mind a 229 terabájtnyi adatot lemásolta. A hozzáférés lehetősége és a tényleges adatlopás két külön kérdés, amelyeket a hatósági vizsgálatnak kell tisztáznia.
A biztonsági mentések sem feltétlenül maradtak érintetlenek
Különösen súlyos, hogy a hacker a biztonsági mentésekhez is eljuthatott. Egy zsarolóvírusos támadásnál a mentések jelentik a helyreállítás alapját: ezekből lehet visszaállítani a titkosított vagy megsemmisült fájlokat.
Ha azonban a támadó a mentési rendszert is eléri, módosíthatja vagy törölheti a korábbi példányokat, illetve megakadályozhatja, hogy az intézmény gyorsan visszaállítsa a működését. A szakértők emiatt úgy vélik, hogy a rendszer biztonságát csak teljes átvizsgálással, egyes elemek esetében pedig teljes újratelepítéssel lehet garantálni.
Ez egy ekkora hálózatnál nem néhány órás feladat. Valamennyi szervert, felhasználói fiókot, rendszergazdai jogosultságot, hozzáférési kulcsot és biztonsági mentést ellenőrizni kell. A jelszavak egyszerű lecserélése sem elegendő, ha nem zárható ki, hogy a hacker rejtett hozzáférési lehetőséget hagyott a rendszerben.
„Tízből tízes” incidens lehet
A közzétett anyagokat vizsgáló egyik szakértő úgy értékelte: amennyiben a képek valóban azt a rendszert és jogosultsági szintet mutatják, amelyet a támadó állít, akkor az eset egy tízes súlyossági skálán a legmagasabb, tízes kategóriába tartozik.
A szakértők szerint az is komoly kérdés, hogy a hacker tevékenységét miért nem észlelték korábban. A belső hálózat feltérképezése, a belépési adatok kinyerése, a jogosultságok emelése és a központi felügyeleti rendszerek megnyitása normál esetben több különböző biztonsági riasztást is kiválthat.
Továbbra sem bizonyított, hogy ügyféladatokat vittek el
A súlyos szakértői megállapítások ellenére egyelőre nem lehet biztosan kijelenteni, hogy személyes, agrártámogatási vagy pénzügyi adatokat másoltak ki a rendszerből.
A Magyar Államkincstár továbbra is azt közölte, hogy jelenlegi ismeretei szerint adatvesztés nem történt, és a támadás nem érintette az általa kezelt ügyféladatokat. A támadó által bemutatott hozzáférések azonban azt jelzik, hogy technikailag jóval több rendszerhez juthatott el annál, mint amennyit a Kincstár első közlése alapján feltételezni lehetett.
A hozzáférés nem azonos az adatlopással. Ahhoz, hogy kiderüljön, távoztak-e érzékeny információk, meg kell vizsgálni a hálózat kifelé irányuló adatforgalmát, a rendszer naplóit, valamint azt is, mennyi ideig tartózkodhatott észrevétlenül a támadó a hálózatban.
A hacker vitatja az orosz eredetet
A Kincstár első közlése szerint a támadás oroszországi szerverekről indulhatott. A ByteToBreach nevet használó hacker ezt tagadta, és azt állította, hogy nem politikai vagy állami megbízásból cselekedett, hanem pénzszerzés motiválta.
Az, hogy egy támadás valamelyik országban működő szerveren keresztül érkezik, önmagában nem bizonyítja az elkövető állampolgárságát vagy tartózkodási helyét. A hackerek általában közvetítő szervereket, virtuális magánhálózatokat és korábban feltört gépeket használnak valódi címük elrejtésére. A támadó személyazonosságát és tartózkodási helyét ezért jelenleg nem lehet ellenőrzött tényként megállapítani.
A hacker azt is állította, hogy az államkincstári rendszer mellett egy nyugdíjakkal foglalkozó hivatal is zsarolóvírus áldozata lett. Ezt sem a Magyar Államkincstár, sem más magyar hatóság nem erősítette meg, ezért egyelőre kizárólag a támadó ellenőrizetlen állításaként kezelhető.
Most már nemcsak az adatvesztésről kell beszélni
A reggeli hivatalos tájékoztatás legfontosabb mondata az volt, hogy nem történt adatvesztés, és az ügyféladatokat nem érintette a támadás. Az új technikai részletek azonban egy másik kérdést is felvetnek: hogyan tudott a hacker ilyen széles jogosultságokat szerezni, és miért maradhatott használatban egy évekkel korábban javított sérülékenységet tartalmazó rendszer.
A Nemzeti Kiberbiztonsági Intézet bevonásával zajló vizsgálatnak ezért nemcsak azt kell tisztáznia, hogy loptak-e adatokat. Arra is választ kell adnia, meddig jutott el a támadó, mennyi ideig volt jelen, milyen rendszereket kellett leállítani, érintette-e más állami intézmény hálózatát, és mennyi idő alatt állítható helyre biztonságosan a működés.
Kapcsolódó: Kibertámadás érte a Magyar Államkincstár egyik rendszerét – mást állít a Kincstár, mást a támadó
Forrás: a Magyar Államkincstár hivatalos tájékoztatása l az Oracle 2017-es biztonsági közleménye l Telex által megkérdezett kiberbiztonsági szakértők elemzése l ( A hacker állításait a cikkünk minden esetben ellenőrizetlen közlésként kezeli.)
