keçi | Getty Resimleri
Ukrayna hükümeti Pazartesi günü, Kremlin’in Ukrayna’daki ve müttefiklerinin topraklarındaki elektrik şebekelerini ve diğer kritik altyapıları hedef alan “büyük siber saldırılar” gerçekleştirmeyi planladığı konusunda uyardı.
Bir danışma belgesinde, “Siber saldırılarla düşman, füze saldırılarının başta Ukrayna’nın doğu ve güney bölgelerindeki elektrik tedarik tesisleri üzerindeki etkisini artırmaya çalışacak” uyarısında bulundu. İşgalci komutanlık, bunun Ukrayna Savunma Kuvvetlerinin saldırı operasyonlarını yavaşlatacağına inanıyor” dedi.
Pazartesi günkü tavsiye raporunda, Rus hükümetinin gerçekleştirdiği – ilki 2015’te ve ardından neredeyse tam bir yıl sonra – yılın en soğuk aylarından birinde Ukraynalıları kasten elektriksiz bırakan iki siber saldırıya atıfta bulunuldu. Saldırılar, Ukrayna’nın güç kaynağını bozmak için bir tür kavram kanıtı ve test alanı olarak görüldü.
İlk saldırı, Kremlin destekli bilgisayar korsanları tarafından oluşturulan BlackEnergy adlı bilinen bir kötü amaçlı yazılım parçasını yeniden amaçlıyordu. Saldırganlar, bu yeni BlackEnergy3 kötü amaçlı yazılımını Ukraynalı enerji şirketlerinin kurumsal ağlarına girmek ve ardından şirketlerin elektrik üretmek ve iletmek için kullandıkları denetleyici kontrol ve veri toplama sistemlerine daha fazla girmek için kullandılar. Saldırı, saldırganların, 225.000’den fazla kişinin altı saatten fazla elektriksiz kalmasına neden olan bir arızayı tetiklemek için güç dağıtımı ve iletiminde yaygın olarak bulunan meşru işlevleri kullanmalarına izin verdi.
2016 saldırısı daha karmaşıktı. Elektrik şebekesi sistemlerini hacklemek için özel olarak tasarlanmış sıfırdan yazılmış yeni bir kötü amaçlı yazılım parçası kullandı. Industroyer ve Crash Override adlarıyla anılan yeni kötü amaçlı yazılım, Ukrayna’nın şebeke operatörleri tarafından kullanılan gizli endüstriyel süreçlerdeki ustalığıyla dikkat çekiyordu. Industroyer, trafo hatlarının enerjisini kesmeleri ve ardından yeniden enerji vermeleri için talimat vermek için bu sistemlerle yerel olarak iletişim kurdu.
Ukrayna hükümeti Pazartesi günü yaptığı açıklamada, “2015 ve 2016 yıllarında Ukrayna’nın enerji sistemlerine yönelik siber saldırı deneyimi, operasyonlar yürütülürken kullanılacak” dedi.
Pazartesi günkü tavsiye, Ukrayna kuvvetlerinin Kharkiv’de ve aylardır Rus kontrolü altında olan diğer şehirlerde geniş toprak alanlarını yeniden ele geçirmesinden iki hafta sonra geldi. Rusya Devlet Başkanı Vladimir Putin geçen hafta, ülkenin Ukrayna’yı askeri işgalini desteklemek için 300.000 Rus vatandaşının seferber edilmesi çağrısında bulundu.
Rusya’nın İkinci Dünya Savaşı’ndan bu yana ilk kez yaptığı hareket, protestolara ve ülkeden kaçan çoğunluğu erkek Ruslardan oluşan bir diasporaya yol açtı. Ülke ordusunun bilgisayar korsanlığına olan güveninin artması, devam eden personel eksikliğini daha fazla zorlamadan hedeflere ulaşmanın bir yolu olarak görülebilir.
Ukrayna’nın elektrik şebekelerine karşı başarılı bir bilgisayar korsanlığı kampanyasının şansını değerlendirmek zor. Bu yılın başlarında, Ukraynalı CERT-UA, bölgesel bir Ukraynalı enerji firmasının ağı içinde yeni bir Industroyer türünü başarıyla tespit ettiğini söyledi. Industroyer2’nin dokuz elektrik trafo merkezine giden gücü geçici olarak kapatabildiği ancak büyük bir elektrik kesintisi tetiklenmeden önce durdurulduğu bildirildi.
Chris, “Ukrayna’nın şebekesini savunma yeteneği hakkında bir değerlendirme yapmak için doğrudan bilgimiz veya verimiz yok, ancak CERT-UA’nın bu yılın başlarında Ukrayna’nın elektrik trafo merkezlerini hedef alan INDUSTROYER.V2 kötü amaçlı yazılımının dağıtımını durdurduğunu biliyoruz.” Mandiant Endüstriyel Kontrol Sistemleri Danışmanlığı’nın teknik müdürü Sistrunk, bir e-postayla yazdı. “Buna ve Ukrayna halkının genel kararlılığı hakkında bildiklerimize dayanarak, Ukrayna’daki siber saldırıların sönümlenmesinin nedenlerinden birinin, savunucularının çok agresif ve Rus aktörlere karşı çok iyi olmaları olduğu giderek daha açık hale geliyor.”
Ancak Mandiant ve başka yerlerden araştırmacılar, elektrik şebekesi hacklerinin arkasındaki Kremlin destekli grubun adı olan Sandworm’un dünyanın en seçkin hack grupları arasında olduğunu da belirtiyorlar. Gizliliği, kalıcılığı ve yüzeye çıkmadan önce aylar hatta yıllar boyunca hedeflenen organizasyonların içinde gizli kalmalarıyla tanınırlar.
Pazartesi günkü tavsiye, elektrik şebekelerine yönelik bir saldırının yanı sıra, ülkenin Rusya’nın hızlanmasını beklediği diğer kesinti biçimleri konusunda da uyardı.
“Kremlin ayrıca, başta Polonya ve Baltık ülkeleri olmak üzere Ukrayna’nın en yakın müttefiklerinin kritik altyapısına yönelik DDoS saldırılarının yoğunluğunu artırmayı da amaçlıyor” dedi. Şubat ayından bu yana araştırmacılar, Rusya yanlısı tehdit aktörlerinin Ukrayna ve müttefiklerini hedef alan düzenli bir şekilde dağıtılmış hizmet reddi saldırılarının arkasında olduğunu söylediler.
