Ciberatac masiv la Cadastrul Național: vulnerabilitate din 2021 exploată

Vulnerabilitățile din 2021 au fost cunoscute de prim-ministrul?

Generalul Anton Rog, șeful Centrului CyberInt de la SRI, a declarat că investigațiile au identificat compromisuri și vulnerabilități critice la nivelul anului 2021, probleme care au fost comunicate prim-ministrului la momentul respectiv, conducerii MDLPA și ANCPI. Activitatea ANCPI ar putea fi reluată complet săptămâna viitoare, estimează conducerea Agenției Cadastrale. Am cerut sprijinul instituțiilor, în primul rând STS ca administrator de cloud privat guvernamental pentru a ne găzdui.

De atunci am început procesul de migrare a aplicațiilor de la infrastructura noastră în cloud, a spus directorul IT ANCPI.

A spus că verificările, ransomware e-Terracea a fost eliberat pentru a debloca circuitul civil, cu restul aplicațiilor acum în curs de examinare. Lucrăm cu colegii din alte instituții pentru a lua măsuri.

Atacul a debutat vineri, 10 iulie, la ora 15:23, când atacatorul a exploatat o vulnerabilitate malware cunoscută din 2021 a unei mașini expuse public, care avea rolul de a gestiona autentificarea utilizatorului pe serverul de ePay ANCPI, a declarat oficialul DNSC. Expertul susține că a fost destul de simplu să ajungă la acel server.

De ce eșecul patch-urilor deschide ușa atacurilor laterale?

Mai târziu, atacatorul a instalat un script rău intenționat pe acel server care i-a permis să lanseze comenzile la distanță, să decripteze credențiale de administrator pe acel server și să se autentifice cu ușurință la un alt server din infrastructură care avea rolul de a gestiona identitatea utilizatorului care trebuie să plătească.

În contextul atacului, experții din SRI au subliniat că vulnerabilitatea exploată era deja publică în baza de date CVE de la începutul anului 2021, dar nu a fost aplicată niciuna dintre patch-urile de securitate recomandate pe mașina afectată. Această lipsă de actualizare a permis atacatorului să obțină acces inițial fără a necesita tehnici avansate de evadare a sistemelor de detectare.

De asemenea, analizatorii au constat că serverul compromis nu era izolat din punct de vedere al segmentării de rețea, ceea ce a facilitat mișcația laterală spre alte sisteme critice, inclusiv cel care gestiona datele cadastrale și cele privind drepturile de proprietate.

Autoritățile au confirmat că nu există dovezi de exfiltrarea datelor personale ale cetățenilor, dar investigațiile continuă pentru a determina dacă au fost efectuate modificări neautorizate în baze de date sau dacă au fost introduse derule persistente pentru acces viitor.

De asemenea, au fost notificate partile interesate, inclusiv operatorii de plăți electronice și notarii publici, pentru a verifica integritatea tranzacțiilor efectuate în perioada suspectă.