Rosjanie zgasili im internet satelitarny. Zaczęło się godzinę przed inwazją

Rosjanie potrzebowali zaledwie kilku godzin, żeby pokazać, jak bardzo internet satelitarny może zależeć od zwykłego oprogramowania działającego na Ziemi. 24 lutego 2022 r. tysiące modemów Viasat zgasły na Ukrainie, a skutki ataku rozlały się po Europie. Cztery lata później firma wykorzystuje narzędzie łączące sztuczną inteligencję z matematyką, żeby znaleźć podobne słabości zanim zrobi to kolejny napastnik.

24 lutego 2022 r. około godz. 3:02 operatorzy sieci KA-SAT zauważyli nietypowy ruch pochodzący z modemów znajdujących się na Ukrainie. Początkowo wyglądało to jak atak mający przeciążyć usługę. Później zaczęło dziać się coś znacznie gorszego.

Kolejne terminale po prostu znikały z sieci. Najpierw na Ukrainie, następnie również w innych częściach Europy. Łącznie atak dotknął kilka tysięcy klientów w samej Ukrainie i dziesiątki tysięcy modemów w innych państwach. Moment trudno było uznać za przypadkowy. Operacja ruszyła mniej więcej godzinę przed rozpoczęciem pełnoskalowej rosyjskiej inwazji.

Unia Europejska oficjalnie przypisała później cyberatak Federacji Rosyjskiej i uznała go za element przygotowania agresji na Ukrainę. Na Spider’s Web opisywaliśmy skalę awarii już kilka dni po rozpoczęciu wojny. Wtedy szczególnie mocno wybrzmiewało to, że przez awarię łączności około 5800 turbin wiatrowych firmy Enercon w Niemczech utraciło zdalny monitoring i sterowanie. Same turbiny nadal produkowały energię. Przestało natomiast działać połączenie, za pomocą którego ich operatorzy mogli je obserwować i zdalnie kontrolować.

Napastnicy nie przejęli kontroli nad KA-SAT znajdującym się na orbicie. Nie musieli też fizycznie atakować stacji naziemnej ani łamać szyfrowania sygnału lecącego przez kosmos. Słaby punkt znajdował się znacznie bliżej.

Późniejsze śledztwo wykazało, że atakujący wykorzystali po prostu błędną konfigurację urządzenia VPN i dostali się do zaufanego segmentu naziemnej sieci zarządzającej KA-SAT. Stamtąd mogli przemieszczać się dalej po infrastrukturze administracyjnej. Kiedy znaleźli się w odpowiednim miejscu, wykorzystali mechanizmy służące do zarządzania modemami klientów.

Do urządzeń trafiły destrukcyjne polecenia nadpisujące dane zapisane w pamięci flash. Modemy przestawały poprawnie się uruchamiać i nie były w stanie ponownie połączyć się z siecią. Badacze bezpieczeństwa zidentyfikowali później wykorzystane w operacji złośliwe oprogramowanie nazwane AcidRain. Był to tzw. wiper, czyli program zaprojektowany nie po to, aby szpiegować urządzenie, lecz po prostu zniszczyć znajdujące się w nim dane potrzebne do działania. Viasat musiał wysłać dystrybutorom prawie 30 tys. modemów zastępczych.

Viasat wyciągnął z tego bardzo kosztowną lekcję. Od około roku firma pracuje z amerykańskim startupem Atalanta nad technologią, która ma pozwolić spojrzeć na bezpieczeństwo inaczej niż klasyczny skaner podatności czy program antywirusowy. Efektem jest Argo, nowa komercyjna platforma zaprezentowana właśnie przez Atalantę.

Jej twórcy określają podejście jako software understanding, czyli dosłownie rozumienie oprogramowania. Sztuczna inteligencja jest tutaj tylko częścią całości. Argo łączy ją z metodami formalnymi – technikami matematycznymi pozwalającymi opisać zachowanie programu i sprawdzić, czy w określonych warunkach może wydarzyć się coś, czego projektant nie przewidział.

Klasyczne testy bezpieczeństwa mogą sprawdzić tysiące albo miliony scenariuszy. Nadal jednak pokazują wyłącznie to, co stało się w scenariuszach, które ktoś rzeczywiście przewidział i uruchomił. Nie dają gwarancji, że wariant numer 1 000 001 nie otworzy przed napastnikiem drzwi.

Przeczytaj także:

Metody formalne próbują opisać system matematycznie i udowodnić, że określone reguły będą zachowane niezależnie od drogi, którą wybierze program. Przykładowo można sprawdzać, czy dane z jednego segmentu sieci w żadnym możliwym stanie nie mogą dostać się do drugiego albo czy konkretnego polecenia administracyjnego nie będzie w stanie wykonać nieuprawniony użytkownik.

To dobrze pasuje do sytuacji Viasata. Atak z 2022 r. wykorzystał bowiem nie tylko złego wirusa, lecz przede wszystkim kombinację dostępu do sieci zarządzającej, zależności pomiędzy jej elementami i legalnych funkcji, których napastnik mógł użyć przeciwko właścicielowi systemu. Argo ma pomóc znajdować właśnie takie nieoczywiste ścieżki.

*Źródło zdjęcia wprowadzającego: Saravanan Narayanan, Pexels