Industroyer (також згадується як Crashoverride) — це шкідливе програмне забезпечення, призначене для кібератаки на енергосистему України 17 грудня 2016. Атака порушила енергопостачання однієї п'ятої частини Києва і вважається масштабним випробуванням. Кібератака 17 грудня 2016 була другою кібератакою на енергосистему України за два роки. Перша атака відбулась 23 грудня 2015. Industroyer це перше відоме зловмисне програмне забезпечення, спеціально розроблене для атаки електромереж. У той же час це четверте зловмисне програмне забезпечення, націлене на автоматизовані системи керування технологічними процесами після Stuxnet, , та BlackEnergy.
Виявлення та найменування Зловмисне програмне забезпечення було виявлено словацькою компанією з безпеки в Інтернеті ESET. ESET і більшість компаній з кібербезпеки виявляють його під назвою «Industroyer». Фірма з кібербезпеки Dragos назвала шкідливу програму «Crashoverride». У 2022 році російська хакерська група Sandworm ініціювала відключення електроенергії в Україні за допомогою варіанту Industroyer, який влучно назвали Industroyer2.
Опис Детальний аналіз Industroyer показав, що зловмисне програмне забезпечення було розроблено для порушення робочих процесів промислових систем керування, зокрема тих, що використовуються на електричних підстанціях. Industroyer — це модульне шкідливе програмне забезпечення, його основними компонентами є наступні:
Головний бекдор використовується для контролю над усіма іншими компонентами шкідливого програмного забезпечення. Він підключається до своїх віддалених серверів керування, щоб отримувати команди від зловмисників. Додатковий бекдор забезпечує альтернативний механізм збереження, який дозволяє зловмисникам відновити доступ до цільової мережі, якщо основний бекдор буде виявлено та/або вимкнено. Компонент запуску — це окремий виконуваний файл, відповідальний за запуск компонентів корисного навантаження та компонента очищення даних. Компонент запуску містить певний час і дату активації; проаналізовані зразки містили дві дати: 17 грудня 2016 року та 20 грудня 2016 року. (Примітка: попередня дата була датою фактичної атаки.) Чотири компоненти корисного навантаження націлені на певні промислові комунікаційні протоколи, визначені в таких стандартах: IEC 60870-5-101, IEC 60870-5-104, і OLE для доступу до даних керування процесом (). Функції компонентів корисного навантаження включають створення карти мережі, а потім видачу команд конкретним промисловим пристроям керування. Компонент очищення даних призначений для стирання важливих для системи ключів реєстру та перезапису файлів, щоб зробити неможливим завантаження системи та ускладнити відновлення після атаки.
Див. також
Кібервійна Кібератака на Укренерго (2016)
Примітки
Подальше читання
1 жовтня 2009 р.