BSides Sofia 2023 - Hacking Attacks against Government Institutions

1:07↗Иляна Цанова, служебен кабинет. И

1:21↗последния стим беше в предишния редовен кабинет. Ще трябва минем май на добрия старач.

1:45↗Сега как се чуваме, ще трябва да... Да. Ими извинявам се за техническите

1:50↗проблеми. Тъй като на това събитие ще чуете много презентации, свързани с технологии, свързани с регулации, свързани с детайли по

2:02↗темата киберсигурност, аз реших, че е по-добре да говоря за един друг елемент, който е свързан с хората. Първо ще дам един контекст за това,

2:14↗що е то правителство или що е то публичен сектор и колко е голямо на нас. После бих искал да дадам един пример за човешката глупост, тъй като в крайна сметка всичко опира до хората, поне все още. След това ще дам едни примери за престъпно нехайство или gross negligence и после ще говоря за конкретни атаки. Като съм избрал две, като има възможност, после да зададате въпроси по по-известните атаки, които са случвали и са ясни в последните няколко години. Първо за тези, които не са запознати с това какво представлява публичния сектор. Само в изпълнителната власт в България има 708 администрации.

3:05↗Това са отделни структури с обикновено

3:10↗отделни IT-т, така да се каже, с Тотално различни отделни практики.

3:17↗Често пъти тези структури са толкова апокрисни,

3:23↗че никой не ги знае къде са и какво правят. В Съдебната власт има 301

3:31↗структури. Това са съдилища, прокуратури, районни окръжни, апелативни. Съдебната власт е отделна губерния. Тя си е отделна власт по Конституция, и отделна губерния включително и по отношение на информационните технологии и сигурността. Но по-интересното число е какъв е броя на юридическите лица в публичния сектор. Това са юридически лица, които са свързани от една или друга юридическа форма като собственост

4:01↗с държавата. Тоест има държавна собственост в тях с провладаващо отчастие. Тук говорим за 14 000 юридически лица към миналата година. Това включва всякакви общински фирми, всякакви общински агенци, които са извън тези, които са регистрирани в административния регистрър 708. Може да си представите какъв е мащабът. Инфраструктурата на държавата е разположена в най-различни килери,

4:29↗най-различни села и паланки и сгради. Сървер има в над 2300 сгради в страната, за компютъри никой не знае. И понеже казах, че презентацията ще бъде и въобще това, което ще говореше предино, свързвано с хората, защото в крайна сметка най-често проблема се оказва зад вълното устройство или проблема между сто и монитора. И каквито и технологии да прилагаме, каквито и процедури и правила да пишем, каквито и закони и регулации да измисляме, в крайна сметка поне на този етап Нъщата винаги опират и тясното място или по-свощавата брънка са хората. И както е казал Айнштайн, има две безкрайни неща – Вселената и човешката глупост, но не съм сигурен за Вселената.

5:26↗Понедъл като ChatGPT или GPTXX taken over или Skynet taken over, ще продължаваме да зависиме от човешките действия или бездействия, те имат последствия. в настоящата презентация ще покрия глупостта и нехайството и резултата от формата на това, какво се случи от някакви конкретни атаки. Иначе има още аспекти. Имам аспекта с некомпетентността, който не е непременно свързан с

5:54↗липсата на възможности за образование, по-скоро с нежеланието човек да се образува и да се развива през целия си живот. Корупцията, като корупцията опира не само до това, когато се купуват технологии или когато се неща, ами и корупцията по отношение на това кой е склонен да направи срещу пари. Тъй като прекалено много внимание се обръща на защитата отвън, там се хвърлят основните усилия, там се хвърлят основните средства, но всъщност е много по-ештимно и много по-лесно да намериш вътрешен човек, който да ти свърши работа. За да ти займеш някакви информации или документи,

6:32↗Или дали за да направиш беля, или дали за да ти изталира задна вратичка, през която да влезеш и да си вилнеш в една мрежа. Също така го имам момента с специалните интереси, което да кажем, че е ефемизъм за шпионаж или за

6:47↗контролирано изтичане на информация, когато има нужда от това, за да се организира дана на политическа кампания или смерт кампания. Разбира се, ги има моменти с саботажа и с отмъщението, има най-малко примери в нашата държавна администрация, където някой, който е бил настъпен по опашката или е бил заплашен или уволнен даже, е

7:09↗направил беля съвсем съзнателно, за да си отмъсти.

7:16↗Да започнем с глупостта, ще дам един много конкретен пример, вече съм го

7:22↗обяснявал публично. Каква е връзката между пламен Оршарски и Кевин Митник? В смисли, има някой, който не знае кой е Кевин Митник. Защото аз съм дъртомагаря и може би има хора, които не знаят кой е Кевин Митник. Окей, ще кажа. Кевин Митник е един много известен, усъден хакер, който всъщност никога в живота си не е хаквал нищо.

7:42↗Никога не е използвал технологични средства за да хакне мрежа, компютърна или за да проникне в някакъв мейн фрейм, защото той е оперирал по времето, когато мейн фреймите още бяха

7:56↗масов феномен. Като успява да влезе в мрежите на не една и две банки, служби в щатите и т.н. И той е използвал просто фишинг. Първообраза на фишинга. Без фишинг имейли, просто с телефонни обаждания и с подходящи психологически трикове, измъквал пароли, кодове и т.н. от неподозижащи и полезни идиоти. Било то менеджери, било то IT-та. Е, добре, какво общото между него и Пламен Орешарски? Пламен Орешарски, както всички знаем, е бивш български премьер, който всъщност никога не управлява сам по себе си. Тук става въпрос за една чудесна практика, която аз за първи път научих за нея 2010-та година и вече в последната си роля успях да прекратя 2022-та година. Тази практика е как се създават потребителски акаунти, какви начални пароли се създават те и всъщност какъв е процес. В Министерски съвет за тези 12 години

8:58↗IT-тата, които вече не са там, повечето може да са ги върнали,

9:03↗създаваха пароли, които състояха от инициалите на съответния потребител и 4 цифри.

9:10↗Познайте кои са цифрите. 1, 2, 3, 4, разбира се. Имах сих аз да е нещо по-сложно. По-интересното нещо е, че... Аз това го научих случайно от колеги в 2010-те година, когато бях притрач от Реков Министерство на економика. Обаче като станах съветник на Румяна Вачварова 2014-та края,

9:33↗в един момент трябваше ми направят аккаунт Министерски съвет. И какво беше моето отчудване, когато моята начална парова беше VNO234. Обаче по-интересното нещо е, че в ефективната директория така почвам да разглеждам и да гледам какви други аккаунти има. Гледам,

9:51↗че има повършарски габермент беге. и много други бивши известни лица от

9:58↗изпълнителната власт. И се оказа, че акаунта нито е визеблиран, нито паролата е сменена. Площинската отходи беше празна, което може да е защото човека като си е подал ставката и е изтрил, може да е защото никога не е получавал мейл, може би инструкцията, които му спускаха, не са му ги спускали по мейл, може би по почтенски гълви, на флажки и така нататък, но това си беше така

10:22↗Една устойчива практика, както се оказа. Тогава не можахме да се преборим, тъй като Министерски съвет, вие си мислите, че някой като е вице-премьер, всъщност има много власт. Не е така. Имаше една администрация, която се управлява от едни главни секретари. Главният секретар е силия кардинал във всяка една администрация. Главните секретари са най-важните лица в администрацията, тъй като от тях зависи всичко, което е свързано с операции, всичко, което е свързано с самата администрация. И ти може да си министр, може да си вице-премиер, ако главният секретар има съответен гръб и е нагъл, може да си прави каквото си иска. Това е реалността. Аз не съм политически коректен, не съм политик, говоря в прав текст. Та, главният секретар не е безизвестния Весо Даков в Министерски съвет, човек, където беше замесен с... така че изпревари доста хора, за

11:16↗да си транспортира черен дроп. с преборисци роздъци, това стане повично известно

11:21↗по-миналата година. Този човек не сменяем главен секретар до 10 години. Дума не дължа да се издума, нещо да се промени, нещо някой да бъде наказан, уволнен, нещо да се промени в процедурите, докато в крайна сметка вече не беше главен секретар. Този проблем 12 години по-късно могаше да бъде приключен. Въпреки сега не съм сигурен, защото

11:44↗той се върна. Не като главен секретар, но сега го върнаха. Пак на важна позиция, шеф на канцеларията. В крайна сметка, нещата опират до хора. Каквато и технология, каквото и знание да има, дори да знаем, че вратата е отворена, понякога не е толкова лесно да се затвори. Да минем на темата за нехайството и gross negligence.

12:11↗Това клише ли е? Някой да си забраве ключовете в колата и да си заключва вратата и да няма друг избор, освен да си строши стъклото и да ги извади или да повика ключар, но ако си някъде далече, може да не можеш да намериш ключар. Аз съм си строшил стъклото на колата. Заключи си един път на един плащ на морето, далече от цивилизация, телефонна и ключовете бяха вътре. Не беше толкова трудно да взема един камък, да си строши стъклото. После, разбира се, ми кажа на страхователите, че на паркинг са ми го щупили. и да си измъкна ключовете.

12:47↗Обаче не говорим за толкова тривиален случай, говорим за едно друго нещо. За съжаление е много ситно, за да се види. Но ето нещо, няма да споменавам кое е мястото, защото там още е такът разследвания. Оставя въпрос за следното нещо. Организация с много сервери, в която

13:10↗има много думе на администраторски аккаунти в активната директория и за удобство на администраторите, паролите на всеки домей на админски аккаунт, които са различни, хубави, сложни пароли, са записани в атрибута Description в активната директория. И всъщност е достатъчно да си един authenticated user, даже в предене случай най-нужно е да си authenticated user, за да направиш едно коире към активната директория и да извадиш списка на потребителите. Пропо името Description и още някако атрибута са задължително публични, т.е. може да ги прочете всеки.

13:43↗Разбира се, в същата тази организация, без да се очудваме, имат на Firewall, ексепшн за TCP порт 3389, RDP, Remote Desktop. Много удобно нещо, особено в COVID е много удобно, защото седиш къщи и си администрираш серверите.

14:02↗Всички знаем колко е сигурно това, нали? Това може да се обърка?

14:08↗Ами, когато това е практика, която където се вика в

14:15↗всяка една лекция, във всеки един курс, във всеки един разговор на тема сигурност, във всеки един учебнин се казва, че така не се прави. Та не, но това е практика. И тази практика, между другото, не е само в тази организация конкретната. Специално за паролите в description полето съм го видял на едно място. Но

14:37↗ето утреш има лекция и Божидар Божанов. Той ще може да разкаже точно колко правителственни организации си имаха такива exception, си имаха отворени RDP портове и за 6 месеца някакси успяхме половината да ги накараме доброзорно да ги затворят. Тоест, вие можете да сте сложили най-жестоките firewall, intrusion prevention системи, секвисиеми и така нататък. Тук говорим за абсолютно легитимът достъп, който един администратор може от домашния си компютър да влезе и да си прави нещо в мрежата. Никой не знае той какво прави на домашния си компютър, колко порно гледа, какви malware има инсталирани и т.н. Така че пак копираме до хората.

15:32↗Друго известно нещо, което всички знаем за държавната администрация е, че много от компютърите в нея са още с Windows XP, Service Pack 3. Някои даже не са и с Service Pack 3. Но това не е темата на този пример. Просто са готени картинките, врата в полето и един леко почупен и пач над Windows XP. Също сговорим за друг безумен случай.

16:01↗Wi-Fi мрежа, скрито SSID, WPA pre-shared key

16:09↗Сигурност. Формуер, който не е апдейтван от 10 години. 40%

16:16↗сила на сигнала през улицата. От сградата на много важна администрация. Една от най-важните в България. В чиято мрежа няма сегментация, няма VLAN. Всичко е в една мрежа. Компютрите, да, има и с XP, има и всякакви. не са пачвани, разбира се, от

16:42↗много време. Това може да се обърка и дали става въпрос за безхаберие

16:49↗или за някакво специфично намерение. Не съм го написал в презентацията, ще го спомена. Оказва се малко по-натам, това разбира се безобразие беше затворено бързо, но се оказва, че точно през улицата, в срещната сграда, Офис има една интересна фирма. Руски телеком.

17:15↗Руски телеком, чието бизнес е странен, защото те всъщност оперира виртуален мобилен оператор в Черна гора. Някакси триминиват трафики в България, наприкъч в България, знаете, нямаме виртуални мобилни оператори. И съобщно взето се занимават с много неясни неща. Тази мрежа можеше човек да си седне и в колата на улицата и да си се закачи към нея. Паролата не беше особено сложна, пък и то не е нужно да е много сложно, през това е, че говорим за WPA, даже не WPA 2, или Enterprise, или 3 и да си праве каквото си иска. Интересното нещо беше, че

17:59↗може ще се наблюдава в реално време и някои от мониторинг системите в тази организация.

18:04↗Просто, защото те бяха достъпни през веб-интерфейс без парола.

18:11↗Понякога в България винаги се издаваме всъщност за въпроса. За какво става въпрос? За некомпетентност, за безхаберие, за саботаж, за корупция. Обикновено се оказва по-малко или по-много от всяко едно от тия неща. И сега да минеме на конкретните примери за хакерски атаки. Избрал съм две хакерски атаки, с които ми се наложи да се занимавам през миналата година. Много са ситни нещата, затова ще трябва колкото и да е контропродуктивно да ги попрочета и да ги разкажа. Български пощи. Всички знаем, че Български пощи е една организация, която хем имаме някакви сантименти към нея, хем изпълнява важна социална функция, поне в България. Хем

18:57↗Тя не може да бъде преструктурирана толкова лесно и оптимизирана или модернизирана, защото веднага скачат синдикатите и казват няма да се кръщавате хора, няма да режете офиси. Крайна сметка Българския площа поддържа офиси в 2700 населени места.

19:15↗Най-близката по размер мрежа от физически офиси, частна или държавна, е на МЕВЕРЕ. Репелута има в 306 населени места. Т.е. тази мрежа е около 10 пъти по-голяма.

19:29↗В бъргарски площа има 9000 нещо компютъра, 13000 човека, само да си вида времето. Добре, виждаме се добре по график. 2300

19:41↗от тях се развира се с Windows XP Service Pack 3. Повечето е инфраструктура, централизиране, виртуални сервари, има си backup, читав дейте център са нещата.

19:54↗Обаче, X5-та. Обаче някои по-старички сервери, на които има купени лицензии за антивирусен софтвер, не че те биха помогнали в този случай, дори не бяха инсталирани. Какво се случи? Случи се, че имаше криптоатака, доста успешна, която успя да унищожи абсолютно всичко в електронен вид в български пощи. Всичките им системи, бази данни, пощта, файлови сервери и не само в София, където се сетите. Анализа в последствие показа, няма да влизам в грандиозни детайли, тъй като там нашата прокуратура още разследва.

20:36↗Може би следващите 10 години може да научим нещо. Но

20:42↗се оказа, че всъщност в мрежата е планикнато около две седмици преди да се случи самата атака. Момента на активирането на криптовируса е избран много добре уикенда, преди да започне раздаването на великнеските добавки за пенсиите. Това само по себе си нямаше да е много странен факт да се отличава, ако в този момент не се бяха случили други криптоатаки и други опити за атаки, за които ще споменам след малко.

21:10↗Разбира се в контекста на войната в Украина, в контекста на зачистилите си якви опити и така нататък за атаки, това няма как да не е подозрително. В крайна сметка се оказа, Хората са си качили разни много интересните учета, инструментчета, дипломнали си ги по разни сервери, тиято учета са указах, че са писани на Паскал, за който не знае. Паскал продължава да е популярен в Русия. Също така самият криптовирус, той беше използван стандартен, някакъв сравнително стар криптовирус, бойлер плейд, леко модифициран, който имаше интересна логика. Не се стартираше ако

21:51↗на машината са в списък от държави и в списъка съдържаща общозет от държавите от бившия съветски съюз. Принципно има ни такъв лав, че ако изглежда като падка, крака като падка и дриска като падка, най-вероятно е падка. Не казвам, че е падка. Така изглежда.

22:14↗Какво се случи по време на такт? За атаката научих като ми се обадиха в 8 сутринта. Ле-ле-ле, маля-ле, тука какво стана? Моментално се задействаха служби, данс, серцентъра, ето пешо до сега го реше. По-интересни въпроси обаче, че се оказа, че български пощи някой в един момент ги изкара от списъка на обекти от критичното инфраструктурно. И всъщност никой не отговара за тях. Те не са критична инфраструктура. Какво голяма работ са български пощи?

22:49↗И всъщност никой няма юрисдикция на тях. Никой не може да нещу. Дан са, ако са им в правомощията и български пощи са в списъка, те могат да издават и задължителни разпореждания. Ако не са, не могат. Така се отказва, че работи нашата нормативна уредба. Тър, от не 6 часа, докато ръководството на български пощи най-накрая чуе, какво му се казва, за да спрат достъп от интернета до серверите и да спрат серверите. През това време, разбира се, бекъпа, който към 9-те сутърнита беше жив и здрав, вече и той беше криптиран. Тоест е ни 6 часа, в които едно почестване, ама сега какво ще стане, ако ги спреме, ама какви ще са последствите, а какви са последствията? Всичко си мина на хартия. Хратията има

23:33↗и полезно нещо, защото български пощи не случайно до ден днешен там има едни... служителки, които си... Той си пишете в тетрадката. За всеки случай. Честно казано, ево. Защото много от нашата можаха се възстановят именно от хартия. Като процеси.

23:51↗Не се загубих абсолютно всички бази и така нататък, защото се укача, че част от системите работят в хибриден режим, т.е. third party облачни софтвер за сервис системи, специално тия за логистика за международните пратки и така нататък, които имат локална база, т.е. това спаси поне международните пратки. Като анекдот, точно в този момент си поръчах нещо от чужбина с куриер, скъпа пратка и жена ми поръча същото нещо, заставка с български пощи. Един месец по-късно куриерската пратка още не беше пристигнала, български пощи в разгара на цялото мазало я докараха от Англия за три дена. Не знам как стана това нещо, още няма моят горо.

24:33↗Чулеса се случват. Между другото снимките, не знам дали се вижда много добре, това е лицето на Централна поща, това е гърбъ на Централна поща, втората снимка, откъдето се влиза в служебните помещения, там между другото се влиза и в... Аха, не микват и пръс. Там си влязох и си разходих преди някой да ме пита какъв си. По-интересното нещо е, че всъщност поне в първите... 2-3 месеца нямаше някой проактивно да иска откуп, да иска биткоин. Разбира се, като има криптоатака винаги и лоб пеперите на серверите се заменят с някакъв скрин, някакъв текст, който казва ето към на този адрес пратете ни биткоин и ще пратим ключ. Знаете, че само около под 5% всъщност хората платили и получават ключ и горе от 3-4% от тия, които са пострадали, се оплакват. Така че всъщност процента спевамо се много-много нисък. имаше призиви от

25:33↗специалисти, от експерти, защо държавата не плати и така нататък. Имаше всякакви такива тъпоти.

25:39↗Па така за български почти. Само че по същото време се случиха още две криптоатаки. Едната беше срещу Кевър. Ах, каква изненада. Защото Кевър в крайна сметка там трябваше решава затока, за газа, за това, за това и срещу агенцията за беженците, която в този момент трябваше да развихри жестока кампания за регистрация на украински беженци за временна закрива. Те, за да се възползват от статута си лица под временна закрива, лица изседени от украина поради войната, под временна закрива, трябваше да бъдат регистрирани. Ако не бяха регистрирани, то можем да им помогнем, то можем да ги не станим. В крайна сметка България беше първата държава в Европа, която спя да постигне 100% регистрация.

26:23↗За тази цел системата на Агенция за беженците, която е писана преди

26:30↗20-ни ако години. Какър рада е една вече дама, която скоро ще се пенсионира дурата година, но е добър програмист и нейните колеги и в крайна сметка тази система продължава да е жива и да работи. Тя работи в fair gap-тата мрежа.

26:47↗И всъщност криптоатаката срещу Агенция за беженците разбира се да такуваше администрацията. Деловодна система, мейл сервер, файлови сервери и т.н. Успешна беше

27:00↗Слая болгана спяха да бъздисат бекъпите. Разликата за български почти е, че IT-то, макар и доста по-млад и неопитен, но поне послушен, му отне 15 минути за да дръпне шаутъра на техниката. Защото дръпане на шаутъра, защото като нямаш други инструменти за реакция, най-добре е да дръпнеш тепсела. Не, че винаги помага, често пъти не помага, но е по-добре.

27:23↗Та в крайна сметка не беше засегната системата за регистрация. Освен това, системата за регистрация съдържа и доста чувствителна информация. лични данни, особено за беженци, които

27:34↗бягат от война, здравословна информация, семейни връзки, много-много деликатни неща, които

27:41↗има опасност за сигурността на тези хора. Така че, слава богу, там нямаше никакъв проблем от една страна, защото by design нещата са направени като хората,

27:54↗поне, защото се отнася до регистрационната система и второ, заради бързата реакция.

28:01↗В крайна сметка разликата беше в това, че ако ние бяхме загубили тази база, данни с регистрацията, ще ще да настане хуманитарна криза.

28:13↗Български пощи, ако не беше успява да възстанови работата на поразнаването на пенсиите на хартия, също ще ще да създаде хуманитарна криза за българските пенсионери. Хората може би подценяват това, но да привидно незначителни или периферни системи, могат да доведат до чисто човешки трагедии. Някой да не може да има какво да яде, да не може да си плати сметката, на първ поглед изглежда голяма работа, ще се обага на някой приятел. Да, не, ако си пенсионер в село Сурлело и очакваш пощаленото да ти донесе пенсията, защото български почти са носили по време на COVID-а на 600 000 български пенсионери пощата на ръка. Не мога да ги мисля тия пощаленец, трубата с кеше, как се разхожат по селото и раздават пенсията, но това се е случвало.

28:58↗По същия начин се отнася когато става въпрос за майки с деца, които биявят от война и които противно на пропагандата, колко жиповете с как би калят помоловете, и такива има разбира се, от 40 милиона, съема известно количество богати хора, но масата хора бяха хора в нужда, хора, които нищо не е останало от домовете им. И тези хора ако останат без подслон и без храна с децата, какво правим? Хуманитарна криза.

29:27↗Мога да спомена и много други безобразия, които съм наблюдавал и които сме се опитали нещо да направим. Блеждар отре не знам точно това ще презентира, но

29:36↗иницирахме някакви спешни мерки, които не мога да влязе за тях в детайли, които се изпълняват и които повдигнаха сигурността на критични администрации доста в последната една година, поне що се отнася до защита от ДДОС Атаки и то не с Cloudflare по domain name. Говорим за

30:01↗истинската доза защита, с кръвни центру, облачност в чужбина,

30:07↗управление през BGP и така нататък. Също така е по отношение на системи, които да

30:13↗пазят админите. Тоест, администраторският достъп на админите е да може да се контролира. Защото в крайна сметка кой пази полицаите.

30:26↗И защо презентацията я насочих в тази посока? Защото тук в залата има доста хора, които занимават с киберсигурност, но не знам колко от вас имате този опит с човешкия фактор, защото в частния сектор човешкия фактор пак съществува, пак е проблем, но не е толкова драматично изразен, колкото в публичния сектор. И мобата ми е да ви светне една червена лампа и следващия път, когато мислите за... секьюрити архитектура или за мерки по информационна сигурност, просто да не подценявате човешкият фактор, да не подценявате

31:02↗полезните идиоти, да не подценявате простите идиоти, да не подценявате

31:09↗незаинтересоваността и безхаберието на хората. Защото, квото и да направите като технология, накрая някой си записва пародата на монитора или си пуска

31:22↗Wi-Fi Access Point и си го закача в AirGap-натата мрежа. Това не беше в агенцията, е на друго място. Пожелавам ви приятен уикенд и

31:34↗да си изкарате добра.