Colonial Pipeline - atak ransomware, który zatrzymał dostawy paliwa w USA | SEQRED

Wyobraźcie sobie rurociąg o długości ponad 8 800 kilometrów - od Houston w Teksasie po port w Nowym Jorku. Codziennie przepływa przez niego 2,5 miliona baryłek benzyny, oleju napędowego i paliwa lotniczego. To Colonial Pipeline - tętnica paliwowa wschodniego wybrzeża Stanów Zjednoczonych, odpowiadająca za 45% dostaw paliw dla tego regionu. 7 maja 2021 roku ta tętnica przestała bić. Nie dlatego, że ktoś wysadził pompownię. Nie dlatego, że huragan zniszczył infrastrukturę. Rurociąg zatrzymał się, ponieważ ktoś - siedząc tysiące kilometrów dalej - wpisał skradzione hasło do formularza logowania VPN.

To historia o tym, jak jedno hasło bez uwierzytelniania wieloskładnikowego sparaliżowało dostawy paliwa dla 50 milionów ludzi.

Wektor ataku - jedno hasło, zero MFA

Dochodzenie prowadzone przez firmę Mandiant (wynajętą przez Colonial Pipeline do analizy incydentu) ujawniło, że atakujący uzyskali dostęp do sieci korporacyjnej firmy przez nieaktywne konto VPN. Konto to nie było oficjalnie używane, ale pozostawało aktywne w systemie. Hasło do tego konta znaleziono w zestawie wykradzionych danych uwierzytelniających, dostępnych w dark webie - co sugeruje, że pracownik użył tego samego hasła w innym serwisie, który wcześniej padł ofiarą wycieku.

Kluczowy szczegół: konto VPN nie było chronione uwierzytelnianiem wieloskładnikowym (MFA). Wystarczyło jedno hasło.

Najwcześniejsze ślady obecności atakujących w sieci Colonial Pipeline datowane są na 29 kwietnia 2021 roku. Przez co najmniej osiem dni poruszali się po infrastrukturze IT firmy, prowadząc rekonesans, eskalując uprawnienia i przygotowując się do finalnego uderzenia. W tym czasie wykradli około 100 gigabajtów danych.

7 maja 2021 - godzina zero

Wczesnym rankiem 7 maja 2021 roku ransomware DarkSide zaszyfrował systemy IT Colonial Pipeline. Pracownik firmy zauważył żądanie okupu na ekranie jednego z komputerów. W ciągu kilku godzin zespół bezpieczeństwa potwierdził skalę ataku i powiadomił FBI.

I tutaj dochodzimy do faktu, który zmienia sposób myślenia o tym incydencie.

Rurociąg nie został zatrzymany, ponieważ ransomware dotarł do systemów sterowania przemysłowego (OT). Nie ma dowodów na to, że atakujący w ogóle przeniknęli do sieci operacyjnej. Pompy, zawory, systemy SCADA - wszystko to technicznie mogło dalej działać.

Colonial Pipeline wyłączył rurociąg, ponieważ utracił kontrolę nad systemem bilingowym.

Atak zaszyfrował systemy IT, w tym system klasy MES (Manufacturing Execution System) odpowiedzialny za pomiary przepływu paliwa i rozliczenia z klientami. Operator nie był w stanie zweryfikować, ile paliwa transportuje i komu je dostarcza. Bez możliwości wystawiania faktur i rozliczania odbiorców - a co za tym idzie, bez pewności co do integralności danych pomiarowych - firma podjęła decyzję o prewencyjnym wyłączeniu całego rurociągu.

To nie hakerzy zatrzymali dostawy paliwa. To decyzja biznesowa operatora - podjęta w warunkach utraty widoczności nad własnymi procesami - doprowadziła do sześciodniowego kryzysu na wschodnim wybrzeżu USA.

DarkSide - profesjonaliści z modelem biznesowym

Za atakiem stała grupa DarkSide, działająca od sierpnia 2020 roku. FBI i niezależni badacze wskazują na rosyjskie pochodzenie grupy - jej oprogramowanie ransomware automatycznie pomijało systemy z ustawieniami językowymi dla rosyjskiego i języków byłych republik radzieckich.

DarkSide działało w modelu Ransomware-as-a-Service (RaaS). Twórcy dostarczali oprogramowanie, infrastrukturę serwerową i narzędzia do negocjacji, a operacje przeprowadzali afilianci - niezależni operatorzy rekrutowani przez rozmowy kwalifikacyjne na forach cyberprzestępczych. Podział zysków wynosił od 75% dla afilianta (przy okupach poniżej 500 000 USD) do 90% (przy okupach powyżej 5 milionów USD).

Grupa stosowała taktykę podwójnego wymuszenia (double extortion) - najpierw kradzież danych, potem szyfrowanie. Jeśli ofiara odmówiła zapłaty za odszyfrowanie, DarkSide groziło publikacją skradzionych danych na dedykowanej stronie w sieci Tor.

Co ciekawe, DarkSide prezentowało się jako “etyczni przestępcy” - deklarując, że nie atakuje szpitali, szkół, organizacji non-profit i instytucji rządowych. Atak na Colonial Pipeline - z jego konsekwencjami dla milionów obywateli - najwyraźniej nie mieścił się w tej kategorii.

Chronologia kryzysu

Data	Wydarzenie
29 kwietnia 2021	Pierwsze ślady obecności atakujących w sieci Colonial Pipeline (dostęp przez skompromitowane konto VPN)
6 maja 2021	Kradzież ok. 100 GB danych z serwerów firmy
7 maja 2021	Ransomware DarkSide szyfruje systemy IT; firma powiadamia FBI
7 maja 2021	Colonial Pipeline wyłącza rurociąg prewencyjnie - brak możliwości rozliczeń
8 maja 2021	Firma publicznie potwierdza atak ransomware
9 maja 2021	Prezydent Biden ogłasza stan wyjątkowy; FMCSA wydaje tymczasowe zwolnienia dla transportu paliwowego
10-12 maja 2021	Panika na stacjach benzynowych - kolejki, braki paliwa, wzrost cen; ponad 10 000 stacji bez zapasów
12 maja 2021	Colonial Pipeline płaci okup: 75 bitcoinów (4,4 mln USD)
13 maja 2021	Firma wznawia pracę rurociągu; pełne przywrócenie dostaw zajmuje kolejne dni
14 maja 2021	DarkSide ogłasza zamknięcie operacji “z powodu presji ze strony USA”
7 czerwca 2021	Departament Sprawiedliwości ogłasza odzyskanie 63,7 bitcoina (ok. 2,3 mln USD)

4,4 miliona dolarów - i częściowy zwrot

W ciągu kilku godzin od ataku Colonial Pipeline - za wiedzą FBI - zapłacił okup w wysokości 75 bitcoinów, co odpowiadało wówczas 4,4 miliona dolarów. Decyzja była kontrowersyjna. CEO Joseph Blount publicznie przyznał, że była to “najtrudniejsza decyzja w jego 39-letniej karierze”, ale uzasadnił ją niepewnością co do skali ataku i czasu potrzebnego na przywrócenie systemów.

Ironia polegała na tym, że narzędzie deszyfrujące dostarczone przez DarkSide okazało się tak wolne, że Colonial Pipeline ostatecznie przywrócił systemy głównie z własnych kopii zapasowych.

Miesiąc później, 7 czerwca 2021 roku, Departament Sprawiedliwości USA ogłosił przełom. Nowo utworzona jednostka Ransomware and Digital Extortion Task Force, śledząc transakcje na publicznym rejestrze Bitcoin, zlokalizowała portfel, do którego trafiła większość okupu. FBI odzyskało 63,7 bitcoina. Z powodu spadku kursu bitcoina w tym okresie ich wartość wynosiła już tylko 2,3 miliona dolarów - ale sam fakt odzyskania funduszy był bezprecedensowy i stanowił sygnał dla grup ransomware, że kryptowaluty nie gwarantują anonimowości.

Lekcje dla operatorów infrastruktury krytycznej

1. Zależność OT od systemów IT jest realna i niedoceniana

Colonial Pipeline nie stracił kontroli nad pompami. Stracił kontrolę nad informacją - ile paliwa płynie i komu je dostarczać. System MES, który łączy świat fizyczny z procesami biznesowymi, okazał się single point of failure dla całej operacji. Wielu operatorów infrastruktury krytycznej nie zdaje sobie sprawy, jak głęboko ich procesy OT zależą od ciągłości systemów IT - ERP, MES, historianów, baz danych konfiguracyjnych.

2. Widoczność sieci to nie luksus

Colonial Pipeline nie wiedział, czy atakujący przeniknęli do sieci OT. Ta niepewność - brak widoczności na granicy IT/OT - wymusiła decyzję o prewencyjnym wyłączeniu. Organizacja z wdrożonym monitoringiem ruchu sieciowego na styku IT/OT mogłaby podjąć świadomą decyzję zamiast działać w ciemno. Więcej o narzędziach widoczności w kontekście systemów przemysłowych opisujemy w artykule o inwentaryzacji zasobów ICS.

3. MFA nie jest opcjonalne

Jedno hasło bez drugiego składnika uwierzytelnienia. Nieaktywne konto VPN, które nie zostało wyłączone. To nie zaawansowana operacja wywiadowcza - to podstawowa higiena bezpieczeństwa, której zabrakło. Problem zdalnego dostępu do systemów przemysłowych i najlepsze praktyki jego zabezpieczania omawiamy w osobnym artykule: Zdalny dostęp do systemów ICS - zagrożenia i dobre praktyki.

4. Plan reagowania musi uwzględniać scenariusze kaskadowe

Czy Twój plan reagowania na incydenty przewiduje sytuację, w której atak na IT wymusza zatrzymanie operacji OT? Czy wiesz, które systemy IT - billing, MES, ERP - są krytyczne dla ciągłości procesów fizycznych? Colonial Pipeline nauczył się tego w najgorszy możliwy sposób. Kompleksowe podejście do przygotowania na incydenty ransomware opisujemy w naszym przewodniku po ransomware.

5. Płacenie okupu nie rozwiązuje problemu

Narzędzie deszyfrujące od DarkSide było tak wolne, że firma i tak musiała odtwarzać systemy z backupów. 4,4 miliona dolarów kupiło głównie fałszywe poczucie bezpieczeństwa i czas - ale nie rozwiązanie. FBI i CISA konsekwentnie odradzają płacenie okupów, ponieważ finansuje to kolejne ataki i nie gwarantuje odzyskania danych.

Co stało się z DarkSide?

Tydzień po ataku na Colonial Pipeline grupa DarkSide ogłosiła zakończenie działalności, powołując się na “presję ze strony USA” i utratę dostępu do części infrastruktury. Eksperci od początku traktowali to oświadczenie sceptycznie.

Mieli rację. W lipcu 2021 roku pojawiła się grupa BlackMatter - z kodem źródłowym niemal identycznym jak DarkSide. Po jej zamknięciu w listopadzie 2021 roku część operatorów przeniosła się do ALPHV/BlackCat, co FBI potwierdziło w oficjalnym komunikacie z kwietnia 2022 roku. Grupy ransomware nie znikają - rebrandują się.

Podsumowanie

Atak na Colonial Pipeline nie był najbardziej wyrafinowanym technicznie cyberatakiem w historii. Był natomiast jednym z najbardziej pouczających. Pokazał, że:

jedno skompromitowane hasło bez MFA wystarczy, by sparaliżować infrastrukturę krytyczną,
granica między atakiem “tylko na IT” a konsekwencjami dla OT jest iluzoryczna, gdy systemy biznesowe (MES, billing) warunkują możliwość prowadzenia operacji fizycznych,
brak widoczności na styku IT/OT zmusza operatorów do podejmowania najgorszych możliwych decyzji - prewencyjnego wyłączenia,
grupy ransomware działają jak korporacje - z modelem biznesowym, afiliantami i obsługą klienta.

Dla każdego operatora infrastruktury krytycznej - w energetyce, transporcie, produkcji czy utilities - Colonial Pipeline powinien być studium przypadku omawianym na każdym przeglądzie bezpieczeństwa. Nie jako odległy amerykański incydent, ale jako scenariusz, który może powtórzyć się wszędzie tam, gdzie MES zależy od sieci IT, a sieć IT nie jest odpowiednio chroniona.

Colonial Pipeline - atak ransomware, który zatrzymał dostawy paliwa w USA