Λαβράκι βγήκε από τις εξετάσεις της Υποδιεύθυνσης Ηλεκτρονικού Εγκλήματος της Αστυνομίας Κύπρου για τις τρεις κυβερνοεπιθέσεις σε βάρος του Πανεπιστημίου Κύπρου, του Τμήματος Κτηματολογίου και Χωρομετρίας και του Ανοικτού Πανεπιστημίου.
Σύμφωνα με αρμόδια πηγή του «Φ», εντοπίστηκε η προέλευση της επίθεσης του περασμένου Μαρτίου στους δυο πρώτους οργανισμούς, με αποτέλεσμα να προκύψουν σημαντικά στοιχεία. Στη βάση αυτών, οι δράστες των κακόβουλων επιθέσεων λογάριαζαν να «πλήξουν» τα ηλεκτρονικά συστήματα δυο άλλων ημικρατικών οργανισμών της Κύπρου, αλλά και κρίσιμες υποδομές ευρωπαϊκών και άλλων χωρών.
Ήδη έχουν ληφθεί μέτρα για αποτροπή πλήγματος στους δυο αυτούς ημικρατικούς, ενώ έχει ενημερωθεί σχετικά και η Ευρωπαϊκή Αστυνομία (Europol) με στόχο να προστατευθούν από ενδεχόμενη κυβερνοεπίθεση και οι υπηρεσίες άλλων χωρών που βρίσκονταν στο στόχαστρο.
Να σημειωθεί ότι από τις πληροφορίες του «Φ», προκύπτει ότι ενδεχόμενη επίθεση στους εν λόγω οργανισμούς του ημιδημόσιου τομέα, θα προκαλούσε σοβαρά προβλήματα. Κι αυτό επειδή, λόγω της φύσης των εργασιών τους, έχουν μεγάλο όγκο αρχείων με προσωπικά δεδομένα κατοίκων της Κύπρου, καθώς και άλλες ευαίσθητες πληροφορίες.
Πώς ξετυλίχθηκε
Το κουβάρι άρχισε να ξετυλίγεται αμέσως μετά την έναρξη του ερευνητικού έργου των αρμόδιων στελεχών της Αστυνομίας για την εκδήλωση των κυβερνοεπιθέσεων στα συστήματα του Πανεπιστημίου Κύπρου και του Κτηματολογίου. Εντοπίστηκαν ίχνη που οδήγησαν στον διακομιστή (Command and Control -C&C- Server), μέσω του οποίου ο/οι χάκερ επιχείρησαν να πλήξουν τα συστήματα του Πανεπιστημίου Κύπρου.
Η Υποδιεύθυνση Ηλεκτρονικού Εγκλήματος εντόπισε τον εν λόγω διακομιστή σε τρίτη χώρα. Εν συνεχεία, έκανε τις δέουσες ενέργειες (σε τέτοιες περιπτώσεις γίνονται αιτήματα δικαστικής συνδρομής ή χρησιμοποιούνται και ανεπίσημα κανάλια) και εν τέλει απέκτησε πρόσβαση στον εν λόγω διακομιστή (server). Συγκεκριμένα, εξασφάλισε αντίγραφό του.
Κατόπιν επεξεργασίας των δεδομένων του διακομιστή από το Δικανικό Εργαστήριο Ηλεκτρονικών Δεδομένων (ΔΕΗΔ) της Υποδιεύθυνσης Ηλεκτρονικού Εγκλήματος της Αστυνομίας Κύπρου, εντοπίστηκαν στοιχεία που φανέρωναν τις μέχρι τώρα κυβερνοεπιθέσεις σε υπηρεσίες κρατών (ανάμεσά τους και η Κύπρος), αλλά και τα επόμενα κτυπήματα των χάκερ. Βρέθηκαν ίχνη επιμόλυνσης σε άλλες διευθύνσεις διαδικτύου (domains).
Συνολικά εντοπίστηκαν 60.000 διευθύνσεις διαδικτύου (domain names). Ανάμεσα σ΄ αυτές τις διευθύνσεις ήταν οργανισμοί που κτυπήθηκαν, συμπεριλαμβανομένων του Πανεπιστημίου Κύπρου και του Κτηματολογίου, αλλά και μελλοντικοί στόχοι σε ευρωπαϊκές και τρίτες χώρες.
Καθίσταται σαφές ότι το Κτηματολόγιο και το Πανεπιστήμιο Κύπρου πλήγηκαν από τον ίδιο χάκερ. Ο τελευταίος πιστεύεται ότι απέκτησε τα domain, που έθεσε στο στόχαστρο με κακόβουλο λογισμικό, από το σκοτεινό διαδίκτυο (dark web). Στον εν λόγω διακομιστή υπήρχε λογισμικό το οποίο εντόπιζε αδυναμίες των λειτουργικών συστημάτων διάφορων οργανισμών. Σε τέτοιες περιπτώσεις, εφόσον αποκτάται πρόσβαση στα αρχεία, συνήθως αυτά «κλειδώνονταν» από τον χάκερ και στη συνέχεια ζητούνται λύτρα για να αποκρυπτογραφηθούν (extortion/εκβιασμός). Πρόκειται για το modus operandi, δηλαδή, τη γνωστή μεθοδολογία των δραστών τέτοιων επιθέσεων.
Στην περίπτωση της Κύπρου, σύμφωνα με αρμόδια πηγή, αποκτήθηκε πρόσβαση σε αρχεία κάποιων εκ των κρίσιμων υποδομών που επλήγησαν από τους χρήστες του κακόβουλου λογισμικού. Με άλλα λόγια, προσωπικά στοιχεία κι άλλες ευαίσθητες πληροφορίες έχουν διαρρεύσει σε έναν βαθμό στους χάκερ. Σύμφωνα πάντα με την ίδια πηγή, δεν είναι τυχαίο που τα πανεπιστημιακά ιδρύματα και το Kτηματολόγιο, ενημέρωσαν σχετικά την Eπίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Σε ό,τι αφορά τον εντοπισμό του δράστη που έχει την ευθύνη για τις δυο επιθέσεις, σε Κτηματολόγιο και Πανεπιστήμιο Κύπρου, αντίστοιχα, δεν είναι εύκολη υπόθεση. Τα στοιχεία που διαβίβασε η Αστυνομία Κύπρου στη Europol, θα συγκριθούν με άλλα δεδομένα που έχει στη διάθεσή της η ευρωπαϊκή Αστυνομία (υπάρχει βάση δεδομένων) και ενδεχομένως να προκύψουν ενδείξεις για τον/τους χάκερ. Ωστόσο, το ενδεχόμενο αυτό δεν πρέπει να θεωρείται τόσο πιθανό.
Ο εντοπισμός δραστών
Πάντως, είναι γεγονός ότι σε άλλες χώρες και δη στις ΗΠΑ καταγράφονται επιτυχίες σε ό,τι αφορά τον εντοπισμό δραστών των κυβερνοεπιθέσεων. Ωστόσο, άτομο με καλή γνώση των δεδομένων και πραγματογνωμοσύνη, το οποίο μίλησε στον «Φ», σχολίασε ότι το θέμα δεν πρέπει να υπεραπλουστεύεται.
Υπέδειξε ότι «στην Αμερική ένας εξεταστής υπόθεσης έχει την ευχέρεια να αιτηθεί ακόμα και ένταλμα προκειμένου να ‘χακάρει’ τον διακομιστή ενός υπόπτου προσώπου». «Δεν έχουν όλοι τα ίδια όπλα», ανέφερε χαρακτηριστικά.
Η εικόνα
Ο εμπειρογνώμονας μιλώντας στην εφημερίδα μας, ανέπτυξε με απλούς και κατανοητούς όρους, πώς ενεργούν οι επιτήδειοι και ποια κατάσταση προκαλείται όταν γίνει κακόβουλη επίθεση.
Παραθέτουμε τα κυριότερα σημεία των τοποθετήσεών του:
– «Ο στόχος συνήθως είναι ο εκβιασμός (extortion) με στόχο την αποκόμιση οικονομικού οφέλους. Η μέθοδος που χρησιμοποιείτο ήταν η επιμόλυνση συστημάτων με κακόβουλο λογισμικό, μέσω e-mail. Όταν οργανισμοί και μεγάλες εταιρείες άρχισαν να λαμβάνουν επαρκή μέτρα κυβερνοασφάλειας, τότε και οι χάκερ, διαφοροποίησαν τη μεθοδολογία τους».
– «Άρχισαν να σκαρφίζονται διαφορετικούς τρόπους κι αφού δεν μπορούσαν να χρησιμοποιήσουν ηλεκτρονικό ταχυδρομείο για να πετύχουν τον στόχο τους, εστίασαν στον εντοπισμό των αδυναμιών των λειτουργικών συστημάτων. Ο στόχος πάντα παραμένει ο ίδιος. Να κλειδώσουν ή να υποκλέψουν αρχεία, μέσω των malware, δηλαδή των κακόβουλων λογισμικών. Στη συνέχεια όσοι έχουν ως στόχο τον εκβιασμό, απαιτούν χρηματικά ποσά για να δώσουν ξανά πρόσβαση στα αρχεία».
– «Οι κρίσιμες υποδομές στην βάση ευρωπαϊκής οδηγίας, έχουν την υποχρέωση να λαμβάνουν αυστηρά μέτρα ασφαλείς. Φροντίζουν, τουλάχιστον, να έχουν διπλά και τριπλά αντίγραφα ασφαλείας (back ups). Άρα, όταν πληγούν τα συστήματα ενός οργανισμού του δημοσίου, θεωρείται σχεδόν βέβαιο πως τα αρχεία θα ανακτηθούν. Το θέμα, όμως, είναι ο χρόνος επαναφοράς ενός συστήματος κρίσιμης υποδομής. Θα πρέπει να καθαριστούν οι δίσκοι, να επανεγκατασταθούν τα διάφορα λογισμικά συστήματα και να επανατοποθετηθούν τα αρχεία. Δεν είναι απλή διαδικασία και αρκετές φορές χρονοβόρα. Γι΄ αυτό και προκαλούνται σοβαρά προβλήματα σε κυβερνητικές υπηρεσίες».
Ο ρόλος της ΑΨΑ και το SOC
Οι προσπάθειες τα τελευταία χρόνια για βελτίωση της κυβερνοασφάλειας και γενικότερα της ανάπτυξης σχετικών συστημάτων/μηχανισμών, είναι αισθητές. Υπάρχουν συνεχείς ανακοινώσεις, δημοσιεύσεις ή τοποθετήσεις για την ανάγκη θωράκισης έναντι των κυβερνοεπιθέσεων. Χαρακτηριστικές, στο πλαίσιο αυτής της προσπάθεια αφύπνισης, είναι οι δράσεις της Αρχής Ψηφιακής Ασφάλειας, του Υφυπουργείου Έρευνας, Καινοτομίας και Ψηφιακής Πολιτικής, αλλά και της Υποδιεύθυνσης Ηλεκτρονικού Εγκλήματος.
Το μεγαλύτερο βάρος, βέβαια, κυρίως στον τομέα της πρόληψης, πέφτει στην Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ). Βάσει του περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμου του 2020, Ν. 89(Ι)/2020, υπάγεται διοικητικά στον επίτροπο Επικοινωνιών κ. Γιώργο Μιχαηλίδη και στον βοηθό Επίτροπο κ. Πέτρο Γαλίδη.
Πρόσφατα, στη σφαίρα της δημόσιας συζήτησης τέθηκε και το Κέντρο Επιχειρήσεων Ασφαλείας (SOC) που κατήρτισε η ΑΨΑ. Το Security Operation Center (SOC), όπως είναι ευρύτερα γνωστό στην Κύπρο, αποσκοπεί στον καθημερινό έλεγχο, καθ’ όλη την διάρκεια του 24ωρου, όλων των κρίσιμων υποδομών. Αποσκοπεί στην παροχή λεπτομερούς ενημέρωσης των αρμόδιων Αρχών για προσπάθειες κυβερνοεπιθέσεων. Κι αυτό με στόχο την καλύτερη αντιμετώπισή τους.
Όπως διευκρίνισε σε πρόσφατη τηλεοπτική του εμφάνιση (OMEGA) ο βοηθός επίτροπος Επικοινωνιών, Πέτρος Γαλίδης, η Αρχή Ψηφιακής Ασφάλειας διαθέτει το Εθνικό SOC (Security Operation Center) για όλες τις κρίσιμες υποδομές, είτε είναι ιδιωτικές, είτε κυβερνητικές.
Ανέφερε πως σε συνάντηση (30/03) με τον υφυπουργό Έρευνας, Καινοτομίας και Ψηφιακής Πολιτικής, Φίλιππο Χατζηζαχαρία, συζητήθηκε η δημιουργία SOC που θα αφορά κυβερνητικούς οργανισμούς και υπηρεσίες. «Θα είναι ένα τομεακό SOC. Δηλαδή, διάφοροι σημαντικοί τομείς της Κύπρου σταδιακά θα αναπτύξουν ο καθένας το δικό του τομεακό SOC» σχολίασε ο κ. Γαλίδης.
Στο πλαίσιο των ίδιων τοποθετήσεών του, ανέφερε πως το Κέντρο Επιχειρήσεων Ασφαλείας της Αρχής Ψηφιακής Ασφάλειας, «είναι πιστοποιημένο από πολύ υψηλού επιπέδου ιδρύματα». Και κατέληξε: «Το υφυπουργείο θα αξιολογήσει και το δικό μας SOC μαζί με άλλες επιλογές και θα κρίνει αν θα το υιοθετήσει».
Το μόνο δεδομένο είναι πως με βάση και τις τελευταίες κυβερνοεπιθέσεις, δεν χωρεί εφησυχασμός και οι προσπάθειες για ενίσχυση της ασφάλειας θα πρέπει να ενταθούν.
Ο Κύπριος χάκερ που προβλημάτισε το FBI
Σε πολλούς προκαλούν ιδιαίτερη αίσθηση οι κυβερνοεπιθέσεις που εκδηλώθηκαν σε βάρος τριών κρίσιμων κυπριακών υποδομών, σε χρονική περίοδο μόλις ενός μήνα. Βέβαια, άτομα που παρακολουθούν διαχρονικά πανομοιότυπες υποθέσεις, είναι πιο εξοικειωμένα.
Άλλωστε, η Κύπρος βρέθηκε στο επίκεντρο σημαντικών υποθέσεων με χάκερ. Είναι χαρακτηριστική και η περίπτωση ενός 24χρονου -σήμερα- Κύπριου, ο οποίος έχει χαρακτηριστεί ιδιοφυΐα σε θέματα υπολογιστών, προκαλώντας διεθνές ενδιαφέρον με την παράνομη δράση του. Τον Μάιο του 2017 είχε «χακάρει» μεγάλη ιδιωτική εταιρεία παροχής υπηρεσιών διαδικτύου, με στόχο να αποσπάσει χρηματικά ποσά. Είχε συλληφθεί από την Αστυνομία Κύπρου, ωστόσο, πριν δικαστεί στο νησί μας, πιάστηκε στην τσιμπίδα των αμερικανικών Αρχών και του FBI.
Όπως είχε γίνει γνωστό, ο 24χρονος όντας ανήλικος εκμεταλλεύτηκε τις ικανότητές του για να αποσπάσει τεράστια χρηματικά ποσά από αμερικανικές εταιρείες. Κατέστη, μάλιστα, ο πρώτος Κύπριος πολίτης που εκδόθηκε στις ΗΠΑ, όπου μετά από παραδοχές του και επιστροφή ποσών που είχε οικειοποιηθεί με δόλια μέσα από την Κύπρο όπου βρισκόταν, καταδικάστηκε σε έναν χρόνο φυλάκισης την άνοιξη του 2021. Ο νεαρός είχε παραδώσει στις ομοσπονδιακές Αρχές των ΗΠΑ ποσά πέραν του ενός εκατομμυρίου δολαρίων. Εξέτισε την ποινή του και επέστρεψε στην Κύπρο το καλοκαίρι του 2022. Τότε αστυνομικές πηγές από την Κύπρο, είχαν εκφράσει έκπληξη που οι Αμερικανοί δεν είχαν επιχειρήσει να αξιοποιήσουν το ταλέντο του για εντοπισμό παρανόμων.
Πέραν από την προαναφερθείσα υπόθεση κυβερνοεπιθέσεων, υπάρχουν κι άλλες που έχουν να κάνουν με ηλεκτρονικό έγκλημα κι έχουν διασυνδεθεί με το νησί μας. Άλλωστε, η Υποδιεύθυνση Ηλεκτρονικού Εγκλήματος έχει συνεργαστεί με επιτυχία αρκετές φορές με αντίστοιχες υπηρεσίες ξένων χωρών. Είναι χαρακτηριστική και η υπόθεση που έγινε γνωστή τον περασμένο Φεβρουάριο. Η υπηρεσία της κυπριακής Αστυνομίας είχε συμβολή στον τερματισμό της λειτουργίας της πλατφόρμας ανταλλαγής κρυπτονομισμάτων Bitzlato, μέσω της οποίας διακινήθηκαν πέραν από 2,1 δισεκατομμύρια ευρώ από κυβερνοεγκληματίες. Στην επιχείρηση συμμετείχαν επίσης διωκτικές και δικαστικές αρχές από το Βέλγιο, την Κύπρο, την Πορτογαλία, την Ισπανία και την Ολλανδία. Από πλευράς Κυπριακής Αστυνομίας, η επιχείρηση πραγματοποιήθηκε με την ενεργή συμμετοχή των μελών του Δικανικού Εργαστηρίου Ηλεκτρονικών Δεδομένων και του Κλάδου Διερεύνησης Ηλεκτρονικού Εγκλήματος της Υ.Η.Ε. Μάλιστα, στο νησί μας είχε γίνει μια σύλληψη από τις πέντε συνολικά.
Το χρονικό των κυβερνοεπιθέσεων στις κρίσιμες υποδομές
2/3/2023 – Πανεπιστήμιο Κύπρου:
Ο κύκλος των κυβερνοεπιθέσεων άνοιξε στις 2 Μαρτίου με το Πανεπιστήμιο Κύπρου να δέχεται από τις πρώτες πρωινές ώρες πλήγματα. Θεωρείται σημαντικό το γεγονός ότι η Υπηρεσία Πληροφορικής Υποδομής του ανώτατου εκπαιδευτικού ιδρύματος «κατέβασε» άμεσα τους εξυπηρετητές (servers). Από την πρώτη στιγμή είχε γίνει επαφή με την Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ) που υπάγεται στο γραφείο του επιτρόπου Επικοινωνιών. Μια εβδομάδα αργότερα οι αρνητικές παρενέργειες δεν είχαν ξεπεραστεί πλήρως (σημ. προβλήματα στην ιστοσελίδα), ωστόσο, είχε χαρακτηριστεί πολύ σημαντική η άμεση αντίδραση των υπευθύνων. Στις 10 Μαρτίου ο επίτροπος Επικοινωνιών, Γιώργος Μιχαηλίδης, σχολίασε ότι το Πανεπιστήμιο Κύπρου πρόλαβε τα χειρότερα. Σε διαφορετική περίπτωση, υπέδειξε, θα προέκυπταν πολύ σοβαρά ζητήματα. Εξήγησε ότι το Πανεπιστήμιο διαχείριζεται τον κωδικό «.cy». Είχε σχολιάσει, μάλιστα, χαρακτηριστικά ότι «σε περίπτωση υποκλοπής των δεδομένων αυτών, το κράτος θα είχε κλείσει».
9/3/2023 – Κτηματολόγιο:
Μόλις μια εβδομάδα μετά το πρώτο πλήγμα της (ίδιας) ομάδας χάκερ σε κρίσιμη υποδομή, ακολούθησε νέο κτύπημα. Αυτή τη φορά στόχος το Τμήμα Κτηματολογίου και Χωρομετρίας. Η κυβερνοεπίθεση εκδηλώθηκε στις 9 Μαρτίου, με τον διευθυντή του εν λόγω τμήματος, Ελίκκο Ηλία, να κάνει λόγο για πλήγμα «στον πνεύμονα της Οικονομίας». Πέντε ημέρες αργότερα ο κ. Ηλία θα δήλωνε πως η διαδικτυακή πύλη της νευραλγικής αυτής υποδομής παρέμενε εκτός λειτουργίας. Παρήλθε πέραν του ενός μήνα και δεν είχε γίνει αποκατάσταση της ζημιάς. Ο κ. Ηλία που θα δήλωνε ότι υπήρξε υπονοούμενο για καταβολή λύτρων από τους χάκερ, είχε σχολιάσει στις 7 Απριλίου (Alpha): «Τώρα μπορούμε να λάβουμε τις αιτήσεις με email που στέλνουν οι πολίτες για δικαιοπραξίες και τα ανοίγουμε. Είναι ένας μήνας από αυτή τη δοκιμασία, αλλά το θετικό είναι ότι θα έχουμε μια πιο δυνατή Πύλη Κτηματολογίου με πρόσβαση στους πολίτες από το κινητό τους τηλέφωνο». Οι πλείστες ηλεκτρονικές υπηρεσίες που προσφέρονταν στους πελάτες έμελλε να αποκατασταθούν στα μέσα της Μεγάλης Εβδομάδας.
27/3/2023 – Ανοικτό Πανεπιστήμιο Κύπρου:
Η τρίτη επίθεση στη σειρά σημειώθηκε στις 27 Μαρτίου, προσβάλλοντας τα συστήματα του Ανοικτού Πανεπιστημίου Κύπρου, που έχει πέραν των 4.000 φοιτητών. Ο Πρύτανής του, Πέτρος Πασιαρδής, είχε κάνει λόγο για «μαχαίρι στην καρδιά του Ανοικτού Πανεπιστημίου Κύπρου», αναφερόμενος, μεταξύ άλλων, στο γεγονός ότι η «πλατφόρμα τηλεκπαίδευσης» που διαδραματίζει καταλυτικό ρόλο, ήταν εκτός λειτουργίας. Μετά από 11 ημέρες (7/4) ανακοινώθηκε η αποκατάσταση του ηλεκτρονικού ταχυδρομείου και της ειδικής πλατφόρμας τηλεκπαίδευσης. Βάσει των υπολογισμών, το Ανοικτό Πανεπιστήμιο αναμένεται να επανέλθει σε πλήρη ομαλότητα, μετά τις γιορτές του Πάσχα.
Με ανακοίνωσή του την περασμένη Τετάρτη το Ανοικτό Πανεπιστήμιο επιβεβαίωσε τις πληροφορίες για τους δράστες της κυβερνοεπίθεσης. Διευκρινίζεται πως η επίθεση έγινε «στον εξυπηρετητή φύλαξης αρχείων (fileserver) του ΑΠΚΥ» και ότι «η ομάδα κυβερνοεπίθεσης με την ονομασία «MEDUSA» ζητά αποζημίωση για τη μη δημοσίευσή τους». Διευκρινίζεται ακόμη ότι ως αποτέλεσμα της επίθεσης, δεδομένα προσωπικού χαρακτήρα, απλά και ευαίσθητα, που αφορούν φοιτητές και φοιτήτριες, πρώην φοιτητές, αποφοίτους, ακαδημαϊκό και διοικητικό προσωπικό, ερευνητές ή/και συνεργάτες έχουν διαρρεύσει.
Με πληροφορίες από philenews.com
HELLASJOURNAL