Cyberatak na ukraińskie placówki edukacyjne. Efekt ignorowania zasad bezpieczeństwa

Trwająca wojna na Ukrainie nie ogranicza się jedynie do działań konwencjonalnych. Cyberataki wymierzone w podmioty prywatne oraz publiczne stały się codziennością – Ukraina stała się jednym z najbardziej atakowanych krajów w cyberprzestrzeni. Na naszych łamach informowaliśmy w ostatnich miesiącach m.in. o kampanii cyberszpiegowskiej, która wymierzona była w podmioty rządowe i wojskowe naszego wschodniego sąsiada.

Malware z oświatowej skrzynki

O kolejnej operacji cyberprzestępców poinformowała w środę 19 listopada br. Państwowa Służba Łączności Specjalnej i Ochrony Informacji Ukrainy. Tamtejszy zespół CERT-UA zidentyfikował na początku listopada kampanię, w której rozsyłano wiadomości zawierające malware.

Przeprowadzenie ataku było możliwe dzięki uzyskaniu przez hakerów dostępu do jednego z kont poczty elektronicznej jednej z ważniejszych instytucji edukacyjnych w regionie sumskim w maju 2025 roku. Z kolei w ostatnich tygodniach placówki oświaty oraz instytucje publiczne z tegoż regionu zaczęły otrzymywać wiadomości z przejętego adresu e-mail.

W treści wiadomości zamieszczono link do pliku .zip umieszczonego na Dysku Google. Teoretycznie całość związana była z rzekomym „Poleceniem nr 332”, zaś załącznik miał być projektem stanowiska w sprawie. W rzeczywistości jednak zawierał złośliwe pliki, które po pobraniu i otwarciu infekowały komputer kilkoma rodzajami malware’u. CERT-UA, podał, że były to:

• Lazagne – wykradający hasła;
• Gamybear – backdoor przekazujący hakerom informacje o systemie oraz umożliwiający zdalne kontrolowanie komputera;
• program .NET – do wykradania plików i przekazywania ich atakującym.

CERT-UA: rekomendacje i prawo są ignorowane

Co istotne, CERT-UA zwrócił uwagę, że takie incydenty są efektem systemowego ignorowania podstawowych zasad cyberobrony przez osoby za nie odpowiedzialne oraz kierownictwo podmiotów na Ukrainie, a także braku implementacji rekomendacji zespołu w zakresie zabezpieczeń systemu Windows czy weryfikacji dwuetapowej.

Dodatkowo, pojawiają się przypadki braku powiadamiania zespołu o incydentach cyberbezpieczeństwa, co jest złamaniem ukraińskiego prawa.

„Bezczynność (podmiotów w kontekście zgłaszania – red.) utrudnia podjęcie natychmiastowych działań zaradczych i pozwala atakującym pozostawać w systemach ofiar przez dłuższy czas, co prowadzi do dalszych negatywnych konsekwencji” – podkreśla SSSCIP.

CERT-UA zaapelował z kolei o zapoznanie się z rekomendacjami wydanymi w sierpniu 2023 roku.