Prima fază a atacului: Emailul fals

Totul începe cu un email fals, trimis de pe adrese care nu aparțin ANAF. Adresele oficiale ale instituției folosesc exclusiv domeniile @mfinante.ro sau @anaf.ro. Orice altă variantă nu este legitimă. ANAF nu va trimite niciodată mesaje de pe adrese personale, nominale sau de pe servicii publice precum @gmail.com, @yahoo.com sau altele similare.

Exemple de adrese folosite în aceste campanii: radiah@jffa.my, administracion@espaciodiversia.com, anafroo@wildapricot.org.

Așa cum se întâmplă în majoritatea atacurilor de acest tip documentate până acum, modul de operare este unul bine cunoscut. Atacatorii folosesc infrastructuri deja compromise: servere de email sau site-uri sparte anterior, iar uneori chiar adrese false de Gmail sau Yahoo. De pe acestea trimit în masă mesaje către liste de email obținute din alte campanii de spam, phishing, breșe de date sau baze de date compromise.

Mesajele sunt redactate generic și construite în jurul unei urgențe artificiale, tocmai pentru a grăbi victima și a-i distrage atenția de la detaliile care ar putea trăda înșelătoria.

A doua fază a atacului: Pagina de phishing

Odată ce utilizatorul apasă pe butonul sau linkul din email, este redirecționat către o pagină falsă, care nu aparține ANAF. În cazurile analizate de noi, victimele ajungeau pe domenii precum anaf-ro.web.app, scanned.page, anaf.life sau headlinemonitor.com. Deși unele dintre acestea conțin cuvântul „anaf” în denumire, ele nu au nicio legătură cu domeniul oficial anaf.ro.

Pentru a ocoli filtrele de securitate la nivel de email și pentru a îngreuna detectarea, atacatorii folosesc frecvent servicii de redirecționare, precum bit.ly sau platforme similare.

Odată ajuns pe pagina de phishing, utilizatorul poate întâlni mai multe variante de interfață, însă toate urmăresc același tipar: copiază sigla și identitatea vizuală ANAF și solicită date sensibile, precum CNP-ul, numărul de telefon, adresa de email, informațiile cardului bancar sau alte date personale.

Scopul final este de colectare de date personale ce pot fi folosite în ulterioare atacuri sau uneori chiar colectarea cardurilor și extragerea unor sume de bani direct.

The post Emailuri false în numele ANAF. Phishing la plata taxelor. first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Codurile QR

Atacatorii au folosit stickere albe aplicate direct peste codurile QR originale de pe panouri (figura 1). Deși bine aliniate, acestea păreau lipite în grabă — multe erau deja parțial dezlipite sau prezentau urme vizibile de deteriorare.

La scanare, codurile false nu redirecționau către platforma oficială de plată (https://pay.qport.app/p/cmpb), ci către un link generat prin scanned.page — un serviciu gratuit de creare și gestionare a codurilor QR. Acest URL ( https[:]//scanned.page/p/685b040e3a87f ) intermediar permitea atacatorului să modifice oricând destinația finală de redirecționare.

Până pe 26.07.2025, ora 02:00 AM, redirecționarea ducea către un site malițios (https[:]//209-38-122-248.cprapid.com); ulterior, redirectul a fost înlocuit cu linkul legitim QPort, semn că atacatorul a încercat să șteargă urmele și să închidă campania.

Platforma web

După scanare, utilizatorul era redirecționat către https[:]//209-38-122-248.cprapid.com. Pe lângă aspectul evident suspect al linkului, domeniul principal — cprapid.com — aparține infrastructurii CPanel, folosită pentru administrarea conturilor de hosting. Subdomeniul 209-38-122-248 este generat automat de CPanel și corespunde direct adresei IP a serverului care găzduia site-ul malițios: 209.38.122.248.

Pagina de la adresa https[:]//209-38-122-248.cprapid.com (vezi 2) imita identitatea vizuală a platformei PayByPhone — un serviciu legitim de plată a parcării disponibil în țări precum UK, Franța, Germania, Elveția, Italia, SUA și Canada. Deși acest serviciu nu operează în România, atacatorul a folosit sigla și designul pentru a părea credibil.

Site-ul afișa un formular în care utilizatorul introducea durata dorită pentru parcare (cu un preț vizibil mai mic decât cel real din București), numărul de înmatriculare și datele cardului bancar. După completare, era afișată o scurtă animație de încărcare, urmată de o solicitare de „validare a tokenului”. În realitate, datele cardului erau deja transmise, iar atacatorii le foloseau pe un alt site, în paralel, pentru a efectua plăți frauduloase.

În plus, serverul conținea resurse statice organizate în două directoare:

• /img/ – conținea logo-urile: tpark, PayByPhone, Visa, American Express

• /files/ – conținea fișiere precum app.css, audio.mp3, engine.js și NeutrinoAPI.php (figura 3)

Endpointul admin.php era restricționat și nu a putut fi accesat direct. Presupunem că servea drept interfață de administrare pentru atacator, posibil utilizată pentru monitorizarea activității și gestionarea datelor colectate. Accesul părea condiționat de parametri suplimentari sau autentificare.

Datele bancare completate în formularul din index.php erau transmise către endpointul gate.php. După trimitere, browserul iniția periodic requesturi către același endpoint, aparent pentru a verifica dacă serverul returnează un răspuns sau comandă nouă (figura 5) – fiecare parametru avea o comandă definită – vezi conținutul fișierului javascript mai jos.

Analiza codului sursă din index.php și /files/engine.js a evidențiat logica din spatele fluxului de interacțiune și a parametrilor utilizați, dar și mai multe comentarii scrise în limba română — un indiciu relevant privind localizarea autorului (figurile 6 și 7).

Pentru corelare, am investigat alți indicatori asociați cu gate.php, index.php și infrastructura cprapid.com. Am descoperit campanii (figurile 8, 9 și 10) similare datând din 2021 și 2025, care reutilizau aceleași fișiere (engine.js), dar fără comentarii în română. Cel mai probabil, atacatorul a adaptat scripturi și playbookuri deja existente, folosite anterior în alte regiuni, modificându-le pentru contextul local.

Lista completă a indicatorilor ce prezintă elemente similare, alături de codurile sursă ale fișierelor analizate, este disponibilă la finalul articolului.

Userul folosit pe cPanel precum si unul dintre subdomeni erau numite kakat11 (kakat11.209-38-122-248.cprapid.com – figura 11), user pe care il regasim ulterior si pe server, unde exista o baza de date numita: kakat11209381222_kaka1 .

Baza de date

Baza de date kakat11209381222_kaka1 conținea trei tabele: admin_settings, results și visits. Tabela admin_settings avea o singura valoare redirect = https://www.paybyphone.com/, indicând că atacatorul folosea redirectarea către site-ul real PayByPhone — compania pe care o imita vizual, în locul celei oficiale din București.

Tabelele visits și results stocau date despre utilizatori: accesări ale paginii și informațiile cardurilor introduse. Am identificat aproximativ 30 de IP-uri unice și peste 80 de sesiuni, toate înregistrate într-un interval scurt de 2–3 ore. Presupunem că baza de date era curățată periodic, ceea ce face imposibilă estimarea exactă a duratei campaniei sau a numărului total de victime.

The post Investigație: Coduri QR false pe panourile pentru parcări first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

UPDATE 07.11.2024

Site-ul partidului AUR și-a revenit. La mai bine de 24 de ore de la atacul cibernetic raportat inițial, echipa tehnică a partidului AUR a reușit să rezolve problema care a afectat funcționarea site-ului oficial. Începând cu data de 07.11.2024, platforma online a formațiunii politice este din nou accesibilă publicului, funcționând la parametri normali.

Acest incident a subliniat importanța securității cibernetice pentru organizațiile politice și vulnerabilitatea lor în fața atacurilor online.

Update 20:00

Atacatorii au reușit să recapete accesul și să reinstaleze pagina de defacement. 

DNSC a anunțat printr-un comunicat că au luat legătura cu reprezentanții și administratorii website-ului însă aceștia au refuzat orice sprijin și ajutor din partea directoratului.

„Specialiști din cadrul Direcției Generale Operațiuni Tehnice (DGOT) au luat legătura astăzi atât cu reprezentanții companiei de hosting, cât și cu reprezentanții AUR, pentru a oferi sprijin tehnic pentru remedierea problemei, însă li s-a comunicat că nu este nevoie de asistență în acest caz, iar problema va fi gestionată de deținătorii site-ului.” (Sursa)

Update 17:45

Landing-ul folosit de hackeri a fost șters, acum domeniul afișează conținutul paginii originale.

Update 17:00

Hackerii au postat presupuse imagini din email-urile pe care au reușit să le compromită.

Aceștia suțin că au primit deja oferte pentru datele furate.

Update 15:00

Website-ul partidulaur.ro este în continuare ,,spart” de către hackeri și afișează o pagină falsă. Se pare că breșa de securitate nu a fost încă depistată.

Update 14:30

Deși inițial administratorii website-ului au reușit să restaureze conținutul original, hackerii au intervenit din nou și site-ul afișează în continuare pagina falsă.

Știrea inițială - Context

În dimineața zilei de 06 Noiembrie 2024 site-ul oficial al Alianței pentru Unirea Românilor (AUR) a fost victima unui atac cibernetic de tip defacement. Hackerii au reușit să modifice pagina principală a site-ului https://partidulaur.ro și să posteze mesaje neautorizate.

Atacatorii au înlocuit conținutul original al site-ului cu mesaje provocatoare în limbile engleză și rusă. Printre afirmațiile postate se numărau:

• „Avem toată baza de date AUR și toate informațiile sensibile – toate mesaje private, inclusiv un s3x tape cu George Simion.„
• „Domeniul acesta este confiscat de Rusia.„

Aceste mesaje au stârnit rapid speculații cu privire la originea atacului și potențialele implicații politice ale acestuia. În special, afirmația referitoare la o presupusă confiscare a domeniului de către Rusia ridică semne de întrebare serioase privind identitatea și motivațiile atacatorilor.

Reacția Partidului AUR

Reprezentanții AUR au acționat prompt pentru a remedia situația. În scurt timp de la descoperirea breșei, mesajele neautorizate au fost eliminate de pe site. Partidul nu a făcut încă declarații oficiale cu privire la incident sau la veridicitatea afirmațiilor hackerilor.

Acest incident ridică mai multe întrebări importante:

• Cine se află în spatele atacului și care sunt motivațiile lor?
• Ce măsuri de securitate avea implementate AUR pentru protejarea site-ului și a datelor sensibile?
• Există într-adevăr o breșă de securitate mai amplă care ar putea compromite informații confidențiale ale partidului și ale membrilor săi?

 

Acest incident subliniază importanța securității cibernetice în era digitală, mai ales pentru organizațiile politice. Rămâne de văzut cum va gestiona AUR această situație și ce măsuri va implementa pentru a preveni viitoare atacuri similare.

Indicatori

• partidulaur.ro
• XMR 42tUPqhrGrNJyfXgyfW3g9YgQLUuP1Bpe1k8sXC8ZAxrCAqQhxg9bavEF8JB5688dANzCWiPCtm9rEkxLKwrFfZM6UyZhS2
• https://pastebin.com/WXkSPwnM (Cod sursa ora 14:30)
• [h][t][t][p][s]://i[.]imgur[.]com/WYyE1AD[.]jpeg
• https://pastebin.com/jUAZLMHk  (Cod sursa ora 17:00)

The post Site-ul Partidului AUR, ținta unui atac cibernetic first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Deși costurile inițiale ale unui atac, cum ar fi plata răscumpărării sau recuperarea datelor, sunt evidente, impactul financiar complet poate fi mult mai profund. Iată o analiză detaliată a costurilor ascunse și a impactului atacurilor cibernetice, împreună cu exemple relevante și sfaturi pentru a preveni astfel de incidente.

Statistici Cheie

• Cost global al criminalității cibernetice: Estimat să ajungă la 10,5 trilioane USD anual până în 2025 (Cybersecurity Ventures).
• Costuri de recuperare: În medie, companiile cheltuie aproximativ 60% din bugetul de securitate cibernetică pentru a remedia și a recupera după un atac.
• Pierderea de oportunități de afaceri: Peste 70% dintre companiile afectate raportează pierderi de oportunități din cauza alocării resurselor pentru a gestiona atacul.
• Impact asupra reputației: Mai mult de 90% dintre companiile afectate raportează o scădere a încrederii clienților și partenerilor de afaceri.

Pierderi Financiare Directe

Atacurile cibernetice pot cauza pierderi financiare directe semnificative. Acestea includ pierderi de venituri, costuri de recuperare a datelor și pierderi de capital.

• Exemplu: În 2017, atacul ransomware WannaCry a afectat companii din întreaga lume, inclusiv NHS din Marea Britanie, costurile de recuperare fiind estimate la sute de milioane de dolari.

Costuri de Recuperare și Remediere

Companiile trebuie să investească masiv în remedierea și recuperarea după un atac. Aceste costuri includ angajarea de experți în securitate cibernetică, investigații forensice și actualizări ale infrastructurii IT.

• Exemplu: Atacul asupra companiei Maersk din 2017 a necesitat reinstalarea a 4,000 de servere și 45,000 de PC-uri, costurile totale fiind estimate la 300 de milioane USD.

Pierderi de Oportunități de Afaceri

Atacurile cibernetice pot redirecționa resursele de la activitățile de bază și dezvoltarea afacerii către gestionarea incidentelor, ceea ce duce la pierderi de oportunități de afaceri.

• Exemplu: Compania de credit Equifax a pierdut multiple contracte și parteneriate în urma atacului cibernetic din 2017 care a expus datele personale a 147 milioane de persoane.

Impact asupra Reputației și Încrederii

Un atac cibernetic poate afecta serios reputația unei companii și încrederea clienților și partenerilor săi. Recuperarea reputației poate fi un proces lung și costisitor.

• Exemplu: Yahoo a suferit o pierdere masivă de încredere și o scădere a valorii companiei după ce s-a descoperit că a ascuns două atacuri cibernetice majore care au compromis datele a peste 3 miliarde de utilizatori.

Costuri Juridice și de Conformitate

Companiile pot fi supuse unor amenzi substanțiale și costuri legale mari dacă nu respectă reglementările de securitate cibernetică. Costurile pot include și litigii și compensarea victimelor.

• Exemplu: British Airways a fost amendată cu 183 milioane GBP pentru încălcarea GDPR după un atac cibernetic în 2018 care a afectat datele a aproximativ 500,000 de clienți.

Amenzi și Prime de Asigurare Mai Mari

Atacurile cibernetice pot duce la creșterea primelor de asigurare și amenzi pentru neconformitate cu reglementările privind confidențialitatea.

• Exemplu: În urma unui atac cibernetic, compania Target a fost de acord să plătească 18.5 milioane USD pentru a rezolva anchetele și litigiile cu statele americane, iar primele de asigurare au crescut considerabil.

Cum Să Te Protejezi

Investiții în Tehnologie și Securitate

• Actualizări regulate: Asigurați-vă că toate sistemele și software-urile sunt actualizate pentru a repara vulnerabilitățile cunoscute.
• Tehnologie de ultimă generație: Investiți în tehnologii avansate de securitate, cum ar fi soluții de detectare și răspuns la amenințări (EDR) și firewall-uri de ultimă generație.

Educația Angajaților

• Training regulat: Educați angajații despre importanța practicilor de securitate cibernetică și despre cum să recunoască și să evite phishing-ul și alte atacuri.
• Simulări de atacuri: Efectuați simulări periodice de atacuri pentru a testa și îmbunătăți pregătirea angajaților.

Planuri de Răspuns la Incidente

• Planuri clare: Dezvoltați și mențineți un plan de răspuns la incidente cibernetice clar și detaliat.
• Echipe dedicate: Formați echipe dedicate pentru răspuns la incidente, inclusiv experți în securitate cibernetică și comunicare de criză.

Concluzie

Combaterea atacurilor cibernetice necesită o abordare multifronală și colaborativă. Prin investiții în securitate, educarea angajaților și implementarea unor planuri robuste de răspuns la incidente, companiile pot minimiza riscurile și impactul atacurilor cibernetice. Până la urmă, prevenirea este întotdeauna mai ieftină și mai eficientă decât remedierea.

Resurse suplimentare:

• https://cybersecurityventures.com/cybercrime-damage-costs-10-trillion-by-2025/
• https://www.ibm.com/reports/data-breach
• https://digital-strategy.ec.europa.eu/en/policies/cybersecurity-policies

The post Costurile ascunse ale atacurilor cibernetice: Impactul financiar neașteptat pentru companii first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Înainte să începi să studiezi resursele de mai jos, îți recomand să citești eseul ”Being a noob” scris de Paul Graham (co-founder Y Combinator).
”When I was young, I thought old people had everything figured out. Now that I’m old, I know this isn’t true.”

Context: Toți ne simțim la fel când nu înțelegem ceva sau învățam ceva nou, nu fi prea dur cu tine și ia-o pas cu pas.

Partea I
De unde încep?

Începe cu câteva video-uri introductive pentru a înțelege câteva concepte de bază:

1. What is CyberSecurity – from google
2. How I Would Start Learning Cyber Security in 2024
3. A guide into cybersecurity
4. Do you have what it takes to get into Cybersecurity
   
   Canale de YouTube recomandate de urmărit:
   
5. YouTube David Bombal Tech – multe resurse plus tutoriale și informatii din industrie
6. YouTube – NetworkChuck – multe tutoriale unde poți întelege tool-uri foarte rapid

Partea II
Unde învăț?

Pentru un parcurs structurat și logic:

1. TryHackMe – Platformă interactivă de învățare cu provocări și laboratoare virtuale.
   
   După ce începi să întelegi principile de baza poți trece la:
   
2. OverTheWire -Pentru a invata Kali si bazele necesare pentru CTF-uri
3. Hack The Box – Platformă de hacking etic care oferă provocări și scenarii realiste
   
   În același timp te rog instalează Kali linux. Te va ajuta să folosești usor multe tool-uri și mai ales în siguranță.
   *Cum instalezi Kali, usor și simplu

Bonus (recomandări):

1. NMAP
   Nmap (Network Mapper) este un instrument open-source gratuit utilizat pentru scanarea rețelei și auditarea securității. Administratorii de sistem îl folosesc pentru a descoperi dispozitivele din rețeaua lor, a vedea ce servicii rulează pe acele dispozitive și pentru a identifica potențialele vulnerabilități de securitate.
   
2. Înțelege subnet masks (Mască de subrețea)
   
   Simplificat: Gândește-te la o adresă IP ca la o adresă poștală. Masca de subretea e ca și cum ai specifica cartierul din adresă.
   Adresă IP – Spune exact unde ești (strada, număr).
   Mască de subrețea – Spune zona generală (cartierul).
   Ajută la organizarea rețelei și la trimiterea datelor la dispozitivele corecte.
   
   Ai aici un Calculator care te poate ajuta să înțelegi cum functionează subrețelele.
   
3. W3Schools este un site web educațional popular folosit pentru a învăța limbaje de programare web precum HTML, CSS și JavaScript. Deși nu se concentrează exclusiv pe cybersecurity, W3Schools oferă totuși o secțiune dedicată acestui domeniu, plus recomand și secțiunile Python și SQL ( o să ai nevoie…crede-mă)

Aceste resurse acoperă o gamă variată de subiecte și metode pentru învățare, încearcă să descoperi ce ți se potrivește cel mai bine nu te da bătut, să revi și mâine este cel mai important!

Acum ești Hackerman!

PS: Inca ceva foarte important. Nu uita ca poti participa și la cursuri fizice. Poți da search pe google și vei gă si foarte repede organizații sau companii care ofertă cursuri în format fizic. Recomand și acest lucru pentru a cunoaste profesioniști din domeniu sau alte persoane care se află și ei, ca și tine, în proces de învățare.

Partea III
Comunitatea

Mai important ca orice este să simți că te îndrepți spre ceva și că începi să îți creezi o oportunitate. Ei bine oportunitățile se află printre oameni, ei le crează, ei le împărtășesc.

În Romania avem comunitate Hackout (Discord) pe care o super recomand!

* Poti întreba orice și vei primi sfaturi și răspunsuri
* Live-uri unde rezolvam CTF-uri împreună
* Live-uri unde ne ajutăm reciproc pentru a înțelege mai bine concepte sau tool-uri.
* Concursuri cu premii
* Arhivă cu resurse utile
* Toate actualitățile din domeniu.
* Oportunități (joburi)

Pe scurt, daca înveți cybersecurity, nu ai de ce sa nu fi pe Hackout Discord!

Aaa da! Și meme-uri…

În concluzie, procesul de învățare în domeniul securității cibernetice poate părea intimidantă la început, dar există o mulțime de resurse disponibile pentru a te ajuta să-ți atingi obiectivele. Indiferent dacă alegi să folosești platforme online precum TryHackMe, să urmezi cursuri plătite sau să explorezi resursele gratuite, este important să rămâi constant în eforturile tale și să exersezi în mod regulat, 15 minute pe zi sunt 15 minute pe zi, nu 0 minute pe zi ( 1>0, unu este mai mare decât zero).

Mai multe resurse aici:

1. CyberEdu – Platformă de învațare și o comunitate super
2. Hack This Site! – Comunitate online pentru exersarea abilităților în hacking etic.
3. The CyberWire Podcast – Podcast despre știri și analize în domeniul securității cibernetice.
4. OWASP – Organizație care oferă ghiduri și resurse pentru securitatea aplicațiilor web.
5. Hacker101 – Resurse și materiale educaționale pentru începători în hacking etic.
6. Cryptography I – Curs online oferit de Universitatea Stanford, concentrat pe criptografie.
7. Exploit Database – Bază de date cu vulnerabilități și exploit-uri pentru a învăța despre securitatea software.
8. SANS Cyber Aces Online – Cursuri și resurse gratuite pentru introducerea în securitatea cibernetică.
9. Hackersploit Academy – Cursuri video și materiale educaționale despre hacking etic.
10. Reddit – r/netsec – Comunitate online pentru discuții, știri și resurse în domeniul securității cibernetice.
11. RootMe – Platformă cu provocări și laboratoare pentru exersarea abilităților în securitatea cibernetică.
12. YouTube – IppSec – Canalul oferă înregistrări de walkthrough-uri ale mașinilor de hacking de pe platforma TryHackMe și Hack The Box.
13. HackerSploit – Canal YouTube cu tutoriale detaliate despre securitatea cibernetică și hacking etic.
14. Null Byte – Platformă dedicată hacking-ului etic, oferind tutoriale și resurse pentru începători și avansați.
15. Hackology – Resurse și materiale educaționale despre securitatea cibernetică, hacking etic și criptografie.

Spor la învățat și dacă ai nevoie de ajutor nu uita de grupul de discord Hackout!

The post Cum începi în securitate cibernetică? first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

The post Tot ce trebuie să știi despre competiția UNbreakable 2024. Etapa pe echipe. first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

De aici și nevoia de securitate cibernetică, fiecare entitate, fără să conteze mărimea sau domeniul de activitate, cât timp are operațiuni care se desfășoară în spațiul online, trebuie să se adapteze la avansul tehnologic și cu nevoia de securitate cibernetică care vine odată cu acesta.

Grupările de hacktivism înțeleg aceste tendințe și încearcă să obțină numeroase beneficii ilicite de pe urma acestora. Fiecare dintre noi putem fi victima unui atac cibernetic, atâta timp cât nu avem o securitate cibernetică corespunzătoare și un minim de educație în acest domeniu pe măsură. Cu toate acestea, grupările de hacktivism vor încerca mereu să exploateze și latura umană, prin numeroasele campanii de phishing pe care le-am vazut în articolele anterioare.

KillSec, autorul atacului cibernetic

Poliția Română nu a fost excepția de la regulă în atacul cibernetic care a avut loc în Noimebrie. Gruparea de hacktivism KillSec a revendicat atacul cibernetic în Martie, pretizând că a reușit să atace cibernetic cu un Ransomware site-ul politiaromana[.]ro și să cripteze 200,000 de date, urmând ca în schimbul sumei de 1500 euro, să le inapoieze instituției. În cazul în care Poliția Română refuza să plătească acest ransom, toate datele vor fi publice, având la acel moment 30 de zile să plătească această sumă, timp în care datele ar fi fost publice pe dark web, conform KillSec.

KillSec a expus acest aspect pe blog-ul de pe dark web, cu mențiunea Poliția Română a plătit răscumpărarea atacului cibernetic și datele au fost șterse de pe rețelele dark web. Pe canalul de telegram al KillSec a publicat una dintre Declarațiile de avere pe care le-ar fi extras din baza de date a site-ului politiaromana[.]ro.

Plata a fost cerută în cryptomoneda Monero, astfel gruparea nu ar putea să fie depistată prin interceptarea tranzacției. Putem observa din cele expuse, data atacului ar fi fost în 12 Noiembrie, urmând ca plata de către Poliția Română să fie confirmată pe acest canal sa fie 16 Noiembrie.

Pe măsură ce timpul trecea, KillSec ar fi expus tot mai multe documente compromise, iar în momentul în care plata a fost efectuată, singurul document expus este acea declarație de avere expusă mai sus, ca dovadă că atacul a avut loc. Este destul de probabil ca în acest atac să fie implicat un volum de date cu caracter personal ale angajaților din Poliția Română, declarațiile de avere conținând datele personale ale celor care le întocmesc.

Cine este KillSec?

KillSec este o grupare nou apărută, nu există multe date despre aceasta având în vedere ca primele atacuri cibernetice ale acestei grupări sunt din 2023. Din datele deținute până în acest moment, nu s-a putut stabili cu exactitate originea geografică a acestei grupări. În 2023, cand KillSec a luat naștere, a postat un mesaj pe grupul de Telegram prin care dorea să atragă membri cu diferite abilități:

Deși exista o legătură cu o altă grupare GhostSec, o grupare de hacktivism, care pe lângă atacuri tip ransomware, cu un malware dezvoltat în regim propriu GhostLocker. Această grupare oferă și servicii de Ransomware as a Service.

GhostLocker este un ransomware modern, greu de detecat și cu criptare puternică. GhostSec este o grupare hacktivism care a luat parte în conflictul dintre Israel și Palestina, fiind de partea palestineană, a condus numeroase atacuri cibernetice împotriva statului Isralel.

KillSec poate să fie o grupare care a luat naștere din GhostSec, sau au o relație cibernetică și interese comune în ceea ce privește atacurile cibernetice. Ambele grupări fiind atrase de atacuri cibernetice asupra instutițiilor de stat sau entități puternice. Din acest comportament putem deduce și dorința de afirmare în spațiul cibernetic, în special pe forumurile dark web sau forumuri frecventate de hackeri.

Atacul cibernetic asupra Poliției Române a fost parte dintr-o serie de atacuri cibernetice asupra unor entități guvernamentale și financiare din alte părți ale lumii. Printre care Poliția din India care încă este în procesul de a lua decizia dacă va plăti sau nu va plati răscumpărarea.

După fiecare atac cibernetic, KillSec, pe langă blogul de pe dark web, postează pe grupul de Telegram, în unele cazuri membri grupului pot alege suma de răscumpărare a atacurilor cibernetice. Acest comportament combinat cu seria de atacuri cibernetice, scoate în evidență dorința KillSec de a-și demostra capabilitățile.

În numeroase rânduri, între grupările de hacktivism apar conflicte, atacându-se reciproc una pe cealaltă. Prin aceste atacuri cibernetice asupra unor entități statale sau instituții cu importanță in anumite părți ale lumii, KillSec transmite un mesaj în lumea cibernetică prin care își afirmă puterea.

Încă de la destabilizarea grupării de ransomware Lockbit de către FBI, multe grupări de ransomware și hacktivism doresc să se afirme, astfel încât victimele atacate cibernetic de aceste grupări, să creeze un sentiment de nesiguranță puternic. Hackerii doresc ca atacurile lor să fie văzute și recunoscute, nu se feresc să și le asume, dat fiind faptul că în spațiul cibernetic este un concurs psihologic între grupările de hacktivism.

Din acest motiv, în acest an numărul de atacuri cibernetice, în special de la grupari de hacktivism noi apărute, nu ar trebui să ne surpindă. În schimb, fiecare entitate sau individ trebuie să ia măsuri să le contracareze, prevenirea atacurilor cibernetice este mult mai eficientă și mai puțin constisitoare, față de combaterea atacurilor cibernetice.

Companiile care oferă servicii de securitate cibernetică au devenit din ce în ce mai valoroase pentru toți actorii care desfășoară activități în mediul online. În viitorul ce urmează, ne putem aștepta ca România să fie în continuare luată în vizor de grupări de hacktivism, dat fiind faptul că avem deja atacuri cibernetice revendicate de Cyclops și NoName057, în articolul anterior. Alte grupări vor urmări să atace diferite instituții importante din România, cu scopul de-a se afirma odată cu grupările care au revendicat deja aceste atacuri cibernetice.

The post Grupare de hacktivism atacă Poliția Română first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

În Ucraina numărul de atacuri cibernetice a crescut simțitor de la începerea războiului. O multitudine dintre acestea fiind atacuri de tip DDoS (Distributed Denial of Service). Aceste atacuri sunt specifice grupărilor de hacktivism, iar efectul lor constă în blocarea traficului legitim a unui server prin suprasolicitarea serverului cu un trafic imens de cereri, provocând astfel o blocare temporară a serverului, astfel cererile legitime nu vor fi executate.

România, fiind membra NATO cu baze NATO pe teritoriul românesc, a fost și ea ținta unor atacuri DDoS. Mai multe instituții bancare printre care Banca Transilvania și BCR au fost țintele unor atacuri de acest tip iar activitatea online a platformelor bancare a fost întreruptă. Aceste atacuri au fost revendicate de o grupare de hacktivism rusească, cunoscută sub numele de NoName057.

NoName057 este o grupare de hacktivism resposabilă pentru numărate atacuri DDoS din UE, având un canal de Telegram de unde coordonează și revendică aceste atacuri. Numărul de membri este de peste 6.000 pe canalul de Telegram în limba engleză, fiind o grupare activă cu număr de membri în creștere.

În România țintele acestei grupări au fost:

• Banca Comercială Română
• Banca Transilvania
• Alpha Bank Romania S.A
• CREDITCOOP Cooperative Bank
• Guvernul României
• Serviciul de telecomunicatii speciale
• MIA of Romania
• Banca națională a României
• Telekom Romania
• MOL România
• Cert-RO

Se pare că motivul acestor atacuri ar fi Baza NATO din România ”Mihail Kogălniceanu”, iar scopul acestor atacuri a fost să afecteze economia românească, drept pedeapsă pentru trupele NATO staționate pe teritoriul românesc.

România nu a fost singura victima a acestor atacuri tip DDoS, Franța, Belgia și Cehia au fost și ele atacate de NoName057 din aceleași principii idelogice rusești. Se pare că războiul din Ucraina este totodată un război cibernetic fără granițe, pe care grupările de hackeri rusești vor să și-l asume.

NoName057 va continua aceste atacuri cibernetice, atât asupra României, dar mai ales asupra UE. Fiind o campanie cibernetică în desfășurare prin care se urmărește o lovitură economică în țările din UE, respectiv slăbirea pe cât posibil efortul Occidentului de-a oferi ajutor în războiul din Ucraina. Ne putem aștepta ca în următoarea perioadă ca aceste atacuri cibernetice să se sporească din parte unui număr mai mare de grupări de filieră rusească.

Campania pornită de NoName057, poartă numele de DDoSia, iar numărul de adepți este în creștere. Se crede ca această campanie a început in 2023, tinta principală fiind, evident, Ucraina, UE fiind o țintă secundară, dar importantă în campania lansată de NoName057. În principal, după cum am putut observa în prima parte a acestui articol, Campania DDoSia vizează instituții guvernamentale sau instutuții cu greutate în țările țintă.

Pe lângă grupul ilustrat anterior, NoName057 folosește mai multe platforme, în special în spațiul rusesc, prin care își coordonează atacurile DDoS. ,,Armata” de rețele de tip botnet fiind una de luat în considerare, având în vedere mărimea Federației Ruse și numărul posibil de adepți pe care îi vedem doar pe canalul de Telegram în limba engleză. Este posibil ca NoName057 să aibă adepți chiar din întreaga lume.

În același timp, ne putem aștepta la un răspuns din partea grupărilor occidentale, spațiul cibernetic fiind populat și de numărate grupări pro occident. Rusia fiind la rândul ei atacată cibernetic în numărate rânduri. CyberWarfare este o armă preferată de guvernele din întreaga lume, fiind modul perfect prin care se poate crea un mediu de instabilitate, iar atribuirea exactă unui atac cibernetic, fără o recunoaștere din partea autorului atacului, este dificilă.

Atacul de la Camera Deputaților

În ultima perioadă se pare că România a ajuns în atenția grupărilor de hackeri, putem aminti aici atacul de la Camera deputaților prin care s-au exfiltrat 250 MB de date personale ale deputaților și documente legale. Atacul a fost revendicat de gruparea Cyclops, care este cunoscută pentru atacuri tip Ransomware și InfoStealer malware. În prezent gruparea este acuzată de mai multe atacuri cibernetice.

Cyclops ofera servicii de Malware as a Service, fiind o grupare care se bazează pe complexitatea sistemului malițios dezvoltat în regim propriu, în vederea atingerii obiectivului malițios. Gruparea este cunoscută sub o multitudine de denumiri: APT28, Fancy Bear, Sednit, Sofacy, Voodoo Bear, the Sandworm, Knight. Specialiștii în securitate cibernetică cred ca aceasta grupare este in directă legatură cu guvernul rus.

Printre malware dezvoltate de această grupare putem aminti:

• Cyclops Ransomware
• Cyclops Blink
• Knight Ransomware
• Dot Net stealer (InfoStealer)

Cyclops, sau oricare denumire o preferăm, este o grupare eficientă, care se bazează pe abilitățile personale în coordonarea unui atac cibernetic cu un program malițios dezvoltat pe baza unor vulnerabilități pentru fiecare sistem de operare în parte. Eficiența ascestei grupări poate fi un rezultat a unei finanțări generoase din partea Guvernului Rus.

La puțin timp după atac, Knight a revendicat atacul pe site-ul Ransomfeed, adăugând și poze prin care să își ateste rolul de atacator. Grupările de hackeri care vor să le fie atribuite diferite atacuri cibernetice, în special când vorbim de instituții puternice, doresc să își scoată în evidență puterea în mediul cibernetic și importanța care ar trebui să le fie atribuită.

Concluzii

România este o țară cu o poziție geografică de mijloc, fiind între marile puteri. Rusia este un stat care își manifesta puterea în toate planurile disponibile, iar România este membră UE și NATO, aceste atacuri demostrând relațile tensionate din ultima vreme.

Securitatea cibernetică devine din ce în ce mai dificil de asigurat și complexitatea unui atac cibernetic este dat de vulnerabilitățile din sistemul victimei. Securitatea cibernetică românească se află în fața unei provocări la care va trebui să îi facă față prin metodele cele mai eficiente, deși de multe ori un atac cibernetic este foarte greu de prevenit, având în vedere componenta umană.

Educația în acest sens este o metodă prin care securitatea cibernetică poate fi întărită, precum și atragerea de specialiști care să facă față nevoilor de securitate cibernetică din spectrul cu care ne confruntăm.

The post Grupări de hackeri ruși atacă România first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

The post Spitalele din România afectate de ransomware first appeared on Hackout | Portalul Atacurilor Cibernetice din România.