Pentru compromiterea infrastructurii ANCPI nu era neapărat nevoie de un complice din interior. Atacul ar fi putut începe prin furtul datelor de autentificare sau compromiterea calculatorului unui inginer, programator ori administrator. De acolo, atacatorul s-ar fi putut deplasa treptat către serverele de aplicații, GitLab, bazele de date, sistemele de backup și infrastructura centrală a instituției. Metoda exactă prin care hackerul a intrat în rețea nu a fost însă comunicată public.

---

Agenția Națională de Cadastru și Publicitate Imobiliară a confirmat că a fost victima unui atac cibernetic care a provocat „cea mai amplă întrerupere tehnică din istoria instituției”. ANCPI susține că datele administrate prin sistemele sale sunt în siguranță și nu au fost compromise, în timp ce presupusul atacator afirmă că a copiat baze de date, codul-sursă al aplicațiilor și informații din infrastructura internă.

Capturile publicate de utilizatorul „ByteToBreach” sunt numerotate și poartă denumiri precum „OpenAM Foothold”, „OpenDJ Bind”, „WebLogic Pivot”, „WebSphere Pivot”, „GitLab Pivot”, „Source Codes”, „Zabbix Pivot”, „vSphere Doors”, „Veeam-Sphere”, „AD Regrets” și „Shutdown”.

Această succesiune pare să prezinte chiar traseul revendicat de atacator: obținerea unui prim acces, identificarea conturilor și serverelor, deplasarea prin rețea, accesarea codului-sursă, compromiterea infrastructurii virtuale și, în final, oprirea sistemelor. Este însă cronologia prezentată de hacker, nu rezultatul unei investigații oficiale.

Totul putea începe cu parola unui inginer

Un hacker nu trebuie să „spargă” direct toate sistemele unei instituții. În multe atacuri, primul pas este obținerea contului legitim al unui angajat.

Poate fi vorba despre un inginer, un programator, un administrator IT, un angajat al instituției sau chiar un colaborator extern care are acces de la distanță.

Parola sau sesiunea utilizatorului poate fi furată printr-un e-mail de phishing, prin infectarea laptopului, printr-o parolă reutilizată și expusă anterior sau printr-un program specializat în extragerea datelor salvate în browser.

MITRE ATT&CK, una dintre principalele baze internaționale de documentare a tehnicilor folosite în atacuri informatice, arată că infractorii folosesc frecvent conturi valide pentru acces inițial, menținerea accesului, evitarea sistemelor de securitate și obținerea unor privilegii mai mari. Conturile compromise pot fi utilizate inclusiv pentru conectarea prin VPN, servicii de e-mail, echipamente de rețea sau sisteme de acces la distanță.

Într-un asemenea scenariu, primele conectări pot părea perfect legitime. Sistemul vede numele și parola corecte, iar atacatorul apare inițial ca fiind utilizatorul real.

Nu era nevoie de un complice din interior

Faptul că un hacker folosește accesul unui angajat nu înseamnă automat că persoana respectivă a colaborat cu el.

Un calculator compromis îi poate oferi atacatorului acces la:

• conexiunea VPN deja activă;
• sesiuni deschise în aplicațiile interne;
• parole salvate în browser;
• chei de acces la servere;
• tokenuri GitLab;
• documentație tehnică;
• programe de administrare;
• numele și adresele serverelor interne.

Cu alte cuvinte, calculatorul unui inginer poate deveni o poartă către infrastructura instituției chiar fără ca angajatul să știe că dispozitivul său este controlat de altcineva.

În prezent nu există nicio dovadă publică privind implicarea intenționată a unei persoane din interiorul ANCPI. Nu a fost comunicat nici dacă primul acces s-a realizat printr-un cont compromis, o vulnerabilitate informatică sau un sistem expus la internet.

Un utilizator simplu nu ar trebui să aibă acces la toate sistemele

Un cont obișnuit nu ar trebui să permită acces simultan la GitLab, Oracle WebLogic, VMware vSphere, Veeam și Active Directory.

Dacă atacatorul a ajuns într-adevăr la toate platformele prezentate, probabil nu s-a oprit la drepturile primului utilizator compromis. El ar fi încercat să obțină treptat acces la conturi cu privilegii mai mari.

Acest proces este cunoscut drept „escaladarea privilegiilor”. Atacatorul pornește de la un cont limitat și caută parole, chei, sesiuni administrative sau erori de configurare care îi permit să devină administrator.

Ulterior, el se poate deplasa de la un calculator la altul. Procesul este denumit „mișcare laterală” sau „pivotare”.

CISA explică faptul că atacatorii explorează rețeaua, identifică sistemele care îi interesează și se deplasează prin mai multe calculatoare și conturi până ajung la obiectivul urmărit. În unele cazuri folosesc chiar instrumentele legitime ale sistemului și conturile reale ale angajaților, deoarece astfel activitatea lor poate fi mai greu de observat.

Cum ar fi putut ajunge la GitLab

GitLab este platforma în care echipele tehnice păstrează codul-sursă al aplicațiilor și istoricul modificărilor realizate de programatori.

Dacă primul cont compromis aparținea unui dezvoltator, atacatorul ar fi putut găsi pe calculatorul acestuia o sesiune GitLab activă, o cheie SSH sau un token de acces.

Un asemenea token funcționează ca o cheie digitală. În funcție de drepturile utilizatorului, poate permite consultarea și copierea proiectelor fără introducerea repetată a parolei.

Atacatorul ANCPI susține că ar fi copiat serverele GitLab și codul-sursă al unor sisteme precum e-Terra și Registrul Electronic Național al Nomenclaturilor Stradale – RENNS. Afirmația apare în postarea sa, alături de capturi intitulate „GitLab Pivot” și „Source Codes”, dar nu a fost confirmată independent.

Copierea unui proiect GitLab nu presupune descărcarea manuală a fiecărui fișier. Un utilizator autorizat poate prelua întregul proiect, împreună cu versiunile anterioare și o parte din istoricul său.

Codul-sursă poate conține și informații extrem de utile pentru continuarea atacului: adresele altor servere, structura aplicațiilor, fișiere de configurare sau chei și parole introduse accidental de programatori.

Cum ar fi putut ajunge la bazele de date

Capturile publicate fac referire și la Oracle WebLogic și IBM WebSphere, platforme utilizate pentru rularea aplicațiilor complexe.

Nu este obligatoriu ca atacatorul să fi „spart” separat baza de date Oracle.

Aplicațiile trebuie să cunoască adresa bazei de date, numele utilizatorului tehnic și metoda de autentificare. Aceste informații pot fi păstrate în configurația serverelor pe care rulează aplicațiile.

Dacă hackerul a obținut control asupra unui server WebLogic sau WebSphere, ar fi putut găsi datele de conectare folosite în mod legitim de aplicația ANCPI.

Practic, nu ar fi fost necesar să forțeze direct ușa bazei de date. Ar fi putut găsi cheia folosită zilnic de aplicație.

Capturile publicate nu demonstrează însă ce parole sau niveluri de acces au fost obținute și nici ce baze de date ar fi fost copiate.

Zabbix i-ar fi putut oferi harta rețelei

O altă captură este denumită „Zabbix Pivot”.

Zabbix este un sistem folosit pentru monitorizarea infrastructurii informatice. El poate afișa serverele existente, adresele acestora, serviciile care rulează și eventualele probleme tehnice.

Pentru un administrator, Zabbix este un instrument de supraveghere. Pentru un atacator, poate deveni o hartă detaliată a rețelei.

După obținerea accesului, hackerul ar fi putut identifica mai rapid:

• serverele importante;
• sistemele de baze de date;
• platformele de virtualizare;
• componentele de backup;
• legăturile dintre aplicații;
• sistemele care puteau fi atacate în continuare.

Accesul la vSphere și Veeam ar presupune drepturi foarte mari

VMware vSphere este utilizat pentru administrarea mașinilor virtuale pe care pot funcționa numeroase aplicații și servere ale instituției.

Un cont cu privilegii suficiente poate permite accesarea consolelor serverelor, pornirea sau oprirea acestora, modificarea configurațiilor și, în anumite condiții, copierea ori ștergerea mașinilor virtuale.

Veeam este o platformă folosită pentru realizarea și restaurarea backupurilor. Accesul administrativ poate permite identificarea copiilor de siguranță și a locurilor în care sunt păstrate.

Capturile numite „vSphere Doors” și „Veeam-Sphere” sugerează că atacatorul pretinde că a ajuns inclusiv la aceste platforme. Ele nu demonstrează însă că toate backupurile ANCPI au fost copiate sau șterse.

Linkurile denumite „BACKUP” în postarea hackerului par să fie copii ale materialelor distribuite pe mai multe servicii publice de stocare, nu neapărat backupurile interne ale ANCPI.

Active Directory poate reprezenta cheia întregii rețele

Active Directory este sistemul central prin care sunt administrate conturile angajaților, calculatoarele, serverele, grupurile și permisiunile dintr-o organizație.

Una dintre capturile atacatorului este intitulată „AD Regrets”, aparent o referire la Active Directory.

Compromiterea unui cont cu privilegii ridicate în Active Directory poate permite controlul asupra unui număr mare de calculatoare și servere.

Un asemenea acces ar explica modul în care un incident pornit de la un singur cont sau dispozitiv s-ar putea extinde către o mare parte a infrastructurii.

Care este, de fapt, scenariul posibil

Traseul probabil ar putea arăta astfel:

Atacatorul compromite contul sau calculatorul unui utilizator tehnic. Se conectează la rețea folosind accesul legitim al persoanei respective. Caută apoi parole, chei și sesiuni administrative, obține drepturi mai mari și începe să se deplaseze către alte servere.

Ajunge la platformele de aplicații, identifică bazele de date, accesează GitLab și află structura infrastructurii prin sistemul de monitorizare. Ulterior încearcă să controleze Active Directory, platforma virtuală și sistemele de backup.

Abia după copierea informațiilor urmărite ar fi lansat componenta ransomware sau ar fi provocat oprirea sistemelor.

Aceasta este însă doar o reconstrucție tehnică posibilă, bazată pe denumirile și succesiunea capturilor publicate de presupusul atacator.

Nu se cunoaște în prezent vulnerabilitatea inițială, contul compromis, cantitatea exactă de date transferate și nici dacă hackerul a controlat efectiv toate platformele pe care pretinde că le-a accesat.

ANCPI declară că datele nu au fost compromise. În sens opus, ByteToBreach susține că deține informații despre cetățeni și copii ale serverelor GitLab. Publicația specializată Help Net Security arată că revendicarea trebuie luată în serios, având în vedere istoricul actorului, dar subliniază că, în acest moment, furtul datelor rămâne neverificat independent.

Până la publicarea rezultatelor unei investigații tehnice, nu se poate afirma dacă atacul a început prin contul unui angajat, prin exploatarea unui server sau printr-o altă vulnerabilitate.

Ceea ce indică însă capturile este că presupusul atacator revendică un acces profund în infrastructura ANCPI, nu simpla compromitere a unui site public.