Фигурант дела хакерской группы Lurk заявил об уязвимости четырех российских аэропортов

Яромир Романов

Программист Александр Сафонов, который проходит в качестве подсудимого по делу хакерской группы Lurk, написал открытое письмо (есть в распоряжении Znak.com), в котором заявил об уязвимости, с точки зрения информационной безопасности, четырех крупных международных аэропортов России: Кольцово (Екатеринбург), Платов (Ростов-на-Дону), Курумоч (Самара) и Стригино (Нижний Новгород).

В начале письма Сафонов напоминает, что эти четыре аэропорта входят в управляющую компанию «Аэропорты регионов» (АР, контролируется Виктором Вексельбергом), и утверждает, что их компьютеры объединены «в единую корпоративную интернет-сеть». На самом деле в «Аэропорты регионов» входит шесть воздушных гаваней. Помимо перечисленных, это международный аэропорт Гагарин в Саратове и аэропорт Петропавловска-Камчатского. Почему Сафонов выделил только четыре из них, выяснить не удалось.

«Для управления интернет-сетью и компьютерами этой сети имеется специальный персонал, системные администраторы, у некоторых из которых есть права на доступ и управление всем. Компрометация (утечка) учетных данных таких сотрудников позволит злоумышленникам получить в сети аэропортов полный доступ», — отмечает далее в письме Сафонов. И пишет, что это как раз и произошло в случае с атакой на Кольцово, которую приписывают группе Lurk.

По версии следствия, группировка Lurk при помощи одноименной вирусной троянской программы проникла в компьютерную сеть екатеринбургского аэропорта Кольцово. Далее хакеры скопировали информацию с серверов транспортного узла, что позволило им получить доступ к персональным данным клиентов аэропорта и к его финансовой документации.

Яромир Романов

В своем письме программист Сафонов сообщает, что «ни сотрудники ФСБ», ни помогавшие им по делу Lurk «сотрудники „Лаборатории Касперского“» не ставили перед собой задачи по поиску «точки входа» — устройства, через которое был, собственно, выполнен взлом системы. «Как рассказали [на суде] сотрудники аэропорта, когда к ним пришли из ФСБ и „Лаборатории Каспреского“, они указали на два компьютера, дали их доменные имена, на которых был Lurk и забрали диски с этих ПК. Более они ничего не делали и не изымали. Даже сервер домен-контроллера, на котором содержаться скомпрометированные учетные записи и который сам скомпрометирован», — пишет программист.

Он настаивает, что «обеспечение безопасности» не входило в планы силовиков. Цель была другая — «найти и посадить в тюрьму группу Lurk». «Работы по поиску точки входа сотрудники аэропорта стали проводить своими силами плюс обращались за консультациями к внешним специалистам, например в „Group IB“. Увы, но собственные работы по поиску точки входа результатов не дали. Ни точки, ни способа входа в интернет-сеть обнаружены не были», — подчеркивает Сафонов. И делает два вывода:

«Интернет-сеть аэропортов до сих пор уязвима к повторным атакам. Существует высокая вероятность того, что интернет-сеть аэропортов и сейчас находится под внешним контролем злоумышленников».

«Загадкой остается, почему не стали искать точку входа, ведь аэропорты — элемент критической инфраструктуры РФ. Кто же тогда и как обеспечивает безопасность аэропортов и перелетов?» — пишет в конце своего письма подсудимый программист.

Помимо этого, он утверждает, что корпоративная сеть Кольцово уязвима еще как минимум по двум факторам. С одной стороны, подразделениями «Аэропортов регионов» используется программная продукция, сделанная на территории «потенциального противника», — американской корпорацией Microsoft. С другой стороны, сеть уязвима из-за использования компьютеров устаревших серий. В частности, упоминаются «десятилетние Pentium 4». «Уровни безопасности операционной системы Windows сильно отличаются. Например, Windows 8.1 и Windows 10 имеют постоянно включенную технологию противодействия взломам, которая значительно повышает уровень защиты компьютера. При этом каждое новое поколение ОС и ПО предъявляет более высокие требования к аппаратному обеспечению», — констатирует Сафонов.

Яромир Романов«Заявление о том, что ИТ-системы аэропортов скомпрометированы и ненадежны, не подкреплены никакими объективными фактами, — заявили в ответ на это письмо в пресс-службе аэропорта Кольцово.

— Подчеркнем, атака хакерской группы Lurk была проведена на периферийные рабочие станции аэропорта Кольцово, которые не подключены к системам обслуживания пассажиров и рейсов, и, следовательно, не могла им угрожать. Вывод о незащищенности аэропорта как стратегического объекта инфраструктуры не обоснован. Утверждение о том, что способ проникновения на периферийные рабочие станции не был установлен — ложно. В противном случае, следствие не смогло бы установить подозреваемых и выйти на участников группы Lurk».

Также в сообщении пресс-службы Кольцово отмечается, что с «момента атаки был реализован дополнительный комплекс мер по исключению подобных атак» в дальнейшем и по «устранению всех возможных уязвимостей в системе информационной безопасности». «По результатам этой работы для проверки защищенности информационных систем аэропортов холдинга были привлечены три независимых аудитора. Тесты на проникновение проводили „Уральский центр систем безопасности“ в ноябре 2016 года и международная компания Avnet Securities (Израиль) в декабре 2016 года. Также был проведен комплексный аудит систем информационной безопасности аэропортов холдинга российской компанией АО „Элвис-Плюс“ в июне — июле 2017 года. Тесты и аудит показали высокую защищенность информационных систем и отсутствие уязвимостей, о чем есть соответствующие экспертные заключения», — говорится в комментарии пресс-службы аэропорта Екатеринбурга.

В Екатеринбурге назначены слушания по основному делу хакерской группы Lurk

Также там подчеркивается, что «голословные утверждения подсудимых хакеров», по всей видимости, «рассчитаны исключительно на манипуляцию общественным мнением в собственных интересах». Такого же мнения придерживаются и собеседники в силовых структурах, причастные к расследованию этого дела. По мнению силовиков, все заявления Сафонова не более чем «линия защиты», рассчитанная на привлечение внимания к судебному процессу по делу группы Lurk.

По делу так называемой хакерской группы Lurk обвиняемыми проходят 22 человека. Следствие считает, что за несколько лет ее члены похитили 1 млрд 264 млн рублей из коммерческих компаний и банков, выводя средства через крупнейшие российские банки. Также они проникли в компьютерную сеть екатеринбургского аэропорта Кольцово, скопировав информацию с серверов транспортного узла.

Подсудимый по делу хакеров Lurk — о ходе следствия, связи с ФСБ и выборами Трампа. Интервью

В зависимости от роли каждого им инкриминируют часть 4 статьи 159.6 УК РФ («Мошенничество в сфере компьютерной информации в особо крупном размере, совершенное группой лиц»), статья 210 УК РФ («Организация либо участие в преступном сообществе»), часть 2 статьи 273 УК РФ («Создание, использование и распространение вредоносных компьютерных программ»), часть 3 статьи 272 УК РФ («Неправомерный доступ к компьютерной информации»).

Разбирательство идет с начала с февраля текущего года в Кировском районном суде Екатеринбурга. В ходе процесса подсудимые уже неоднократно заявляли о том, что не признают предъявленного им обвинения. В частности, екатеринбуржец Константин Козловский, которого следствие считает организатором группы, вообще заявил, что считал себя агентом ФСБ РФ, работающим по заданию спецслужб.