Xakep #305. Многошаговые SQL-инъекции
9 мая 2022 года российский видеохостинг RuTube пострадал от хакерской атаки, ответственность за которую взяли на себя Anonymous. В СМИ появились сообщения о том, что сайт вообще не подлежит восстановлению, и 90% бэкапов повреждены, однако сегодня RuTube вернулся в строй, а расследованием случившегося теперь занимается команда специалистов экспертного центра безопасности Positive Technologies (PT Expert Security Center).
Атака на сервис произошла рано утром 9 мая 2022 года. Как сообщалось в официальном Telegram-канале RuTube: «кто-то изо всех сил пытался помешать нам провести трансляцию главного события сегодняшнего дня – Парада Победы и праздничный салют». Также представители сервиса назвали произошедшее крупнейшей кибератакой в истории сервиса, заявляя, что RuTube «заказали».
«RUTUBE подтверждает, что третьим лицам не удалось получить доступ к видеоархиву. Вся библиотека, включая пользовательский контент, по-прежнему сохранена на сервисе. Сейчас ведутся работы по восстановлению инфраструктуры видеоотдачи», — писали представители RuTube.
Вместе с этим Anonymous заявили в Twitter, что это они взломали сервис и нанесли серьезный ущерб платформе: якобы в ходе атаки пострадали или были уничтожены 75% баз и инфраструктуры основной версии сайта и 90% бэкапов и кластеров для восстановления БД.
Издание The Village (издание заблокировано Роскомнадзором на территории РФ), со ссылкой на собственные источники, сообщало, что атаки начались около пяти утра, и в результате был «полностью удален код сайта», а видеосервис теперь вообще «не подлежит восстановлению».
«Обычно на такой случай предусмотрены бэкапы, но в конкретной ситуации проблема, видимо, в том, что в сервисе до сих пор не понимают, имеет ли по-прежнему хакер доступ к системе или уже нет. Видео-контент в результате атаки не пострадал. По мнению источника, такая кибератака стала возможна из-за утечки кодов доступа к сайту», — писали журналисты.
Представители RuTube быстро опровергли эти заявления, заверив, что исходный код не утерян:
«Информация относительно утери исходного кода сайта не соответствует действительности. Мы и правда столкнулись с самой сильной кибератакой за всю историю существования RUTUBE.
Важно понимать, что видеохостинг - это петабайты данных архивов и сотни серверов. Восстановление потребует больше времени, чем изначально предполагали инженеры. Однако мрачные прогнозы не имеют ничего общего с настоящим положением дел: исходный код доступен, библиотека цела. Сейчас идет процесс по восстановлению сегментов файловой системы удаленных сред и баз на части серверов», — сообщала команда RuTube.
Сегодня, 11 мая 2022 года, видеохостинг наконец вернулся в строй и сейчас, по словам главы RuTube Александра Моисеева, сейчас «на платформе проводится нагрузочное тестирование и дополнительная проверка на уязвимость».
Также сообщается, что к расследованию произошедшего, а также для устранения последствий атаки к делу были привлечены несколько экспертных команд, в частности команда специалистов экспертного центра безопасности Positive Technologies (PT Expert Security Center).
«Совместно со специалистами RUTUBE мы проводим контрольные работы, после чего видеохостинг будет выведен во внешний контур. Также работы ведутся в контексте восстановления хронологии действий злоумышленника, выявления полного перечня элементов инфраструктуры, затронутых инцидентом, собираются данные об особенностях использованного технического инструментария и проч. Это необходимо для того, чтобы “вычистить” злоумышленников из инфраструктуры и перекрыть им возможные пути возвращения», — говорит Алексей Новиков, директор экспертного центра безопасности Positive Technologies (PT Expert Security Center).
Сообщается, что сервис будет восстанавливать работу поэтапно. Так, пользователям уже доступно 99,5% библиотеки видео, а фунциональность для авторов контента будет появляться постепенно:
«1 этап: восстанавление студии автора контента и загрузки видео, мониторинг трансляций для пользователей.
Далее усиляем инфраструктуру для более быстрой загрузки.
2 этап: восстановление поиска и комментариев», — сообщают в официальном Telegram-канале.
Стоит отметить, что представители Group-IB были вынуждены выпустить официальное заявление относительно случившегося, полностью опровергнув, что продукты компании используются или когда-либо использовались для защиты от кибератак офисной или серверной инфраструктур или отдельных приложений видео-хостера RuTube.
«9 мая в 16:10 в одном из аккаунтов в социальной сети Twitter был опубликован пост пользователя под ником sudormRF-6, создавший почву для домыслов и появления множества источников недостоверной информации относительно участия Group-IB в проекте по защите российского видеохостера Rutube, подвергшегося кибератаке 9 мая 2022 года. Пост sudormRF-6 содержал скриншот письма, активно распространяемого сейчас в интернете. <...> Group-IB подчеркивает, что во время атаки 9 мая 2022 года, равно как и до нее, продукты Group-IB не использовались для защиты Rutube», — сообщили в Group-IB.
