STT kertoi lisätietoja, millaisen hyökkäyksen kohteeksi se joutui – Tor-verkossa ilmottautunut tekijä iski myös Wärtsilään

Ryhmä julkisti tiedon myös pimeässä Tor-verkossa torstaina.

Vastaavan ryhmittymän on kerrottu olleen tekijänä myös konepajayhtiö Wärtsilään heinäkuussa kohdistuneessa hyökkäyksessä. LV-ryhmittymä pääsi Ylen mukaan käsiksi Wärtsilän laskutus- ja ostotietoihin.

Hyökkääjä on esittänyt lunnasvaatimuksen STT:lle. Vastaavan päätoimittajan Minna Holopaisen mukaan vaateeseen ei ole vastattu.

Lähdesuoja ei myöskään ole hänen mukaansa vaarantunut.

STT:hen kohdistui verkkohyökkäys viime viikolla perjantain vastaisena yönä, ja hyökkäyksen vuoksi STT ajoi alas osan järjestelmistään varotoimena. Hyökkäys huomattiin ja keskeytettiin vielä, kun se oli käynnissä.

LV-ryhmittymä väittää pimeässä verkossa julkaisemassaan blogikirjoituksessa, että ryhmittymä olisi saanut kaiken STT:n tiedon haltuunsa.

STT:n toimitusjohtajan Kimmo Laaksosen mukaan väite ei pidä paikkansa.

– Pystyimme pysäyttämään hyökkäyksen yöllä, ja olemme koko ajan kyenneet jatkamaan uutistoimintaamme, Laaksonen sanoo.

Helsingin poliisi tutkii asiaa tietomurtona ja tietojärjestelmän häirintänä. Esitutkinta käynnistettiin tällä viikolla.

Motiivina raha

Kiristyshaittaohjelmalla tehdyssä iskussa hyökkääjä esimerkiksi murtautuu kohteen tietojärjestelmään ja yrittää sinne ujutetun ohjelman avulla kaapata mahdollisimman paljon kohteelle arvokasta tietoa. Tämän jälkeen hyökkääjä lukitsee tiedon ja vaatii lunnaita, jotta uhri saa tiedot takaisin käyttöönsä.

Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskuksesta kerrotaan, että kuluneen puolen vuoden aikana keskukselle on ilmoitettu 15 hyökkäyksestä, joissa epäillään käytetyn kiristyshaittaohjelmaa. Kyberturvallisuuskeskukselle ei kuitenkaan välttämättä ilmoiteta kaikista hyökkäyksistä.

Tietoturva-asiantuntija Aino-Maria Väyrynen Kyberturvallisuuskeskuksesta kertoo yleisellä tasolla, että vuodon kohdetta voidaan kiristää myös sillä, että yrityksen arkaluontoista tietoa julkistetaan. Toiminnan motiivina on Väyrysen mukaan raha, ja verkkoympäristössä kiinnijäämisen riski on pienempi kuin fyysisessä rikollisuudessa.

–  Emme missään nimessä voi suositella, että rikollista liiketoimintaa tuetaan. Lunnaita ei pitäisi lähteä missään nimessä maksamaan, Väyrynen sanoo.

Tilauksena tai suoraan

Kyberturvallisuuskeskuksen tietoturva-asiantuntijoiden mukaan kiristyshaittaohjelmalla tehtyjä hyökkäyksiä voivat tehdä ryhmittyvät itse, mutta ne voivat olla myös tilaustyönä tehtyjä. Keskus ei kommentoi sitä, voiko hyökkäysten takana olla valtiollinen toimija.

–  On toimijoita, jotka aktiivisesti itse etsivät uhrejaan, sanoo tietoturva-asiantuntija Juho Halttunen Kyberturvallisuuskeskuksesta.

Keskus ei ole kerännyt tietoa eri ryhmittymistä, mutta moni tietoturvallisuusalan yritys seuraa niitä. Ohjelmistoyhtiö Microsoftin toukokuussa julkaiseman tietosuojablogin mukaan verkkokiristystä tekevät kansainvälisesti useat eri toimijat, ja hyökkäyksiä voidaan tehdä myös alihankintana.

LV-ryhmittymä käyttää kyberturvayhtiö Secureworksin blogin mukaan omassa LV Ransomware -haittaohjelmistossaan pohjana vastaavaa koodia kuin mitä on käyttänyt REvil-nimellä kulkenut kiristysohjelmaryhmä. REvil on puolestaan BBC:n mukaan taustaltaan venäläinen ryhmä, joka on aiemmin joutunut viranomaisten operaatioiden kohteeksi.

Mikä ihmeen kiristyshaittaohjelma?

Kiristyshaittaohjelmalla tehdyssä iskussa hyökkääjä murtautuu kohteen tietojärjestelmään ja yrittää kaapata mahdollisimman paljon kohteelle arvokasta tietoa.

Tämän jälkeen hyökkääjä lukitsee tiedon ja vaatii lunnaita, jotta uhri saa tiedot takaisin käyttöönsä.

Ohjelmistoyhtiö Microsoftin toukokuussa julkaiseman tietosuojablogin mukaan verkkokiristystä tekevät kansainvälisesti useat eri toimijat, ja hyökkäyksiä voidaan tehdä myös alihankintana.

LV-ryhmittymä käyttää kyberturvayhtiö Secureworksin blogin mukaan omassa LV Ransomware -ohjelmistossaan pohjana vastaavaa koodia kuin mitä on käyttänyt REvil-nimellä kulkenut kiristysohjelmaryhmä.

REvil on puolestaan BBC:n mukaan taustaltaan venäläinen ryhmä, joka on aiemmin joutunut viranomaisten operaatioiden kohteeksi.

Lue lisää: Poliisi tutkii STT:hen kohdistunutta verkkohyökkäystä tietomurtona ja tietojärjestelmän häirintänä

STT:n tietojärjestelmien korjaaminen edistynyt merkittävästi, tietovuodon mahdollisuutta ei voida sulkea pois