Департамент по налогам и сборам Южной Каролины опубликовал срочное предупреждение для граждан с объяснением ситуации и инструкцией по дальнейшим действиям.
Добычей хакеров стала база данных, которая содержит электронные налоговые декларации с 2002 года, а некоторые подавали их в электронном виде с 1998 года, около 387 тыс. номеров кредитных и дебетовых карт жителей штата, 3,6 млн номеров социального страхования, номера 3,3 млн банковских счетов и персональные данные 1,9 млн человек.
Расследование показало, что операция по взлому системы началась в августе 2012 года, когда несколько сотрудников налоговой службы получили сообщения по электронной почте с вредоносным вложением. Один из сотрудников открыл это вложение 13 августа 2012 года — и заразил свой рабочий компьютер. Скорее всего, вредоносная программа снабжалась кейлоггером, потому что вскоре злоумышленникам стали известны логин и пароль сотрудника. 27 августа 2012 года злоумышленник впервые дистанционно проник в систему Citrix, используя эти учётные данные. Полный отчёт об инциденте от независимой аудиторской компании Mandiant опубликован здесь.
Издание "Хакер" приводит хронологию атаки, ссылаясь на отчёт Mandiant.
29 августа злоумышленник запустил утилиты для получения паролей пользователей к шести серверам.
1 сентября злоумышленник запустил утилиту для получения учётных данных всех пользователей Windows. Злоумышленник также установил бэкдор в одну из систем.
2 сентября злоумышленник осуществил авторизацию на 21 сервере с похищенного аккаунта для разведки. Он также залогинился на платёжный сервер Департамента по налогам и сборам, но не выполнил вредоносных действий.
3 сентября злоумышленник заходил на восемь серверов для разведки, ещё раз авторизовался на платёжном сервере, но не выполнил вредоносных действий.
4 сентября злоумышленник заходил в шесть систем для разведки.
5-10 сентября: нет следов активности.
11 сентября злоумышленник заходил в три системы для разведки.
12 сентября злоумышленник скопировал файлы бэкапа базы данных в отдельную папку.
13-14 сентября злоумышленник заархивировал файлы бэкапа базы данных с помощью утилиты 7-zip, разбив архив на 14 томов, защищённых паролем. Затем архив был скопирован с сервера базы данных на другой сервер, после чего скопирован на удалённый сервер в интернете, а сам архив был удалён.
15 сентября злоумышленник заходил в десять систем для разведки.
16 сентября – 16 октября: нет следов активности.
10 октября полиция Южной Каролины обратилась в Департамент по налогам и сборам в связи с фактом утечки персональных данные трёх граждан. Сотрудники департамента проверили информацию и обнаружили, что она получена из их базы данных.
12 октября Департамент по налогам и сборам обратился в независимую компанию Mandiant для расследования инцидента.
17 октября злоумышленник проверил связь с сервером, используя бэкдор, установленный 1 сентября. Нет следов иной активности.
19 и 20 октября Департамент по налогам и сборам начал осуществлять процедуры восстановления системы, в соответствии с кратковременными рекомендациями Mandiant. Целью этих процедур было закрыть доступ посторонним лицам во внутреннюю сеть и обнаружить вмешательство извне.
С 21 октября по настоящее время нет следов посторонней активности.
