Групата за изнудване чрез рансъмуер Everest пое отговорност за пробива, извършен през септември срещу Collins Aerospace и нейната система за чекиране MUSE, след който редица големи европейски летища бяха засегнати от сериозни смущения, продължили няколко дни.

Основни акценти:

• Everest заявява, че стои зад атаката срещу Collins Aerospace, която предизвика хаос по летищата в Европа през септември.

• Групата твърди, че е изтеглила база данни с размер над 50 GB от сървърите на компанията и е поставила осемдневен срок за откуп, но не е представила доказателства за това.

• Пробивът доведе до многодневни затруднения при чекиране, засегнали хиляди пътници по целия свят, подчертавайки растящите заплахи за авиационната инфраструктура.

• Името на Collins Aerospace, подразделение на Raytheon Technologies Corporation (RTX), се появи в „изтеклите данни“ на Everest на 18 октомври, като публикацията е датирана и за 14-15 октомври.

Рансъмуер атаката и исканията на групата

Everest, която наскоро заяви и атака срещу BMW, твърди, че е придобила над 50 GB база данни от един от водещите световни доставчици в областта на авиацията и отбраната. В публикацията им, озаглавена “MUSE-INSECURE: Inside Collins Aerospace’s Security Failure”, групата излага пет секции, включително списък с предполагаеми FTP достъпи и съобщение, адресирано до „CEO“.

Не е ясно дали под „CEO“ се има предвид президентът на Collins Aerospace – Стивън Тим, или главният изпълнителен директор на RTX – Кристофър Калио. Everest твърди, че е предоставила на ръководството парола за достъп до това съобщение.

Таймер за обратно броене, първоначално стартиран на 14 октомври, показваше оставащи 24 часа до изтичането на срока за договаряне. Впоследствие обаче Everest го е нулирала, предоставяйки още осем дни на Collins Aerospace да изплати откупа, преди предполагаемата база данни да бъде публикувана или продадена.

Източници предполагат, че това може да е станало след контакт между компанията и нападателите, за да бъдат чути условията им. Характерно за групата е, че не предоставя примерни файлове за доказателство – практика, която я отличава от други рансъмуер оператори.

Нарушенията в работата на летищата

Инцидентът започва на 19 септември, когато Collins Aerospace, доставчик на технологични услуги за множество летища в Европа, съобщава за „технически проблем“ в системата за чекиране Arinc cMUSE.

Майката компания RTX потвърждава, че става въпрос за киберсвързано нарушение, което е засегнало електронното чекиране и обработката на багаж, но е можело временно да бъде компенсирано чрез ръчна работа.

След няколко дни хаос, ENISA (Агенцията на ЕС за киберсигурност) потвърждава, че рансъмуер атака е причина за спирането на автоматизираните системи.

Най-напред проблеми са регистрирани на летище Хийтроу (Лондон), а скоро след това и на летищата в Брюксел, Берлин, Дъблин и Корк.
Брюкселското летище обявява на сайта си:

„Възможно е само ръчно чекиране и качване на борда. Това има значително въздействие върху разписанието и ще доведе до закъснения и анулирани полети.“

Collins Aerospace е информирала Хийтроу, че около 1000 компютъра са били компрометирани и могат да бъдат възстановени само локално, което е допринесло за продължителните смущения.

Рансъмуер заплахите в авиацията и отбраната

Секторът на аерокосмическите и отбранителни технологии е особено уязвим към такива атаки, поради наличието на чувствителни данни – търговски тайни, клиентска информация, договори за отбрана и ключови вериги за доставки.

През последните месеци редица компании от този сектор бяха поразени от рансъмуер:

• През август групата Play атакува доставчика на ВМС на САЩ – Jamco Aerospace.

• През януари INC Ransom пое отговорност за нападение срещу Stark Aerospace.

• В края на 2023 г. LockBit удари Boeing, причинявайки временни прекъсвания в операциите.

През 2025 г. атаки бяха насочени и към FAI Aviation Group (Германия), WestJet (Канада), Hawaiian Airlines, Alaska Airlines и Qantas (Австралия).

Кои са Everest?

Според инструмента за мониторинг на тъмната мрежа Ransomlooker на Cybernews, Everest е публикувала 248 жертви от 2023 г. насам, от които над 105 само през последните 12 месеца – правейки я една от най-активните киберпрестъпни групировки.

Макар и да изостава от гиганти като Qilin, Play, Cl0p и RansomHub, Everest продължава да се нарежда сред водещите групи по брой инциденти.

Основана през 2021 г., тя се прочу след атаката срещу AT&T през 2022 г., при която твърдеше, че е получила достъп до цялата корпоративна мрежа.

Оттогава Everest е свързвана с множество атаки срещу компании като BMW, Allegis Group, Coca-Cola Middle East, Департамента по култура и туризъм на Абу Даби, Jordan Kuwait Bank, както и срещу организации в САЩ, включително Mailchimp, Radisson Country Inn and Suites и Pacific HealthWorks.

Смята се, че Everest има връзки с групата BlackByte.