Što se dogodilo?
Savezni ured za sigurnost informacijske tehnologije (BSI) potvrdio je putem Mastodona da je kampanja napada „TerminalFix" bila ulazna točka za kibernetički napad na berlinske senatske uprave. Pogođene su bile Senatska uprava za urbani razvoj, graditeljstvo i stanovanje te Senatska uprava za mobilnost, promet, okoliš i zaštitu klime. Napad je postao poznat sredinom kolovoza 2026. i doveo je do masivnog curenja podataka, uključujući dijelom kritične informacije. Prema izvještajima Spiegela, iza napada stoji poznata ransomware skupina Rhysida.
Detalji
Kronologija incidenta pokazuje razmjere krize: podaci su već od 7. do 12. kolovoza 2026. bili izvlačeni od strane napadača, iako je sam napad počeo znatno ranije. Dana 14. kolovoza pogođene senatske uprave izolirane su od zemaljske mreže, a tri dana kasnije Senatska kancelarija javno je informirala o „IKT incidentu u zemaljskoj mreži Berlina" te osnovala krizni stožer za izvanredne situacije. BKA i LKA pokrenuli su istragu.
Posljedice su bile primjetne i za građane: 21. kolovoza došlo je do problema s transfernim plaćanjima, pa tako 50.000 ovlaštenih kućanstava u Berlinu nije moglo primiti subvenciju za stanovanje. Tek 24. kolovoza svi dijelovi senatske uprave ponovno su bili spojeni na mrežu. Dana 28. kolovoza potvrđeno je da su napadači ukrali podatke i postavili zahtjev za otkupninu – gradonačelnik Kai Wegner izjavio je da se Savezna zemlja Berlin neće dati ucijeniti. Na stranici Rhyside na darknetu pojavio se zahtjev za 30 bitcoina, što u protuvrijednosti iznosi oko 2 milijuna eura, popraćen navodnim izvodima podataka uključujući popise lozinki u čistom tekstu, pravosudne dokumente i više od 46.500 ugovora Savezne zemlje.
Dana 4. rujna kriminalci su naposljetku objavili oko 1,44 milijuna datoteka na darknetu, uključujući kadrovske dokumente, podatke o disciplinskim postupcima, financijske dokumente te detalje o kritičnoj infrastrukturi Berlina. BSI je zatim 5. rujna upozorio na „povišenu razinu prijetnje" za društvo.
Tehnički tijek napada TerminalFix
Prema Microsoftu, TerminalFix je varijanta malware kampanje „ClickFix" poznate još od veljače 2026. Korisnici se navode da otvore Windows terminal – za razliku od ClickFixa koji koristi kombinaciju tipki [Windows]+[R], TerminalFix koristi put preko [Windows]+[X] i zatim [I] za izravan pristup PowerShellu.
Putem PowerShella izvršava se zlonamjerna naredba koju korisnik mora sam zalijepiti iz međuspremnika. Ona dospijeva tamo jer ju je manipulirana web-stranica automatski kopirala putem JavaScripta. Te stranice simuliraju lažni Cloudflare captcha – oblik socijalnog inženjeringa koji iskorištava činjenicu da pravi Cloudflare captchai i inače zahtijevaju različite korisničke akcije, zbog čega neuobičajeni unosi s tipkovnice ne izazivaju odmah sumnju.
Izvršena naredba u pozadini preuzima prvi zlonamjerni softver putem skripte, dok manipulirana web-stranica odvlači pažnju korisnika lažnim captchaom. Pritom se zloupotrebljava, između ostalog, potpisana, inače bezazlena Windows datoteka „LockScreenContentServer.exe" za instalaciju datoteke „dui70.dll" putem sideloadinga. Ona zatim preuzima PNG slikovne datoteke u kojima su putem steganografije skriveni daljnji zlonamjerni programi.
Malware se zatim trajno usidri putem registarskih ključeva, svaki sat provjerava vlastiti status i čeka nove naredbe napadača. Osim toga, postavlja se SOCKS proxy koji napadačima omogućuje tunel u mrežu pogođene organizacije. Datoteke i direktoriji pritom se skrivaju u Windows Exploreru kako bi se otežalo otkrivanje.
Analiza
Posebno je zabrinjavajuće što su lozinke u berlinskim tijelima očito bile pohranjene u čistom tekstu, što je Rhysidi prema izvještaju olakšalo posao. I dalje nije razjašnjeno kako su napadači na kraju uspjeli pristupiti gotovo svim podacima obiju senatskih uprava.
Javne uprave smatraju se posebno ranjivim metama jer su imena, adrese e-pošte i kadrovske strukture često djelomično javno dostupne – idealno tlo za socijalni inženjering. Takvi se napadi nazivaju i „water-holing", jer se manipulirane web-stranice postavljaju tamo gdje se žrtve redovito zadržavaju, primjerice putem phishing e-mailova, poveznica na društvenim mrežama ili objava na forumima. Čak i ako pokušaj uspije tek nakon mnogo pokušaja, trud se isplati s obzirom na zahtjev za otkupninu od oko 2 milijuna eura.
BSI se također poziva na neimenovanog vanjskog pružatelja usluga, prema čijim podacima Rhysida u 92 posto slučajeva u kojima prijeti objavom, tu prijetnju i stvarno provede. Skupina se prvenstveno usredotočuje na zdravstveni i obrazovni sektor, no javne uprave također se ubrajaju među pet najčešće spominjanih vrsta meta.
Upozorenje na posljedične štete
Glasnogovornik CCC-a Joachim Selzer već je 30. kolovoza upozorio na moguću krađu identiteta i daljnje pokušaje prijevare. Građani čiji bi se osobni podaci mogli nalaziti u objavljenom skupu podataka također su lako mete pokušaja ucjene.
Praktični savjeti
- Zaposlenike treba educirati da kritički preispituju sumnjive zahtjeve za korištenje terminala, PowerShella ili dijaloga za pokretanje programa – posebno kada se pojavljuju u kontekstu captche ili verifikacije.
- Lozinke se ni u kojem slučaju ne smiju pohranjivati u čistom tekstu; korištenje upravitelja lozinki s enkripcijom obavezno je.
- Redovita provjera unosa u registru i neuobičajenog mrežnog prometa (primjerice veza putem SOCKS proxyja) može pomoći u ranom otkrivanju trajno ugrađenog malwarea.
- Budući da se potpisane, legitimne Windows datoteke mogu zloupotrijebiti za sideloading, preporučuju se rješenja za otkrivanje na krajnjim točkama koja nadziru i ponašanje potpisanog softvera.
- Tijela i organizacije trebale bi, kao što je bio slučaj u Berlinu, u izvanrednoj situaciji dosljedno izolirati svoje sustave te transparentno komunicirati i prema van i prema unutra.
Izgledi
Savezna zemlja Berlin u međuvremenu je osnovala „upravljačku jedinicu" putem koje će se kontaktirati osobe pogođene curenjem podataka e-mailom i pismom. Istovremeno, prema Senatskoj upravi, provodi se provjera svih približno 12.000 sustava Savezne zemlje „24 sata dnevno". Kako su točno napadači uspjeli pristupiti praktički svim podacima obiju uprava, i dalje je predmet istrage BKA-a i LKA-a. Razjašnjenje te točke vjerojatno će biti ključno za sprječavanje sličnih napada na druga tijela u budućnosti. S obzirom na „povišenu razinu prijetnje" koju je proglasio BSI, može se očekivati da će uslijediti daljnji detalji o incidentu i aktivnostima Rhyside.
