Een ransomware-aanval op de Roemeense oliepijplijnbeheerder Conpet was mogelijk door een persoonlijke computer van een it-medewerker die met infostealer-malware besmet raakte, zo claimt securitybedrijf Hudson Rock. Infostealers zijn malware speciaal ontwikkeld voor het stelen van wachtwoorden en andere inloggegevens van systemen. Hudson Rock claimt informatie te bezitten over miljoenen met infostealer besmette systemen.

Vorige week claimde de Qilin-ransomwaregroep op de eigen website dat het Conpet had aangevallen en daarbij één terabyte aan data had buitgemaakt. De criminelen dreigen de gegevens te publiceren als er geen losgeld wordt betaald. Op 4 februari, een dag voordat de ransomwaregroep de naam van Conpet op de eigen website publiceerde, kwam de Roemeense oliepijplijnbeheerder met een persbericht waarin het meldde dat de zakelijke it-infrastructuur was getroffen door een cyberaanval. Daardoor is onder andere de website van Conpet nog altijd offline. De aanval had volgens het bedrijf geen impact op het transport van olie en gas.

Conpet gaf in het persbericht geen details over de oorzaak van de cyberaanval. Volgens Hudson Rock raakte het persoonlijke systeem van een it-medewerker van Conpet op 11 januari besmet met infostealer-malware. De onderzoekers stellen dat deze medewerker dit besmette systeem gebruikte om op belangrijke systemen van Conpet in te loggen. Onder de gestolen data bevonden zich inloggegevens voor de Windows Update Server (WSUS) van Conpet, het intranet en asset management.

"De desktopmachine werd duidelijk gebruikt voor persoonlijke projecten", aldus de onderzoekers. "Door in te loggen op zeer gevoelige werkaccounts (zoals de Conpet WSUS-server) vanaf een onbeveiligd persoonlijk apparaat gebruikt voor het downloaden van willekeurige software, heeft de medewerker het gat tussen de onderwereld en de vitale energie-infrastructuur van Roemenië overbrugd." Hoe de infectie met de infostealer-malware zich kon voordoen wordt niet door het securitybedrijf gemeld.