Кой е главният заподозрян за интернет-атаките срещу референдума

Индикаторите за връзки на Sofacy/APT28 с руски държавни структури са по-скоро косвени. Според доклад на компанията за мрежова сигурност FireEye въпросната група, за разлика от китайските хакери, не се занимава с кражба на интелектуална собственост с цел икономическа изгода или пък с източване на финансови данни и банкови сметки. За сметка на това събира информация от разузнавателно, отбранително и геополитическо естество, от която полза може да извлече само дадено правителство. Групата използва основно три вектора на атака, за да разпространява своя шпионски софтуер: фишинг писма с прикачени файлове, клонинги на популярни сайтове и пробиви в сигурността на Java и Flash. Според специалистите по компютърна сигурност от 2007 г. насам Sofacy/APT28 систематично е подобрявала версиите на своите вредителски софтуери (malware), като повече от половината от тях съдържат елементи на руски език. Също така около 89% от засечените хакерски продукти на групата са компилирани в рамките на стандартното работно време в часовата зона, в която се намират Москва и Санкт Петербург.

Действията на Sofacy/APT28 винаги са строго целенасочени. Знае се, че групата проявява специфичен интерес към точно определени групи мишени – Кавказкия регион и най-вече Грузия, правителствени и военни структури в Източна Европа, NATO и други европейски организации за сигурност. Според FireEye обект на атаки е било грузинското МВР и поне две правителствени агенции от Източна Европа, една от които най-вероятно е полска. Също така хакерската група е имитирала легитимни сайтове, разпространявайки чрез клонингите им свои шпионски софтуери до всички, които ги отварят. И тук идва първата любопитна изненада – освен имитации на интернет страници на NATO, OSCE, унгарското и полското правителство, както и на полското военно министерство, FireEye са се натъкнали на фалшиви версии на българските онлайн медии standartnews.com и novinite.com. Sofacy също така са засечени да изпращат фишинг мейли до поименни списъци с американски, британски, канадски и турски офицери и военни аташета.

Българската следа

По-притеснителна информация за България обаче присъства в последния доклад на компанията за компютърна сигурност Bitdefender. Той е съвсем нов и датира от декември 2015 г. Въпросната фирма е базирана в Румъния и работи в тясно сътрудничество с правителствения CERT център – структура към Министерство на транспорта, която се занимава със сигурността на несекретните държавни компютърни мрежи у нас. Публично достъпният документ на Bitdefender съдържа данни, които доказват, че Sofacy/APT28 най-вероятно активно оперира в България доста преди DdoS-атаките срещу сайтовете на ЦИК и правителствените институции от октомври.

Bitdefender описват инцидент, при който ботове на Sofacy, инсталирани на девет машини, извършват сканиране на над 8.7 млн. мрежови устройства по IP адрес за потенциални пробиви в сигурността. Около 1.7 млн. от тези адреси са маркирани като "уязвими", като почти всички са в Украйна. Другите засечени потенциални цели са в Русия, Румъния, България, САЩ, Канада и Италия. Всичко това се случва в периода 10-14 февруари 2015 г., точно когато се провеждат преговорите в Минск за спирането на бойните действия в Донбас. По-притеснителният момент в случая е, че три от деветте бота, които извършват въпросното сканиране, са засечени на машини в България (останалите са във Великобритания и САЩ). Веднага след края на преговорите в Минск операцията по сканиране на IP адреси от страна на Sofacy се пренасочва приоритетно към Испания, Великобритания, Португалия, САЩ и Мексико.

"Настоящото ни разследване на операциите, провеждани от Sofacy, разкрива, че кибергрупата е изключително активна и фокусирана върху специфични региони. Основните цели са потенциални жертви в няколко държави, като например Украйна, Испания, Русия, Румъния, САЩ и Канада", обобщават от Bitdefender. И продължават: "За момента не е ясно по какви критерии операторите определят целите си, но изследването ни сочи, че те се избират от лист с уязвими IP адреси, подготвен предварително. Всички цели обаче попадат в няколко категории: политика, борба с онлайн престъпления, телекомуникации и аерокосмическа индустрия."

Друг индикатор, че Sofacy/APT28 не са просто хакери аматьори, е фактът, че групата разработва шпионски софтуери за преодоляване на т.нар. air-gap, или физическото отделяне на индустриалните мрежи от комерсиалния интернет. В този случай заразяването и пренасянето на информацията обикновено става чрез флашки или други преносими USB устройства. По подобен начин известният вирус Stuxnet успя да зарази инсталации от иранската ядрена програма, където се обогатяваше уран, и да повреди част от апаратурата.

Именно air-gap защитата е едно от нещата, които българските енергийни фирми изтъкват, когато обясняват колко са обезопасени срещу хакерски атаки. Индустриалните стандарти в енергетиката обаче, изглежда, не са помогнали много на техните украински колеги от "Прикарпаттяобленерго". На 23 декември миналата година те се превърнаха в първата електроцентрала в човешката история, успешно извадена от строя чрез кибератака. И то именно от руски хакери...