Атаки російських хакерів

Кібератака на трубопровід Colonial Pipeline розпочалася 6 травня 2021 року. За наявними даними незакінченого розслідування, служба ФБР каже про участь російських хакерів. Даний інцидент на нетривалий час паралізував 45% східного узбережжя США, оскільки люди просто не могли заправити бензином свої автомобілі.

Кібератаки вже стали невіддільною частиною гібридної війни. Росія раз у раз потрапляє в скандали, пов'язані з крадіжкою даних із зарубіжних урядових або приватних компаній, кібершпіонажем, блокуванням метрополітенів, електростанцій і так далі. Найбільш відомими російськими групами хакерів є Fancy Bear, Tsar Team, APT28, DarkSide, Cozy Bear, TG-4127, а також одинак Guccifer 2.0. Є припущення, що всі ці назви можуть належати одній групі людей, а також, що ця група прямо або побічно пов'язана з спецпідрозділом зовнішньої розвідки ГРУ і підпорядковується безпосередньо Кремлю.

Нижче будуть представлені найгучніші кіберзлочини, вчинені тією чи іншою групою зловмисників.

Атака на антидопінгове агентство

Одним з найменш серйозних випадків була атака, здійснена на антидопінгове агентство. 13 вересня 2016 року група зловмисників Fancy Bear зламала бази даних адміністрації агентства. В результаті, хакерам стала доступна інформація про медичні дані учасників всіляких змагань.

Атака на передвиборчий штаб Хілларі Клінтон

Одним з найгучніших кіберзлочинів, здійсненим російськими хакерами, став напад на передвиборчий штаб Хілларі Клінтон в 2016 році. Посилаючись на правоохоронні органи США, відома американська газета заявила, що атаку провела все та ж група - Fancy Bear. Хакери злили на «Wikileaks» - міжнародну некомерційну організацію, яка публікує секретні дані, взяті із закритих джерел, більше 20 тис. електронних листів. Всі вони були або відправлені Клінтон особисто, або в них йшлося про неї і про її передвиборчу гонку.

Архіви метаданих з електронними листами Хілларі Клінтон

Спецслужби США припустили, що Fancy Bear пов'язані з ГРУ і фактично є співробітниками особливого спецпідрозділу, який займається кібернетичною діяльністю. Незважаючи на те, що це було всього лише припущення, розслідуванням займався Мін'юст США, а це значить, що вже тоді в Америці знали про іноземне походження хакерів.

В опублікованих листах було видно, що глава DNC (Демократичний національний комітет) Деббі Вассерман Шульц, а також її помічники усіма силами намагалися просувати Клінтон і навпаки не давали іншому однопартійцю - Берні Сандерсу, стати лідером від DNC. Після цього рейтинги Клінтон впали, а Шульц подала у відставку. Таким чином, Fancy Bear втрутилися у внутрішні справи передвиборчої гонки в США в 2016 році.

Архіви, в яких міститься листування Вассерман Шульц щодо перешкоджання у виборах однопартійцю Клінтон Берні Сандерсу

Аналізуючи ситуацію, одночасно дві компанії, які спеціалізуються з питань кібербезпеки, прийшли до висновку, що Cozy Bear, нібито друга, незалежна від Fancy Bear група хакерів, мала доступ до серверів DNC ще з літа 2015 року.

Розслідування CrowdStrike, в якому говориться, що російські хакери вже мали доступ до серверів DNC ще за рік до офіційного злому

Інша фірма з кібербезпеки SecureWorks, що належить компанії Dell, провівши розслідування, визначила, що група хакерів, яка зламала сервери DNC, називається TG-4127. Вони також зламали пошту Хілларі Клінтон.

Звіт SecureWorks про проведене розслідування і висновки про причетність угруповання TG -4127 до злому серверів DNC

Спеціаліст Том Фінні з SecureWorks пояснив, що TG-4127 і Fancy Bear використовували одну і ту ж вірусну програму для отримання доступу до серверів. На підставі цього, SecureWorks заявили, що Fancy Bear і TG-4127 - одна і та ж група осіб. Електронна пошта DNC розташовувалася в Google, тому зловмисники відправляли їм електронні листи, всередині яких містилося посилання на сторонній сайт. Зовні, він в точності був таким же, як інтернет сторінка для входу в пошту Google. При натисканні на посилання, людина потрапляла на головну сторінку Gmail, де в полі "Ім'я", вже була назва електронної скриньки держслужбовця і йому необхідно було ввести тільки пароль, після введення якого хакери і здобувати доступ до всього листування. Необхідно відзначити, що за даними CrowdStrike, Cozy Bear використовували вірус всередині листів. Він був зашифрований в посилання у листі, при натисканні на яке вірус заражав весь комп'ютер. Тобто, це ще раз підтверджує, що Fancy Bear і TG-4127 - одна і та ж група, в той самий час Cozy Bear може дійсно бути незалежною організацією від них.

Після проведеного розслідування спецслужбами США, передвиборчий штаб Хілларі Клінтон відкрито звинуватив Росію в кібератаці. Вони пояснили це тим, що Кремль підтримує Дональда Трампа у виборах в президенти США.

Однак, дещо пізніше, всю відповідальність взяв на себе хакер-одинак - Guccifer 2.0. Людина має свій сайт, на якому розповідає про себе, про свою діяльність, про те, що злом серверів DNC - це його особистий проєкт.

Розповідь Guccifer 2.0 про себе на сайті, а також його ставлення до виборів в США в 2016 році

Крім інформації про свої "подвиги", хакер надає розрахункові рахунки зі штабу Хілларі Клінтон і деякі електронні листи з обговоренням виборів:

Частина зламаних даних зі штабу DN З про іноземні інвестиції, витрати на подорожі, передвиборчі стратегії і т.д.

Guccifer 2.0 говорить, що народився в Східній Європі. Його поява, на думку фахівців з США, не випадкова. Саме так, Росія хотіла довести свою непричетність. "Guccifer 2.0 - це ні що інше, як частина російської дезінформаційної програми, а не незалежний гравець", - повідомили в ThreatConnect, компанії, що спеціалізується на кібербезпеці. Що стосується даних, які він надав, нібито зламавши пошту DNC, то їх могли передати TG-4127/FancyBear.

Атака на блок НАТО

Хакери, які зламали пошту Нацкомітету Демократичної партії США, можуть бути причетні до цілої серії кіберзлочинів. За даними агентства Bloomberg - одного з двох провідних американських агентств з надання фінансової інформації для учасників фінансових ринків, та ж сама група зламала пошту і колишнього командувача силами НАТО в Європі Філіпа Брідлава, а також сервери інституту "Відкрите суспільство", заснованого і фінансованого Джорджем Соросом. Хакери опублікували зібрану ними інформацію на сайті DCLeaks (ще один ресурс, який публікує секретну інформацію, отримувану з таємних джерел). Зокрема, там було розміщене листування Брідлава, що датується 2012 роком, коли генерал ще очолював сили НАТО в Європі, а також дані про роботу фонду Сороса.

На фото зображений Філіп Брідлав, коротка інформація про нього і нижче файли з листами з його електронної пошти

Атака на ХДС

У тому ж 2016 році, в травні, була здійснена кібератака на сервери ХДС (Християнсько-демократична партія). Це одна з правлячих партій в Німеччині, що входить в коаліцію уряду. Керівник партії - Ангела Меркель. За даними розслідування, цього разу групою хакерів виявилася Pawn Storm. Спецслужби ФРН також стверджують, що Pawn Storm причетна до російських спецслужб, однак вагомих доказів спецслужбам Німеччини знайти не вдалося. Проте, методи і програми для злому, що використовуються хакерами, ідентичні Fancy Bear.

Атака на Бундестаг

Однією з перших великих кібератак з причетністю російських спецслужб стала атака на сервери Бундестагу в 2014 році. Хакерам вдалося роздобути доступ до 14 серверів парламенту, а також до головного сервера, на якому зберігалися всі паролі до баз даних Бундестагу. На той час атака російських кіберзлочинців виявилася настільки значною, що німцям довелося відключити всі бази даних парламенту на кілька днів, щоб не допустити витоку інформації. Звинувачення саме російських спецслужб було висловлено службою безпеки Німеччини.

Атака на мережі урядових структур США

Один з недавніх скандалів, пов'язаних з нападом хакерів на урядові структури США, також виявився справою рук російських кіберзлочинців. Про це заявив президент Microsoft Бред Сміт. Він підкреслив, що співробітникам компанії вдалося зібрати неспростовні докази того, що саме російські спецслужби причетні до кібератаки на американські компанії і відомчі комітети в грудні 2020 року.

Кевін Манді, глава FireEye, підтвердив слова Сміта, підкресливши, що ті методи, які використовували хакери, неодноразово застосовувалися російськими зловмисниками раніше.

Метою кіберзлочинців цього разу було все те ж шпигунство. Вони хотіли отримати бази даних ФБР, АНБ, ODNI, CISA і інших урядових структур.

Вже 14 грудня авторитетне американське інформаційне видання сповістило, що хакери зламали Мін'юст, а також деякі сектори Міністерства торгівлі США. Це стало можливо завдяки "Троянському коню", в ролі якого виступила компанія SolarWinds, програмним забезпеченням якої користувалися урядові організації в Америці. Якщо бути конкретнішими, то хакери використовували програму Orion, в якій був зашифрований код. При установці софта і наступному його оновленні, вірус в певний момент починав діяти, надаючи хакерам необхідну інформацію. За даними розслідування, за атакою стоїть вже відоме угруповання Cozy Bear, яке також відоме під іншим ім'ям - APT29. За даними авторитетного видавництва, Cozy Bear працює на СЗР РФ.

Colonial Pipeline

Останньою і однією з найбільш значущих на сьогодні є кібератака на трубопровід компанії Colonial Pipeline. Вся серйозність ситуації полягає не в типовому шпигунстві, а саме в диверсії державного масштабу, адже кібератакака блокувала роботу трубопроводу, який постачав паливом 45% східного узбережжя США.

ФБР вже мають деякі відомості про те, що хакерська атака, здійснена 6 травня 2021 року, справа рук російських хакерів, які називають свою групу DarkSide.

Про це угруповання стало відомо в серпні 2020 року. Хакери займаються тим, що блокують роботу приватних компаній і вимагають викуп за деактивацію коду. Поки атака на Colonial Pipeline найбільша в їхньому "портфоліо".

Проте, причетність до російських спецслужб DarkSide ще не доведена, але і не заперечується. Якщо в ході розслідування з'ясується, що вони все ж працюють з Кремлем, то їхні дії будуть рівносильні оголошенню війни. Самі ж представники DarkSide дали інтерв'ю для одного сайту, на якому сказали, що їхньою метою були лише гроші, а блокування всієї системи - побічний ефект. Цікаво, що представник угруповання, що давав інтерв'ю, говорив по-російськи.

Висновки

Фахівці CrowdStrike і SecureWorks вважають, що обидві групи хакерів, Cozy Bear і Fancy Bear (або TG-4127), діяли в інтересах російської влади. За словами експертів з SecureWorks, вони близько року стежили за групою TG-4127 і їм вдалося з'ясувати, що серед тих, хто піддавався атаці хакерів, виявилися українські політики і армія, а також уряд Грузії.

Кіберзламники також атакували представників Збройних сил США і Великобританії, російських політиків і журналістів, які критикувала офіційна влада РФ. "Ми подивилися на цілі атак - Грузія, Україна, опоненти російської влади - і задалися питанням: у якої країни можуть бути інтереси у всіх цих сферах", - пояснив фахівець з SecureWorks, додавши, що складно знайти іншу країну крім Росії з такою широтою інтересів.

Примітно те, що хакери зламують листування і західних політиків. Вони хочуть показати, що в цих країнах все продажне і скільки грошей витрачається на передвиборчі маніпуляції. Однак всі ці країни вже кілька століть розвивають капіталізм і дивуватися особливо не доводиться. Інше питання, якщо вони ототожнюють себе як інтернаціоналісти, говорячи про це на своїх сайтах і в інтерв'ю для новинних порталів, то чому не здійснюють "атаки" на російських політиків? Людям набагато цікавіше було б дізнатися про листування всередині Кремля, про те, скільки мільярдів витрачається на утримання Путіна і на його передвиборчу компанію. Однак хакери вважають за краще блокувати роботу саме західних політиків і компаній. І якщо російський уряд і далі продовжує заперечувати причетність до кібератаки, то Кремль не може заперечувати той факт, що він не перешкоджає роботі хакерів, а значить, уряд РФ, напевно, позитивно ставиться до діяльності кіберзлочинців.
https://myc.news/ua/rassledovaniya_/ataki_rossijskih_hakerov

Олександр Лукашенко явно заважає Володимиру Путіну здобути владу, Путін не приховує, що мріє про «збирання земель» і всілякі інші абсолютно неадекватні речі.

Зараз дії Путіна в Білорусі схожі на його втручання в Україну в 2014 році, і це дуже турбує: починаючи від впровадження та фінансування пропагандистів і силових структур до розхитування економіки Білорусі через кредити та приватизації.

Також ситуація про нібито підготовку замаху на Лукашенка тільки посилила відносини між Москвою і Мінськом. Участь в цьому ФСБ РФ - зовсім не випадковість.

Білорусь не збирається входити до складу інших держав, «навіть братської Росії» - про це заявив Лукашенко в парламенті Білорусі перед депутатами VI і VII скликань.

Путін намагається впливати на країни (Білорусь - не єдина його мета), використовуючи при цьому російських пропагандистів, які контролюють білоруські ЗМІ, і його поступове проникнення в Білорусь реально набирає значних темпів.

Це класична гра Путіна за диктаторськими правилами, а його вплив, спрямований на використання силових структур для жорсткого придушення святкування Дня незалежності Білорусі, є свіжим прикладом деструктивного впливу РФ, мета якого - змусити мовчати народ Білорусі на користь імперії Путіна.

І так, для Путіна Лукашенко як «кістка в горлі», поки Лукашенко при владі, прямого аншлюсу Білорусі з Росією не буде. І якщо Путіну вдасться посадити на «трон» в Мінську свою «маріонетку», то ситуація може прискоритися, і тоді Білорусь, безумовно, швидше втрачатиме свою незалежність. Природно, для України такий розвиток подій, як аншлюс, стане проблемою, оскільки військова загроза з'явиться і з боку північних кордонів.
https://myc.news/ua/specproekty/putin_stremitsya_poluchit_pryamoj_kontrol_nad_soyuznym_gosudarstvom_rossii_i_belarusi

Спиною до фотографа на світлині, ймовірно, сидить саме Руслана Нефедова — дочка власниці ТОВ «Європа Ейр». Одразу після знищення літаків у Ель-Джуфрі про цей епізод згадав тільки одеський журналіст Олександр Коваленко.

Головне в розслідуваннях — не вийти на себе
Літаки, які могли возити зброю для «вагнерівців» до Лівії та ЦАР, належать Джайдіпу Мірчандані. А донька власниці компанії-оператора Руслана Нефедова є його особистою помічницею. Попри ці моменти, очевидним фактом є наступне: хтось безпосередньо в Україні приймав рішення та надавав свої ресурси для того, щоб отримувати всі необхідні державні документи. В тому числі й ті, що стосувалися ремонту літаків. Сюди ж додайте інші дрібні потреби — хоча б їх реєстрацію та ліцензування в Україні.Іншими словами, інформація про діяльність авіакомпаній-операторів не могла пройти повз Службу безпеки України. Це доводить і запис телефонної розмови між президентом корпорації «Титан» Анатолієм Льовіним, помічницею якого також була Руслана Нефедова, та трагічно загиблою у авіакатастрофі під Тегераном Оленою Малаховою — формальною власницею третього літака, спаленого «вагнерівцями» в аеропорту Місурата (Лівія).Переносимось у серпень 2020 року. Минув рік після подій у Лівії та півроку від загибелі Олени Малахової. І от, громадська організація «Стоп Корупції» організувала для Анатолія Льовіна прес-конференцію. Там він оприлюднив запис телефонної розмови з Оленою Малаховою, в ході якої вона звинувачує співробітників Департаменту контррозвідувального захисту економіки СБУ в отриманні хабарів.Льовін стверджує: СБУ таким чином хотіло віджати підконтрольне йому підприємство ТОВ «УРАРП». Водночас сам Льовін (точніше, пов’язані з ним підприємства) були і є фігурантами низки кримінальних проваджень: №№ 22015101110000040, 12016100090000706, 12016100090014815, 42015000000000111.Роль самого Льовіна у схемах із постачанням вантажів у підембаргову Лівію встановити важко. Скоріше за все, саме на його підприємствах здійснювався ремонт двигунів для літаків, що використовувалися для повітряного мосту між Фуджейрою та Ель-Джуфрою. Однак його публічні свідчення є вкрай важливими, щоб відповісти на запитання — чому СБУ ніяк не реагувала на ситуацію з літаками в Лівії.До того ж, це чергове підтвердження того факту, що після реформи СБУ має втратити невластиві їй функції. Оскільки застосовуються ці можливості далеко не за призначенням.Так чи інакше, досить чітко видно — галузь послуг повітряного транспорту в Україні є досить вузькою. Тому залишити щось непоміченим тут дуже важко. Дочка власниці знищених Ілів Катерини Нефедової — Руслана — була помічницею Льовіна та Мірчандані. Льовін був бізнес-партнером Малахової, яка була власницею третього спаленого Іла.На жаль, поки що не вдається встановити роль та місце перебування чоловіка Катерини Нефедової — йорданця Хасана Ель Юнеса. Однак я припускаю, що він міг зіграти у створенні схеми з оренди вантажних літаків далеко не останню роль.

Спадщина Катерини Нефедової

Цикл розслідувань, чергову серію якого ви зараз читаєте, почався з короткого відео. На російському телебаченні вийшов сюжет, в якому пропагандист Рогаткін показав, як вантажний Іл-76 привіз до столиці ЦАР (точніше, аеропорту Бангі) російську військову техніку та зброю.Літак був ідентифікований як EX-76003 (серійний номер 1033418596). Згідно з даними відкритих джерел, він належав українській компанії ТОВ «Флай Скай Ейрланз».Ця українська компанія з’явилась 14 червня 2019 року. Батько-засновник — киянин на ім’я Кравченко Віктор Олексійович. Пізніше корпоративні права перейшли до Резніченка Олександра Сергійовича. Цікавим фактом є те, що людина на ім’я Кравченко Віктор Олексійович у 2004 році посідала посаду директора ТОВ «Флайт Сервіс ЛТД», який контролюється Анатолієм Льовіним через його концерн «Титан».Російський онлайн-сервіс «Russian planes» містить інформацію про п’ять літаків, якими оперує українська компанія Fly Sky Airlines:

EX-76003 (1033418596), вже згаданий у попередньому розслідуванні Іл-76, який привіз зброю для «вагнерівців» у ЦАР. До Fly Sky Airlines ним оперувала казахстанська компанія Azee Air, доки в неї не відібрали ліцензію за порушення ембарго в Лівії;

UR-FSD (1023411368), який так само був переданий від Azee Air та змінив бортовий номер з UP-I7660. До Azee Air ним оперувала «Європа Ейр» під бортовим номером UR-BXS;

UR-FSC (1023412399), літак, що був переданий від ТОВ «Європа Ейр», яка оперувала ним під бортовим номером UR-CRN;

UR-FSE (1003403075), так само переданий від «Європа Ейр» та змінив бортовий номер з UR-EAB;

UR-COE (0093498974), переданий від «Європа Ейр». Цього разу власники не стали заморочуватися зі зміною бортового номеру. Примітно, що до «Європа Ейр» літак належав вірменській авіакомпанії «Ветеран», про яку я писав у попередній серії(і, яка, ймовірно, також пов’язана з Джайдіпом Мірчандані).Чотирма з п’яти літаків, якими зараз оперує «Флай Скай Ейрлайнз», володіла компанія«Європа Ейр» Катерини Нефедової. Два з п’яти цих літаків були під контролем Azee Air, яку звинувачують у порушенні ембарго. І «Європа Ейр», і Azee Air, ймовірно, тісно пов’язані з Джайдіпом Мірчандані.Як бачимо, зареєстровані в Україні компанії обмінюються вантажними літаками як пиріжками. Ще й прямо під носом у правоохоронних органів. Можливо, у цьому процесі не було б на що й звертати увагу... Якби не перманентна російська істерика щодо того, що ці літаки здійснюють незаконні переміщення зброї. Можливо, і на російських пропагандистів не треба було б звертати увагу. Але маємо звіти Ради Безпеки ООН, які містять таку саму інформацію.Тож будемо уважно спостерігати за процесом прийняття нового законопроекту про СБУ. Скоріше за все, без докорінної реформи ситуація не зміниться.