Armata de hackeri ai lui Putin atacă Occidentul. Ce s-a întâmplat când jurnaliștii americani i-au pus întrebări în română lui „Guccifer 2.0”

Un spectru bântuie Occidentul — spectrul atacurilor cibernetice. În ultimii ani, organizații guvernamentale, instituții multinaționale și companii importante din statele vestice au fost lovite de ciberatacuri de amploare, iar agențiile de informații din SUA, Germania, Franța și Marea Britanie au conchis că sursa acestora o reprezintă Rusia.

Inițial, atacurile rusești vizau țările din imediata sa vecinătate, precum Estonia, Georgia sau Ucraina, însă analizele agențiilor de securitate occidentale arată că în ultimii ani ofensivele cibernetice rusești au devenit mai sofisticate și mai îndrăznețe, vizând din ce în ce mai multe ținte occidentale. În ultimii doi ani, hackerii ruși au atacat parlamentul german și televiziunea franceză TV5Monde, pentru ca în acest an să le pice drept victimă mai mulți lideri ai Partidului Democrat, printre care și persoane apropiate de Hillary Clinton, favorită la câștigarea președinției americane. La începutul acestei luni, guvernul SUA a acuzat în mod oficial Rusia de direcționarea mai multor atacuri cibernetice asupra unor persoane și instituții americane cu intenția de a interveni în alegerile prezidențiale de luna viitoare.

Printre victimele atacului atribuit Rusiei se numără mai multe instituții ale Partidului Democrat din SUA, printre care Comitetul Național Democratic (DNC), organizația de conducere a partidului, și Democratic Congressional Campaign Committee (DCCC), organizația de campanie a Democraților din Camera Reprezentanților. În cadrul atacurilor, zeci de mii de emailuri au fost colectate în mod ilegal de pe serverele democraților, fiind ulterior publicate pe WikiLeaks și pe un site nou-înființat, intitulat DCLeaks, în momente cheie din calendarul alegerilor americane. Julian Assange, fondatorul WikiLeaks, a anunțat înainte de publicarea emailurilor că obiectivul său este micșorarea șanselor lui Hillary Clinton de a fi aleasă președintele SUA.

Studiind serverele DNC, firma de securitate CrowdStrike a descoperit că acestea fuseseră penetrate de două grupuri de atacatori de origine rusă, denumite de cercetători APT 28 (sau Fancy Bear) și APT 29 (Cozy Bear). Cercetătorii din domeniul securității informatice au conchis că primul grup aparține de GRU, serviciul de informații al armatei, pe când cel de-al doilea grup este asociat FSB, serviciul de informații civil al Rusiei. Oficialii din cadrul agențiilor de informații americane cred că există o competiție între cele două agenții de informații, guvernul rus dorind să vadă care dintre ele poate obține și disemina cele mai multe materiale compromițătoare.

Inițial, un hacker auto-intitular „Guccifer 2.0” și-a asumat responsabilitatea pentru atacurile asupra celor instituțiilor democrate. Numele Guccifer a fost inițial folosit de hackerul român Marcel Lazăr Lehel, iar „Guccifer 2.0” a pretins la rândul său că este român și că Rusia n-are nimic de-a face cu atacul asupra DNC. Jurnaliștii publicației Motherboard au luat legătura cu „Guccifer 2.0”, însă atunci când au început să îi pună întrebări în limba română, răspunsurile sale nu păreau să aparțină unui vorbitor nativ, conținând greșeli și exprimări neobișnuite, printre care „Vorbiți limbă română?”, „V-am spus deja. Încercați să-mi verifica?” sau „am mult de făcut”.

Ulterior, studiind documentele date publicității de „Guccifer 2.0”, analiștii din domeniul cibersecurității au descoperit alte indicii ce sugerau că hackerul nu era cine pretindea. Datele asociate documentului arătau că fuseseră editate de un user ce folosea un computer setat să folosească limba rusă, iar în dialogul cu jurnaliștii presupusul hacker folosise un smiley compus doar din paranteze - ))) - tipic vorbitorilor de limbă rusă. Pe baza mai multor date, agențiile de informații americane au conchis că atât „Guccifer 2.0”, cât și „DCLeaks”, reprezintă fațade pentru departamentele dedicate atacurilor cibernetice din cadrul serviciilor de securitate ruse.

Motivul pentru care compania CrowdStrike a putut identifica gruparea rusească drept autoare al atacului a fost o scăpare: utilizarea unui server folosit și la un atac cibernetic asupra parlamentului german, atac despre care serviciile de informații germane au tras concluzia că își avea originea în Rusia.

(Foto Guliver/Getty Images)

Cofondatorul CrowdStrike, Dmitri Alperovitch, a povestit pentru Esquire că a crezut inițial că atacul rusesc era o operațiune obișnuită de spionaj, iar apariția lui „Guccifer 2.0” o reacție care să mascheze faptul că hackerii fuseseră detectați. Ulterior, pe măsură ce aceștia au continuat să publice materiale furate de pe serverele democraților, Alperovitch a ajuns la concluzia că Rusia dorea să le folosească pentru a manipula votanții americani, o tentativă fără precedent. „Am înțeles că este o operațiune de influențare a publicului, că vor să intervină în alegeri. Chiar cred că este posibil ca după alegeri să ne trezim cu afirmații din partea Rusiei că rezultatul nu este legitim”, a declarat Alperovitch pentru Esquire. 

Un alt mod prin care membrii serviciilor de informații din SUA au putut identifica fără dubiu originea atacatorilor a fost faptul că aceștia au folosit serviciul OneDrive oferit de Microsoft pentru a transfera datele capturate de pe diferite servere americane. Thomas Rid, autorul cărții „Rise of the Machines. A Cybernetic History”, a dezvăluit într-o analiză asupra atacului rusesc că hackerii Cozy Bear (asociați FSB) au folosit două sute de conturi OneDrive pentru a transfera datele furate de la diferite companii și ținte politice americane. Odată ce conturile folosite de hackeri au fost identificate, autoritățile americane au obținut de la compania Microsoft datele incriminatoare care au confirmat identitatea atacatorilor.

Cum a penetrat Fancy Bear sistemele Partidului Democrat?

Hackerii ruși au pătruns în sistemele Comitetului Național Democrat (DNC), organizația de conducere a Partidului Democrat, folosind un truc banal: au trimis către membrii echipei de campanie a lui Hillary Clinton și către angajați ai comitetului emailuri ce păreau să provină de la Google, în care erau anunțați că este nevoie să își reseteze parolele conturilor de email. Odată ce dădeau click pe un link din email, victimele erau duse pe o pagină similară celei reale, iar când își introduceau parolele în formular, hackerii aveau toate elementele necesare pentru a prelua controlul asupra conturilor. Pentru a evita astfel de situații, experții recomandă ca atunci când primiți un email de acest tip să nu urmați indicațiile din el, ci să vizitați direct în browser site-ul serviciului de email, schimbându-vă parola folosind pașii recomandați acolo.

Mailurile-capcană au fost trimise către 108 persoane din stafful lui Hillary Clinton, iar 20 de persoane au răspuns, arată un raport elaborat de firma de securitate SecureWorks, citat de BuzzFeed. Mesajele au fost trimise și către 16 membri ai CND, dintre care patru au accesat pagina din email. Pe lângă contul de email, hackerii au putut accesa și celelalte servicii Google atașate contului: calendarele comune ale staffului de campanie și documentele din Google Docs.

Aceste detalii exacte sunt cunoscute datorită unor greșeli făcute de hackerii ruși. Linkurile capcană trimise oficialilor americani erau camuflate cu ajutorul bit.ly, un serviciu de prescurtare a adreselor web, iar două dintre numeroasele conturi folosite pentru atacul cibernetic au rămas publice, în loc să fie setate ca fiind private, precum celelalte. Analizând linkurile scurtate cu ajutorul acestui serviciu, cercetătorii companiei SecureWorks au descoperit că printre ținte se numărau persoane din SUA, Ucraina, China, Iran, țările baltice și liderii rebelilor din Siria. Totodată, printre instituțiile atacate se numărau parlamentul german, armata italiană și ministerul de externe al Arabiei Saudite (emailuri aparținând ministerului fiind ulterior publicate pe WikiLeaks, la fel ca mailurile aparținând conducerii partidului democrat).

Inițial, autoritățile ruse au negat că ar fi la originea acestor atacuri, însă de curând mesajul s-a schimbat, acestea susținând că este irelevant cine a fost la sursa hackingului și că important este conținutul mesajelor dezvăluite.

Dacă alegerile prezidențiale americane de anul acesta reprezintă momentul în care atacurile rusești au devenit publice, ele nu par să fie singurul scrutin țintit de grupările asociate „ursului” răsăritean. Surse din serviciile de securitate britanice, citate de cotidianul The Times, au dezvăluit că hackerii ruși au încercat să atace departamente ale guvernului britanic și posturi TV înainte de alegerile de anul trecut. GCHQ, una din agențiile de securitate ale Marii Britanii, a reușit să oprească ciberatacul hackerilor ruși ai grupării Fancy Bear. Conform acelorași surse, agențiile de informații britanice au detectat hackerii ruși după ce au analizat atacul reușit asupra televiziunii franceze TV5Monde din aprilie anul trecut.

Inițial, atunci când televiziunea TV5Monde a căzut victimă atacului cibernetic, transmisia TV fiind înlocuită cu steagul ISIS, serviciile de informații britanice s-au temut că gruparea jihadistă dezvoltase capabilități de hacking nemaivăzute până atunci la o grupare teroristă. Investigând urmele lăsate în urmă de hackeri, analiștii GCHQ au descoperit însă că însemnele grupării teroriste ISIS fuseseră folosite doar pentru a distrage atenția de la adevărata sursă a atacului, care se găsea în Rusia.

Yves Bigot, directorul general al TV5Monde, a dezvăluit pentru BBC că postul TV a supraviețuit atacului doar datorită norocului. În ziua atacului, 8 aprilie, TV5Monde tocmai lansase cel mai nou post al său, ocazie cu care erau prezenți în sediu mai mulți tehnicieni care supravegheau emisia acestui canal. Seara, toate cele 12 posturi TV ale rețelei au încetat emisia, iar la scurt timp angajații televiziunii și-au dat seama că aceasta era victima unui atac cibernetic. Din ce în ce mai multe sisteme ale televiziunii cedau atacurilor, când unul din inginerii prezenți în sediul companiei a reușit să identifice stația de lucru prin care era canalizată ofensiva electronică, deconectând-o de la internet și oprind astfel distrugerea rețelei TV. „Am fost la câteva ore de distrugerea definitivă a stației. Datorăm foarte mult inginerului care a oprit atacul. Este considerat un erou în companie”, a declarat șeful TV5Monde pentru BBC.

Analiza serviciilor de informații franceze a relevat un atac sofisticat, ce începuse cu câteva luni înainte. Hackerii penetraseră organizația încă din ianuarie, studiind modul în care emitea rețeaua de televiziune. Ulterior, atacatorii au creat un software specializat care avea ca țel distrugerea anumitor elemente fizice esențiale transmisiei TV, cum ar fi sistemele de codare.

(Foto Guliver/Getty Images)

Analiștii francezi au ajuns la două concluzii: atacul avea ca obiectiv distrugerea canalului TV, iar atacatorii aparțineau grupului APT 28 (Fancy Bear). Serviciile de informații nu au identificat motivul pentru care aceștia au ales TV5Monde drept țintă, însă concluzia serviciilor britanice a fost că atacul a reprezentat o metodă de a testa eficacitatea unor arme cibernetice.

De ce recurge Rusia la aceste metode? Mulți analiști occidentali atribuie acțiunile Rusiei „doctrinei Gherasimov”, numele dat unei idei enunțate în 2013 de generalul rus Valeri Gerasimov în Curierul Militaro-Industrial: „Regulile războiului s-au schimbat. Rolul metodelor non-militare de obținere a obiectivelor politice și strategice a crescut și, de multe ori, a depășit forța armelor convenționale în ceea ce privește eficacitatea”.

Recent, Rusia și-a schimbat doctrina militară, iar „dominarea spațiului informațional” reprezintă unul din obiectivele militare esențiale. Intern, Rusia dorește să „securizeze spațiul informațional național” pentru a preveni apariția „breșelor” - cu alte cuvinte, să prevină apariția altor surse de informații decât cele agreate de Kremlin (spre exemplu, cel mai mare motor de căutare din Rusia a anunțat recent că știrile publicate de instituțiile media ce nu au fost aprobate de guvern nu vor mai apărea printre cele mai importante știri). Extern, Rusia dorește să influențeze ceea ce crede publicul, să creeze confuzie și să facă mai greu de detectat adevărul, pentru a afecta obiectivitatea instituțiilor media și calitatea informațiilor disponibile factorilor de conducere. Intenția se bazează pe un concept militar sovietic, „controlul reflexiv”, prin care inamicul este stimulat să ia o decizie predeteminată, în interesul atacatorului, prin furnizarea de informații care îl vor încuraja facă acest pas în mod voluntar.

Un ofițer de informații american citat de Reuters afirma că „obiectivul real al lui Putin, din câte ne putem da seama, nu este doar de a promova un candidat sau de a schimba rezultatul alegerilor, ci de a discredita însuși conceptul de democrație occidentală”. Pe lângă zdruncinarea încrederii publicului în instituțiile americane, în media și în procesul democratic, analiștii americani cred că Rusia are și alte câteva obiective secundare: demonstrarea capabilităților sale în domeniul ciberatacurilor și totodată identificarea granițelor pe acest nou „front” dincolo de care reacționează guvernul american.

Un oficial din Departamentul Apărării citat de BuzzFeed spune că „este o acțiune cu care nu ne-am mai confruntat, astfel că acum ne străduim să elaborăm o strategie de răspuns”. Reprezentanții guvernului american au anunțat că vor reacționa într-un mod „proporțional”, fără a dezvălui metodele alese. Una dintre posibilele variante de răspuns oferite de oficialii americani în presă se referea la un atac cibernetic similar asupra persoanelor apropiate președintelui Putin și publicarea unor documente care să dezvăluie tranzacțiile ilicite ale acestora. Deși acest lucru nu a avut loc, săptămâna aceasta o grupare de hackeri ucrainieni a publicat 2.000 de emailuri din căsuța de mail a lui Vladimir Surkov, un consilier apropiat al lui Vladimir Putin, dezvăluind planuri pentru destabilizarea Ucrainei și fotocopii ale pașaportului său. O primă analiză a fișierelor date publicității de „Cyber Hunta” pare să arate că emailurile sunt reale, sugerând că hackerii au reușit să penetreze serverul de mail guvernamental al unuia dintre cei mai apropiați consilieri ai președintelui rus.

Indiferent dacă acesta se va dovedi a fi parte din răspunsul american la atacul cibernetic sau dacă reacția americană va veni ulterior, este puțin probabil ca atacurile cibernetice de ambele părți să înceteze. Specialiștii în probleme de securitate afirmă că și conturile de email ale parlamentarilor CDU din Germania au fost penetrate de hackerii ruși, fiind foarte probabil ca mesaje din acestea să fie publicate în mod selectiv anul viitor, când au loc alegeri. Angela Merkel, principalul susținător european al sancțiunilor la adresa Rusiei, va concura împotriva partidelor cu o politică mai apropiată de Rusia, motiv pentru care analiștii se așteaptă ca documentele obținute de hackerii GRU și FSB să joace un rol important în campania electorală din 2017.

Michael McFaul, fostul ambasador american în Rusia, afirma într-un interviu acordat luna trecută că „situația curentă îmi amintește de momentul în care armele nucleare au devenit o nouă tehnologie și a durat ceva până când am dezvoltat o doctrină în jurul lor. Am senzația că ne aflăm într-o eră similară”. Rămâne de văzut dacă conflictul din spațiul cibernetic va duce la o destindere similară celei din timpul Războiului Rece.

Urmăriți Republica pe Google News

Urmăriți Republica pe Threads

Urmăriți Republica pe canalul de WhatsApp