Руските хакери от APT28 и заплахата от зловредния софтуер X-Agent

Руската хакерска група APT28, известна в средите за киберсигурност като Fancy Bear, е сред най-активните и задържали се за дълго време държавно подкрепени актьори в глобалното интернет пространство. Според данни на редица международни компании за сигурност и правителствени агенции, сред които американската фирма CrowdStrike и британското външно министерство, дейността на групировката е тясно обвързана с руското военно разузнаване ГРУ. Анализаторите определят дейността ѝ като усъвършенствана постоянна заплаха (APT), насочена предимно към държавни, военни и международни организации по целия свят.

Първите следи на тази кибернетична дейност датират още от средата на десетилетието на 2000-те години. За десетилетията на своето съществуване хакерите изграждат сериозен капацитет за провеждане на сложни операции, които обхващат различни държави и институции. Името Fancy Bear идва от системата за кодиране на изследователя Дмитрий Алперович, където думата "Bear" обозначава руския произход на киберпрестъпниците. От своя страна, терминът APT28 е въведен от фирмата FireEye в техен подробен доклад от октомври 2014 г., след като анализаторите засичат използването на непознати дотогава уязвимости в софтуера на Microsoft и Adobe.

Методи на нападение и оръжия в киберпространството

Основният инструментариум на групировката включва сложни техники като използване на така наречените „zero-day“ уязвимости в софтуера, целеви фишинг (spear phishing) и специализиран зловреден софтуер. Сред най-популярните им цифрови оръжия е шпионската програма X-Agent. Този софтуер е проектиран да събира и предава компрометирани файлове от машини, работещи с операционните системи Windows, Linux, iOS или Android, към сървъри, контролирани от хакерите. Програмата притежава способността да се прехвърля от едно устройство на друго и да заразява различни платформи.

В хода на своите разследвания специалистите по сигурност разкриват специфични детайли около изграждането на тези цифрови инструменти. Според анализи на FireEye, зловредният код на групировката е компилиран предимно в рускоезична среда и в рамките на работните часове, съвпадащи с часовата зона на Москва. През 2016 г. експертите от CrowdStrike идентифицират вариант на X-Agent за операционната система Android. Според тези данни софтуерът е бил насочен към украинските военни чрез разпространение на заразена версия на приложение за управление на артилерия, макар украинската армия официално да отрича връзка между софтуера и загубата на артилерийски части.

Мащабни атаки срещу политически и държавни структури

Дейността на APT28 не се ограничава само до военни цели, а засяга и редица ключови политически и международни институции в Европа и Съединените щати. Групировката е обвинявана официално за кибератаки срещу германския и норвежкия парламент, френската телевизия TV5Monde, както и срещу кампанията на френския президент Еманюел Макрон. Обект на техните операции стават още Световната антидопингова агенция и Организацията за сигурност и сътрудничество в Европа (ОБСЕ).

Един от най-популярните случаи остава намесата в американския изборен процес през 2016 г. Според обвинителен акт на американското специално звено, зад тези действия стои военна единица 26165 на руското ГРУ. Хакерите компрометират имейлите на Националния комитет на Демократическата партия на САЩ (DNC) и на Демократичния конгресен комитет (DCCC), използвайки именно персонализирани версии на зловредния софтуер X-Agent. Американските прокурори изрично посочват руските военни агенти като разработчици и администратори на тези инструменти.

Защита на институциите и какво означава това за България

Съвременната картина на киберсигурността изисква държавните администрации, критичната инфраструктура и частният сектор да поддържат висока степен на бдителност срещу подобни държавно подкрепени групи. Защитата срещу усъвършенствани заплахи като APT28 включва непрекъснат мониторинг на мрежите, навременно инсталиране на софтуерни корекции за откритите уязвимости и обучение на служителите за разпознаване на фишинг съобщения. По оценка на специалистите от бранша, традиционните антивирусни програми често са недостатъчни срещу целеви атаки от такъв мащаб и се изискват специализирани платформи за откриване на аномалии.

За България, като държава членка на Европейския съюз и НАТО, тези хибридни заплахи представляват постоянен риск за сигурността на публичните институции и държавната администрация. Опитът от международните инциденти показва, че мишени могат да бъдат както военни структури, така и медии, неправителствени организации и политически субекти. Навременният обмен на разузнавателна информация за нови версии на зловреден софтуер като X-Agent между съюзническите държави остава основният механизъм за противодействие на кибернетичния шпионаж.