Fancy Bear

Прозвище хакерской группе дал специалист по кибербезопасности Дмитрий Альперович из американской антивирусной компании CrowdStrike из-за использования группой «двух или более связанных инструментов/тактик для атаки на конкретную цель, схожих с шахматной стратегией»^[5], известную как пешечный штурм. Он же дал прозвище другой хакерской группе — Cozy Bear, которую также связал с российскими спецслужбами^[6].

Занимающаяся сетевой безопасностью фирма FireEye в октябре 2014 года выпустила доклад касательно Fancy Bear. Группу относят к угрозам типа «Advanced Persistent Threat 28», члены которой при взломе использовали уязвимость нулевого дня на Microsoft Windows и Adobe Flash^[7]. Документ со ссылкой на оперативные данные называет основой группы «государственного спонсора в Москве». В подтверждение этого вывода следователи указывают на стиль, присущий русскоязычным в коде вредоносной программы, а также то, что правка программы совершалась в рабочие часы московского часового пояса^[8]. Директор FireEye по вопросам угроз Лаура Галанте описывала деятельность группы как «государственный шпионаж»^[9], целями нападений которой также являются «СМИ или влиятельные лица»^[10][11].

По данным ESET, хакеры атаковали посольства десятков государств, министерства обороны Аргентины, Бангладеш, Турции, Южной Кореи и Украины, сотрудников НАТО, украинских политиков, журналистов из Восточной Европы. В России взлому подвергались участники группы «Анонимный интернационал» («Шалтай-Болтай»), члены партии «Партия народной свободы» и другие оппозиционеры, а также иностранные учёные, посещавшие российские ВУЗы<. В ходе атак Sednit использовали фишинговые атаки, письма с вирусами, вредоносные сайты и ранее неизвестные уязвимости в программах, используя большое количество созданных ими же инструментов. Аналогично FireEye, специалисты ESET отметили, что активность хакеров приходится на время с 9:00 до 17:00 по времени UTC+3 (совпадает с московским).

Федеральная служба защиты конституции Германии обвиняет Россию в кибератаках на правительственные учреждения Германии. 13 мая 2016 года глава службы Ханс-Георг Маасен заявил, что именно Sofacy стояла за атаками на информационную систему Бундестага в 2015 году и за нападениями на Христианско-демократический союз Германии, лидером которого является канцлер Германии Ангела Меркель^[12]. Целью атак был сбор конфиденциальной информации. Как сообщил Маасен, группа пыталась проникнуть в информационные системы Германии более десяти лет и всё это время германская контрразведка вела за ней наблюдение. Кроме правительственных учреждений, целью кибератак становились электростанции и другие важные объекты промышленности и инфраструктуры.

В мае 2020 года Генеральная прокуратура Германии выдала ордер на арест россиянина Дмитрия Бадина как участника группы Fancy Bear и служащего ГРУ, подозреваемого в организации атаки на Бундестаг в 2015 году. 13 мая 2020 года канцлер Меркель заявила о наличии доказательств причастности России к кибератаке на Бундестаг в 2015 году. Меркель заявила, что эта атака была частью стратегии гибридной войны, к которой также относятся искажение фактов и дезориентация^[4][13].

22 октября 2020 года Совет ЕС ввёл санкции против 85 Главного центра специальных служб ГРУ (Fancy Bear), офицера ГРУ Дмитрия Бадина и руководителя ГУ Генштаба Игоря Костюкова — за кибератаки, совершенные против парламента Германии в 2015 году и Организации по запрещению химического оружия в 2018 году.

8 апреля 2015 года жертвой кибератаки стал французский телеканал TV5 Monde; вещание канала было прервано на три часа^[14]. По первоначальной версии, за атакой стояла хакерская группа CyberCaliphate, связанная с террористической организацией «Исламское государство». Однако впоследствии французские следователи высказали подозрение о том, что за атакой могла стоять группа Sofacy^[15]. Премьер-министр Франции Мануэль Вальс назвал нападение «неприемлемым покушением на свободу информации»^[16].

В августе 2015 года Sofacy совершила спуфинг-атаку на информационные системы Белого дома и НАТО. Хакеры использовали метод «фишинга» с ложным URL-адресом electronicfrontierfoundation.org^[17][18].

Летом 2016 года, когда была взломана внутренняя сеть Демократической партии США, компания CrowdStrike, устранявшая последствия взлома, заявила, что он был организован группами Fancy Bear и Cozy Bear^[19].

WADA

Fancy Bear обвиняется во взломе сайта Всемирного антидопингового агентства в августе 2016 года. Взлом был совершён после того, как эта международная организация опубликовала отчёт, обвиняющий Россию в создании поддерживаемой государством системы применения допинга спортсменами^[20].

В 2016 году Fancy Bear получили доступ к данным электронной системы ADAMS Всемирного антидопингового агентства и опубликовали на своём сайте часть материалов. В агентстве подтвердили подлинность материалов.

13 сентября на сайте хакерской группы был размещён первый список спортсменов с положительными допинг-пробами^{[21][22][23][24]}. Всего было опубликовано пять списков^[25] и переписка сотрудника Антидопингового агентства США о том, что в 2015 году более 200 спортсменов из США в терапевтических целях получили разрешение на использование запрещённых препаратов, считающихся допингом.

В январе 2018 года опубликовали переписку сотрудников Международного олимпийского комитета и WADA^[26].

В начале ноября 2016 года компания Microsoft объявила о взломе новейшей версии ОС Windows. По мнению специалистов по кибербезопасности, взлом был совершён хакерской группой Strontium (Fancy Bear).