Fancy Bear (din engleză - „Fashion Bear” [1] sau „Fancy Bear” [2] ) (de asemenea Fancy Bears , APT28 , Sofacy , Pawn storm , Sednit și Strontium [3] ) este un grup de hackeri. Funcționează din 2004 [4] . Cunoscut pentru atacurile cibernetice asupra structurilor guvernamentale, informaționale, militare și a altor structuri ale țărilor străine, precum și împotriva opoziției și jurnaliştilor ruși [5] . Experții americani în securitate cibernetică leagă grupul de agențiile ruse de informații [6] .
În 2018, a fost depusă o acuzație oficială în Statele Unite împotriva unui număr de ofițeri de informații militare ruși , care a indicat că militarii unității militare 26165 (al 85-lea centru principal al serviciului special) și unității militare 74455 se aflau în spatele Fancy Bear [7] [8 ]. ] . În 2020, Parchetul General al Germaniei a emis un mandat de arestare pentru Dmitri Badin, suspectat că ar fi comis un atac cibernetic asupra Bundestag-ului în 2015, în calitate de membru al Fancy Bear și angajat al GRU [9] [a] . Uniunea Europeană și Marea Britanie au impus sancțiuni împotriva celui de-al 85-lea Centru principal pentru servicii speciale al GRU (GRU 26165, Fancy Bear) și lui Dmitry Badin pentru atacuri cibernetice asupra Bundestag -ului (2015) și OIAC (2018) [10] .
Porecla grupului de hackeri a fost dată de specialistul în securitate cibernetică Dmitry Alperovich de la compania americană de antivirus CrowdStrike , datorită utilizării de către grup a „două sau mai multe instrumente/tactici conexe pentru a ataca o țintă specifică, similar cu o strategie de șah” [11]. ] , cunoscut sub numele de furtuna de pioni . De asemenea, a dat o poreclă unui alt grup de hackeri - Cozy Bear , pe care l-a conectat și cu serviciile speciale rusești [12] .
Firma de securitate a rețelei FireEye a lansat un raport în octombrie 2014 cu privire la Fancy Bear. Grupul este clasificat ca o amenințare de tip „Advanced Persistent Threat 28”, ai cărui membri au folosit o vulnerabilitate zero-day pe Microsoft Windows și Adobe Flash atunci când au fost piratați [13] . Documentul, cu referire la datele operaționale, numește baza grupului „un sponsor de stat la Moscova”. În sprijinul acestei concluzii, anchetatorii indică stilul inerent vorbitorilor de limbă rusă în codul programului rău intenționat , precum și faptul că programul a fost editat în timpul orelor de lucru în fusul orar al Moscovei [14] . Directorul de amenințări al FireEye, Laura Galante, a descris activitățile grupului drept „ spionaj de stat ” [15] , care vizează și „media sau influenți” [16] [17] .
Potrivit ESET , hackerii au atacat ambasadele a zeci de state, ministerele apărării din Argentina, Bangladesh , Turcia, Coreea de Sud și Ucraina, angajați NATO, politicieni ucraineni și jurnaliști din Europa de Est . În Rusia, membri ai grupului Anonymous International (Humpty Dumpty), membri ai Partidului pentru Libertatea Poporului și alți opozitori, precum și oameni de știință străini care au frecventat universitățile ruse [4] au fost piratați . Atacurile Sednit au folosit atacuri de tip phishing , e-mailuri de viruși, site-uri web rău intenționate și vulnerabilități software necunoscute anterior, folosind un număr mare de instrumente pe care le-au creat. Similar cu FireEye, experții ESET au remarcat că activitatea hackerilor are loc între orele 9:00 și 17:00 UTC + 3 (coincide cu Moscova).
Serviciul Federal pentru Protecția Constituției Germaniei acuză Rusia de atacuri cibernetice asupra instituțiilor guvernamentale germane [5] . Pe 13 mai 2016, șeful serviciului, Hans-Georg Maasen , a declarat că Sofacy a fost cel care a stat în spatele atacurilor asupra sistemului informațional al Bundestagului din 2015 și în spatele atacurilor asupra Uniunii Creștin Democrate din Germania , al cărei lider este cancelarul german Angela Merkel [18] . Scopul atacurilor a fost colectarea de informații confidențiale. Potrivit lui Maasen, grupul a încercat să se infiltreze în sistemele informaționale germane de mai bine de zece ani, iar în tot acest timp contrainformațiile germane l-au monitorizat [5] . Pe lângă instituțiile guvernamentale, centralele electrice și alte facilități industriale și de infrastructură importante au devenit ținta atacurilor cibernetice [5] .
În mai 2020, Parchetul General german a emis un mandat de arestare pentru rusul Dmitri Badin, în calitate de membru al grupului Fancy Bear și angajat al GRU , suspectat de organizarea atacului asupra Bundestagului în 2015. Pe 13 mai 2020, cancelarul Merkel a anunțat că există dovezi ale implicării Rusiei în atacul cibernetic asupra Bundestagului din 2015. Merkel a spus că atacul face parte dintr-o strategie de război hibridă care include, de asemenea, denaturarea și dezorientarea [9] [19] [20] .
La 22 octombrie 2020, Consiliul UE a impus sancțiuni împotriva 85 GRU Centrul Principal pentru Servicii Speciale (Fancy Bear), ofițerului GRU Dmitri Badin și șefului Direcției Principale a Statului Major General Igor Kostyukov pentru atacuri cibernetice împotriva parlamentului german în 2015 și Organizația pentru Interzicerea Armelor Chimice în 2018 [21] .
Pe 8 aprilie 2015, postul de televiziune francez TV5 Monde a devenit victima unui atac cibernetic ; difuzarea canalului a fost întreruptă timp de trei ore [22] . Potrivit versiunii inițiale, în spatele atacului s-a aflat grupul de hackeri CyberCaliphate, asociat cu organizația teroristă Statul Islamic . Totuși, ulterior anchetatorii francezi au ridicat suspiciuni că grupul Sofacy ar putea fi în spatele atacului [23] . Premierul francez Manuel Valls a numit atacul „un atac inacceptabil la adresa libertății de informare” [24] .
În august 2015, Sofacy a lansat un atac de falsificare împotriva Casei Albe și a sistemelor informaționale ale NATO . Hackerii au folosit o tehnică de „ phishing ” cu o adresă URL falsă a electronicfrontierfoundation.org [25] [26] .
În vara anului 2016 , când rețeaua internă a Partidului Democrat din SUA a fost spartă, compania CrowdStrike, care a eliminat consecințele hack-ului, a declarat că a fost organizată de grupurile Fancy Bear și Cozy Bear. [27]
Fancy Bear este acuzat că a spart site-ul Agenției Mondiale Anti-Doping în august 2016. Hackul a fost efectuat după ce organizația internațională a publicat un raport în care acuza Rusia că a creat un sistem de dopaj sprijinit de stat pentru sportivi [28] .
În 2016, Fancy Bear a obținut acces la sistemul electronic ADAMS al Agenției Mondiale Antidoping și a publicat unele dintre materiale pe site-ul său. Agenția a confirmat autenticitatea materialelor.
Pe 13 septembrie, prima listă a sportivilor cu teste antidoping pozitive a fost postată pe site-ul grupului de hackeri [29] [30] [31] [32] . În total, au fost publicate cinci liste [33] și corespondență de la un angajat al Agenției Anti-Doping din SUA în care se afirmă că în 2015 mai mult de 200 de sportivi din Statele Unite au primit permisiunea pentru utilizarea medicamentelor interzise considerate dopaj în scopuri terapeutice [34] .
În ianuarie 2018, a fost publicată corespondența dintre personalul Comitetului Olimpic Internațional și WADA [35] .
La începutul lunii noiembrie 2016, Microsoft a anunțat că a spart cea mai recentă versiune de Windows . Potrivit experților în securitate cibernetică, hack-ul a fost efectuat de grupul de hackeri Strontium (Fancy Bear) [3] .