На початку 2022 року Україна зазнала більше кібератак, ніж за попередні вісім років

До річниці повномасштабного вторгнення рф в Україну компанія Google підготувала звіт Fog of War («Туман війни»), присвячений відповідним змінам ландшафту кіберзагроз (PDF, EN). Звіт створено на основі аналізу Google Threat Analysis Group (TAG), Mandiant і команди Google Trust & Safety та охоплює нові висновки та ретроспективну інформацію щодо зловмисників, яких підтримує уряд, інформаційних операцій (IO) та суб’єктів загроз екосистеми кіберзлочинців у 2022 році.

Ключові висновки звіту Fog of War від Google наступні.

1. Зловмисники, що мають підтримку російського уряду, доклали агресивних, багатосторонніх зусиль, щоб отримати вирішальну військову перевагу в кіберпросторі.

Це включає значне зміщення фокуса різних груп на Україну, різке збільшення використання деструктивних атак на український уряд, військову та цивільну інфраструктуру, сплеск фішингової діяльності, націленої на країни НАТО, і зростання кібероперацій, спрямованих на досягнення цілей росії.

Зловмисники, яких підтримує російський уряд, активізували кібероперації, починаючи з 2021 року під час підготовки до вторгнення. У 2022 році рф збільшила таргетинг на користувачів в Україні на 250% порівняно з 2020 роком. Таргетинг на користувачів у країнах НАТО за той самий період зріс понад 300%.

У 2022 році зловмисники, підтримувані російським урядом, атакували користувачів в Україні більше, ніж у будь-якій іншій країні. Хоча ці зловмисники зосереджуються значною мірою на українському уряді та військових структурах, а фокус також було зосереджено на критичній інфраструктурі, комунальних і державних послугах, а також ЗМІ та інформаційному просторі.

Під час роботи з реагування на інциденти Mandiant спостерігав більше руйнівних кібератак в Україні протягом перших чотирьох місяців 2022 року, ніж за попередні вісім років, причому пік атак припав на початок вторгнення. Попри значну активність після цього періоду, темпи атак уповільнилися та були менш скоординовані, ніж початкова хвиля в лютому 2022 року. Зокрема, деструктивні атаки часто відбувалися швидше після того, як зловмисник отримав або відновив доступ, часто через скомпрометовану прикордонну інфраструктуру. Багато операцій свідчать про спробу «Головного управління Генерального штабу збройних сил росії» (ГРУ) збалансувати на кожному етапі діяльності пріоритети доступу, збору та знищення, що інколи конкурують між собою.

2. Москва використала весь спектр інформаційних операцій – від ЗМІ, які відверто підтримуються державою, до закритих платформ і акаунтів – щоби сформувати суспільне сприйняття війни.

Ці операції мають три цілі:

• підірвати українську владу;
• зламати міжнародну підтримку України;
• посилювати підтримку Росії у війні всередині країни.

Фахівці спостерігали сплески активності, пов’язані з ключовими подіями війни, такими як нарощування військових сил, вторгнення та мобілізація у росії. Google активно працює у різних напрямках щоби протистояти цій діяльності, яка порушує правила компанії, та зривати відкриті та приховані інформаційні операції, але продовжує стикатися з постійними спробами обійти правила.

Приховані російські інформаційні операції головним чином зосереджувалися на збереженні підтримки росіянами війни в Україні, причому понад 90% цих кампаній були російською мовою.

3. Вторгнення спричинило помітні зміни в східноєвропейській кіберзлочинній екосистемі, що, ймовірно, матиме довгострокові наслідки як для координації між злочинними групами, так і для масштабів кіберзлочинності в усьому світі.

Деякі групи розділилися через політичну прихильність і геополітику, тоді як інші втратили провідних операторів. Також спостерігається тенденція щодо спеціалізації в екосистемі програм-вимагачів, яка поєднує тактики різних зловмисників, що ускладнює остаточне визначення кінцевого автора.

TAG також спостерігає тактики, тісно пов’язані з фінансово вмотивованими зловмисниками, які використовуються в кампаніях із метою, яка, як правило, пов’язана зі зловмисниками, яких підтримує уряд. У вересні 2022 року TAG повідомила про зловмисника, діяльність якого схожа на групу UAC-0098, яка історично пов'язана з банківським трояном IcedID, що призводить до атак програм-вимагачів, керованих людьми. Вважається, що деякі члени UAC-0098 є колишніми членами групи Conti, які перепрофільовують свої методи для атаки на Україну.

Прогнози

Спеціалісти вважають, що зловмисники, які мають підтримку російського уряду, продовжуватимуть проводити кібератаки проти України та партнерів НАТО для досягнення стратегічних цілей рф.

Вони переконані, що Москва посилить руйнівні атаки у відповідь на події на полі бою, які докорінно змінюють баланс сил – реальний чи ймовірний – в Україні (наприклад, військові втрати, нові зобов'язання іноземних держав стосовно політичної чи військової підтримки тощо). Ці атаки насамперед будуть спрямовані на Україну, але все більше поширюватимуться на партнерів НАТО.

Агресор продовжить нарощувати темпи та масштаб інформаційних операцій для досягнення цілей рф, особливо з наближенням до таких ключових етапів, як міжнародне фінансування, військова допомога, внутрішні референдуми тощо. Менш зрозумілим є те, чи ця діяльність досягне бажаного ефекту, чи просто з часом посилить протидію російській агресії.

Цілком очевидно, що інформаційні технології продовжуватимуть відігравати значну роль у майбутніх збройних конфліктах, доповнюючи традиційні форми війни.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365