Fancy Bear (також відома як APT28, Pawn Storm — , Sofacy Group та Sednit) — угруповання, що спеціалізується на кібершпигунстві, дослідники пов'язують його з російськими спецслужбами. Ймовірно веде діяльність з 2007 року. Відоме атаками на інформаційні системи урядових, військових, безпекових організацій. Угруповання Sofacy відносять до типу розвиненої сталої загрози (; APT).
Інженери фірми TrendMicro зазначають, що ними були зафіксовані фішингові та націлені фішингові атаки цього угруповання. Pawn Storm також створювало фальшиві сервери, підроблені під корпоративні сервери жертв з метою викрадення їхніх облікових даних (логін-пароль).
На початку 2016 року німецька контррозвідка поширила попередження про зростання активності даного угруповання та звернула увагу на те, що воно діє під керівництвом російських державних органів. На думку керівника компанії CrowdStrike Дмитра Альперовича, перелік жертв кібератак цього угрупування істотно збігається зі стратегічними інтересами російського уряду, що може свідчити про взаємодію угрупування з Головним розвідувальним управлінням ГШ РФ. Так само Служба зовнішньої розвідки Естонії пов'язує це угрупування з ГРУ ГШ РФ.
У спільній заяві Міністерство національної безпеки США та директор Національної розвідки 7 жовтня 2016 року поклали відповідальність за нещодавні кібератаки, в яких були помічені сліди цього угруповання, на найвищі щаблі політичного керівництва Росії.
Діяльність
Огляд Дослідники фірми FireEye зазначають, що на відміну від інших, дане угруповання не цікавить викрадення інтелектуальної власності заради грошового зиску. Натомість, воно спеціалізується на кібершпигунстві за військовими та політичними установами, викраденні інформації, що становить інтерес з точки зору оборони та геополітики; тобто, інформації, яка може бути цікава лише державі . Дослідникам інших фірм також вдалось виявити атаки даного угруповання проти дипломатичних установ, користувачів популярних служб електронної пошти, військових та оборонних відомств, постачальників для них, конференції, енергетичні компанії та засоби масової інформації .
Серед іншого, були зафіксовані операції проти державних установ Грузії, східноєвропейських країн, європейських оборонних організацій (ОБСЄ, НАТО). Угрупування веде активність щонайменше з 2004 або 2007 року. Інженерам фірми ESET вдалось встановити понад 1000 жертв угрупування, впливових осіб та високопосадовців з різних країн, на проти яких було здійснені фішингові атаки, в тому числі із використанням вразливостей нульового дня. Лише тільки в проміжку між 16 березня та 14 вересня 2015 року були виявлені спроби направлених фішингових атак проти власників 1888 різних поштових скриньок. В той самий часовий проміжок угрупування скористалось не менше шістьма різними вразливостями нульового дня.
Серед широко відомих жертв угрупування є Національний комітет Демократичної партії США, Німецький парламент (Бундестаг), французька компанія TV5Monde, міжнародна антидопінгова асоціація WADA. Окрім організацій, угрупування атакувало окремих приватних осіб, впливових людей в політичному середовищі східної Європи, України (в тому числі керівництва МВС), офіційних осіб НАТО, російських дисидентів та хактевістів з групи «Шалтай Болтай», науковців, які відвідували Росію, чеченські організації.
Серед атакованих організацій за період 16 березня — 14 вересня 2015 року були виявлені: Посольства Алжиру, Бразилії, Колумбії, Джибуті, Індії, Іраку, Північної Кореї, Киргизстану, Лівану, М'янми, Пакистану, Південної Африки, Туркменістану, Об'єднаних Арабських Еміратів, Узбекистану та Замбії. Міністерства оборони Аргентини, Бангладеш, Південної Кореї, Туреччини та України.
Час компіляції файлів використаного шкідливого ПЗ відповідає часовому поясу Санкт-Петербурга та Москви. Атаки переважно відбуваються з понеділка до п'ятниці протягом робочого дня.
На думку керівника компанії CrowdStrike Дмитра Альперовича, перелік жертв кібератак цього угрупування істотно збігається зі стратегічними інтересами російського уряду, що може свідчити про взаємодію угрупування з Головним розвідувальним управлінням ГШ РФ.
Відомі випадки, коли співробітники цього підрозділу подорожували за межі Російської Федерації з метою хакерських атак на інформаційні мережі жертв з фізично близької відстані. Так, наприклад, в квітні 2018 року було розкрито чотири співробітника ГУ ГШ ЗС РФ зі складу цього угрупування в Гаазі, під час проваленої хакерської атаки на бездротові мережі Wi-Fi Організації із заборони хімічної зброї.
У лютому 2022 року, після російського вторгнення в Україну, хакери з угрупування Fancy Bear нападали на урядові організації та приватні компанії із секторів оборони, транспорту та ІТ. Серед постраждалих, організації з Болгарії, Чехії, Франції, Німеччини, Греції, Італії та інших країнЗахідні країни викрили кібершпигунську кампанію росії. 22.05.2025;
Офіційні розслідування
19 жовтня 2020 року Міністерство юстиції США висунуло обвинувачення шістьом офіцерам, військовослужбовцям в/ч 74455 ГРУ ГШ ЗС РФ. Скоєні ними кібер-атаки мали допомогти російській владі шкодити Україні, Грузії, втрутитись у вибори у Франції, уникнути відповідальності за використання хімічної зброї — отруйної речовини нервово-паралітичної дії «Новичок» за межами Росії, перешкодити проведенню зимових олімпійських ігор 2018, на яких було заборонено російській команді виступати під державним прапором через систематичне використання допінгу, тощо.
Назва Через проблему атрибуції кіберзлочинів, різні фірми та дослідники можуть давати різні назви одному й тому ж хакерському угрупованню.
Фірма Trend Micro назвала угрупування, що стоїть за шкідливим ПЗ Sofacy, Operation Pawn Storm. Дане ім'я було обране через застосування угрупуванням «подібно до однойменного прийому в шахах двох та більше інструментів або тактичних прийомів проти однієї жертви». Фірма FireEye назвала дане угруповання «Advanced Persistent Threat 28» (APT28 — розвинена стала загроза 28). Фірма SecureWorks назвала дане угруповання (або його елементи) Threat Group-4127 (TG-4127).
Британський Національний центр комп'ютерної безпеки (NCSC) повідомляє, що даний підрозділ працював (станом на вересень 2018 року) під такими назвами-фасадами: APT 28 Fancy Bear Sofacy Pawnstorm Sednit CyberCaliphate Cyber Berkut (КіберБеркут) Voodoo Bear BlackEnergy Actors (BlackEnergy) STRONTIUM Tsar Team Sandworm
Інструментарій Дослідники вважають, що, серед іншого, угрупування має в своєму арсеналі два сімейства шкідливого ПЗ, яке отримало такі назви: Sofacy X-Agent: використовується проти важливіших цілей. Відомі окремі модифікації для роботи в системах без доступу до Інтернет (так звані ізольовані, або системи)
Також в арсеналі угрупування називають такі інструменти: X-Tunnel, WinIDS, Foozer, DownRange, та навіть шкідливе ПЗ для операційних систем на основі Linux, OSX, iOS, телефонів Android і Windows Phone. Угрупування має в своєму арсеналі шкідливе ПЗ, що здатне оминати звичайні системи захисту. Однак зазвичай угрупування вдається до тактики направленого фішингу () для викрадення даних облікових записів своїх жертв.
У вересні 2018 року компанія ESET оприлюднила доповідь про LoJax — перший відомий руткіт для системи UEFI помічений у реальному вжитку. Інженерами компанії було виявлено один випадок успішного ураження підсистеми SPI та збереження руткіту у флеш-накопичувачі цієї підсистеми. Завдяки цьому шкідливе ПЗ могло залишатись в комп'ютері не лише при переформатуванні жорсткого диску, а навіть при заміні жорстких дисків. Єдиний шанс позбутись його — перезапис флеш-пам'яті вбудованого ПЗ системи UEFI.
Відомі кібератаки
Велика Британія
За даними Національного центру комп'ютерної безпеки в липні-серпні 2015 року зловмисникам з цього угрупування вдалось здобути доступ до скринь електронної пошти невеличкого телеканалу, їхній вміст викрадений.
В квітні 2018 року хакери з цього угрупування намагались отримати доступ до інформаційних систем лабораторії оборонних і наукових технологій (, DSTL), а в березні того ж року — до інформаційних систем Форин-офіс шляхом фішингової атаки.
Німеччина В 2015 році була виявлена кібератака на інформаційну систему Бундестагу; серед інших, вірусом був вражений комп'ютер федерального канцлера Німеччини Анґели Меркель. Відповідальність за атаку дослідники покладають на російське угрупування кіберзлочинців (також відоме як ), яких вважають пов'язаними з російськими спецслужбами.
В квітні-травні 2016 року відбулась спроба фішингової атаки на поштові системи Християнсько-демократичного союзу — політичної партії Ангели Меркель. Для викрадення облікових даних членів ХДС був створений фішинговий сервер в Естонії, який мав схоже доменне ім'я та вигляд, як і корпоративний поштовий сервер ХДС. Також, приблизно в цей же час, було створено три сервери для викрадення облікових даних важливих користувачів двох найпопулярніших поштових провайдерів Німеччини.
23 серпня 2016 року німецька контррозвідка поширила попередження про чергову фішингову атаку угрупування APT28, яке служить сурогатом російської розвідки, проти користувачів поштової служби та популярного в Німеччині інтернет-порталу GMX (справжня адреса gmx[.]net). Такий висновок був зроблений після виявлення серверу з доменним іменем gmx-service[.]net.
Компрометація урядового зв'язку
28 лютого 2018 року німецька інформаційна агенція DPA поширила новину про те, що німецьким спецслужбам вдалось виявити несанкційоване втручання до інформаційних систем міністерства закордонних справ та міністерства оборони, були скомпрометовані захищені комп'ютерні мережі для урядового зв'язку (IVBB). Зловмисникам вдалось встановити шкідливе програмне забезпечення та викрасти значні обсяги секретних документів. Основна підозра пала на угрупування APT28. Проте згодом до ЗМІ потрапила інформація, що насправді за атакою може стояти інше російське угрупування, яке більш інтегроване в структуру російських збройних сил. Підозра пала на угрупування Snake (також відоме як Uroburos/Epic Turla/Snake/SnakeNet).
Вже надвечір того ж дня міністерство внутрішніх справ підтвердило, що федеральна агенція з безпеки інформаційних технологій та розвідувальні служби розслідують втручання в роботу урядових інформаційних систем.
США
Залякування дружин американських військових В лютому 2015 року, за кілька тижнів до атаки на TV5Monde дружини американських військових стали отримувати електронні повідомлення з погрозами від імені «КіберХаліфату». Зловмисникам також вдалось здобути несанкційований доступ (зламати) до облікового запису Twitter громадської організації «Military Spouses of Strength». Зламавши обліковий запис зловмисники стали розсилати повідомлення з погрозами родинам військових та навіть першій леді Мішель Обамі.
На той час засоби масової інформації поклали відповідальність на членів або прибічників ІДІЛ а інцидент, таким чином, був використаний ольгінськими тролями для роздмухування міжрелігійної ненависті.
Проте фахівцями фірми Secureworks вдалось здійснити розслідування та в результаті встановити відповідальність за атаку за російськими хакерами.
Кібератака на Демократичну партію
В червні 2016 стало відомо про виявлення несанкціонованого втручання до інформаційної системи . Несанкціоноване втручання було виявлене іще наприкінці квітня, тоді ж до розслідування була залучена фірма CrowdStrike. В результаті проведеного розслідування було встановлено, що зламати інформаційну систему вдалось двом угрупуванням російських хакерів — Cozy Bear (CozyDuke або APT29) та Fancy Bear (Sofacy Group або APT28). Група Cozy Bear отримала несанкційований доступ до інформаційної системи іще влітку 2015 року, а Fancy Bear — в квітні 2016 року. Вкупі, обидва угрупування спромоглись викрасти скриньки електронної пошти а також зібраний компромат на конкурента демократів на виборах Президента — Дональда Трампа.