Кібератака на Національний комітет Демократичної партії США (, ) — несанкційоване втручання до інформаційної системи , яке стало відоме широкому загалу у червні 2016. Несанкційоване втручання було виявлене іще наприкінці квітня, тоді ж до розслідування була залучена фірма CrowdStrike. В результаті проведеного розслідування було встановлено, що зламати інформаційну систему вдалось двом угрупуванням російських хакерів — Cozy Bear (CozyDuke або APT29) та Fancy Bear (Sofacy Group або APT28). Група Cozy Bear отримала несанкційований доступ до інформаційної системи іще влітку 2015 року, а Fancy Bear — в квітні 2016 року. Разом обидва угрупування спромоглись викрасти скриньки електронної пошти, а також зібраний компромат на конкурента демократів на виборах Президента — Дональда Трампа.

Згодом стало відомо про можливу кібератаку типу тайпосквотинг (різновид кіберсквотингу — навмисного створення фальшивих сайтів з доменими іменами дуже схожими на оригінальні) проти  — організації, що збирає пожертви для кандидатів у Конгрес від Демократичної партії. Атака розпочалась приблизно в червні 2016 року.

У спільній заяві Міністерство національної безпеки США та директора Національної розвідки 7 жовтня 2016 року повідомили, що американська розвідка впевнена у причетності російського уряду до «нещодавніх кібератак проти окремих осіб та політичних організацій». Розкриття викраденої інформації сайтами DCLeaks.com та WikiLeaks та інтернет-персонажем цілком вкладається у методи та цілі російського керівництва. Такі кібератаки з метою впливу на суспільну думку вже спостерігались в Європі та Євразії та мали бути схвалені на найвищих рівнях.

Кібератака Національний комітет Демпартії 18 травня 2016 року директор служби національної розвідки США Джеймс Клеппер заявив про спроби іноземних розвідок шпигувати за передвиборчими штабами обох кандидатів через кібератаки на їхні інформаційні системи.

Sofacy Group (Fancy Bear) використала шкідливе ПЗ під назвою X-Agent для віддаленого виконання команд, передачі файлів, шпигування за натисненими клавішами. Воно було запущене командою rundll32: rundll32.exe "C:\Windows\twain_64.dll"

Також була використана програма X-Tunnel для встановлення з'єднань через систему NAT та віддаленого виконання команд. Обидві програми були доставлені всередині програми RemCOM — аналог з відкритими кодами комерційної програми PsExec. Також російські хакери вдались до декількох заходів зі знищення слідів свого перебування: періодичне вичищення журналів подій та зміна атрибутів часу зміни файлів.

Слід зазначити, що обидва угрупування діяли незалежно один від одного, були виявлені випадки зараження одного і того ж комп'ютера обома групами в спробах викрасти одну й ту саму інформацію.

DCCC Згодом стало відомо про можливу кібератаку типу тайпосквотинг (різновид кіберсквотингу — навмисного створення фальшивих сайтів з доменими іменами дуже схожими на оригінальні) проти DCCC () — організації, що збирає пожертви для кандидатів у Конгрес від Демократичної партії. Атака розпочалась, приблизно, в червні 2016 року.

Для спуфінгу справжньої адреси вебсервера DCCC була створена адреса actblues[.]com, яка відрізняється від справжньої — actblue[.]com лише однією літерою. Ця адреса була пов'язана з IP-адресою 191.101.31[.]112 (Host1Plus, підрозділ Digital Energy Technologies Ltd., фізично прив'язана до Нідерландів), та зареєстрована в реєстраторі I.T. Itch з підвищеним захистом приватності. Також: доменне ім'я actblues[.]com було зареєстроване на користувача з адресою електронної пошти fisterboks@email[.]com, на який було зареєстровано іще три доменні імені, які німецька контррозвідка пов'язує з угрупуванням Fancy Bear; також користувач fisterboks@email[.]com використовував такі ж саме доменні іменна, як і frank_merdeux@europe[.]com, котрий зареєстрував доменне ім'я misdepatrment[.]com, використане для типосквотингової атаки на підрядника Нацкомітету Демократичної партії.

Джон Подеста

У жовтні 2015 — травні 2016 року угрупування Sofacy Group (Fancy Bear, APT28) здійснило масовану направлену фішингову () атаку на користувачів поштовими послугами Gmail (як корпоративними, так і приватними). Всього було виявлено 3907 поштових скриньок, на які були відправлені фішингові листи. Для введення жертв в оману, зловмисники скористались інтернет-службою Bitly, яка дозволяє скорочувати і приховувати справжні адреси гіперпосилань. Прямого зв'язку між направленою фішинговою атакою та зламом інформаційної системи Національного комітету Демократичної партії США встановити не вдалось, проте можна припустити, що аналогічні методи допомогли розпочати проникнення до системи.

19 березня 2016 року фішингова атака проти Джона Подести, керівника передвиборчого штабу Гіларі Клінтон, завершилась вдало. 9 жовтня того ж року, у розпал передвиборчої кампанії, «Вікілікс» розпочав оприлюднення листів (у тому числі компрометуючих) з його поштової скрині.

Слід зазначити, що злам поштової скриньки із викраденням приватного листування Джона Подести під час виборчої кампанії був не першим таким випадком — під час виборів 2008 року була зламана поштова скриня Сари Пейлін, кандидата у віце-президенти США та партнера кандидата в президенти Джона Маккейна. Відповідальним виявився Девід Кернел (). Листування Пейлін було спочатку оприлюднене на інтернет-форумах, а потім розміщене Вікілікс. Кернел ретельно дослідив профілі Сари Пейлін в соціальних мережах, звідки дізнався її біографічні дані, необхідні для проходження процедури «відновлення» паролю до поштової скрині. Його звинуватили у вчиненні низки злочинів із сукупним терміном покарання 50 років у в'язниці, визнали винним у скоєнні двох та засудили до ув'язнення на термін 1 рік + 1 день.

Легалізація Гуцифер 2 Заради легалізації викрадених даних було створене «опудало», що мало служити фасадом для угрупування — «хакер» на прізвисько «Гуцифер 2.0» (). Це прізвисько було запозичене в іншого хакера — румунця Марселя Лазара Лехеля (), котрий назвав себе (злиття слів Gucci та Lucifer). Марсель Лехель став відомим завдяки зламу поштових скриньок відомих людей (зокрема, сестри Джорджа Вокера Буша). В 2014 році його засудили в Румунії до 7 років ув'язнення, але згодом передали до Сполучених Штатів, де станом на 2016 рік він очікував на вирок суду. Після того, як Лехеля доставили до США, він заявив, що неодноразово зламував особистий поштовий сервер Гілларі Клінтон, коли та була державним секретарем США (див. Імейлгейт). Проте, він не зміг навести жодного доказу, а слідчі не знайшли жодних свідчень на підтвердження його слів. У липні 2016 року директор ФБР Джеймс Комі заявив, що Лазар збрехав, коли заявив про злам поштового серверу Клінтон.

Утім, саме завдяки Лехелю широкий загал дізнався про існування приватної поштової скрині Гілларі Клінтон, коли він поширив листи зі зламаної ним же поштової скрині близького партнера Клінтон Сідні Блюменталя Оприлюднені листи стосувались подій навколо терористичних атак на консульство США в Бенгазі в 2012 році. Сідні Блюменталь на той час не мав доступу до таємної інформації, однак деякі з отриманих ним від Клінтон текстів були згодом визнані такими, що підпадають під гриф «таємно»Gerstein, Josh. «Clinton's emails from Blumenthal spark tension» , Politico (October 22, 2015): «At least one [email] has been deemed classified by State, including information Clinton sent to Blumenthal, who had no security clearance.»Morrison, Micah. «Hillary Clinton's rogue agenda: Why Sid Blumenthal matters» , New York Post (October 31, 2015): «The November 2009 e-mail was sent by Wilson to Blumenthal, who passed it on to Clinton. Most of Clinton's reply to Blumenthal is redacted as classified.».

На відміну від першого Гуцифера, Guccifer 2.0 не зміг навести переконливі докази своєї автентичності, або що за цим фасадом стоїть реальна жива людина. На думку аналітиків фірми ThreatConnect, швидше за все, Guccifer 2.0 — лише спроба російських спецслужб облудою відвернути увагу від їхньої ролі у зламі інформаційних систем Демократичної партії Серед іншого: його поведінка була нетиповою для звичайних політичних хактивістів — замість оприлюднення документів одразу після їх отримання, він чекав більше року; дивним виглядало й те, що хакер-одинак скористався невідомою «вразливістю нульового дня» у нішевому пропрієтарному програмному забезпеченні, коли набагато краще оснащені російські спецслужби скористались набагато простішим направленим фішингом. незрозуміло, навіщо Guccifer 2.0 змінював метадані документів (або навіть їх вміст) перед оприлюдненням, адже це ставило під сумнів їхню справжність.

На думку фахівця з комп'ютерної безпеки Дейва Айтеля, оприлюднивши викрадені файли російські спецслужби перетнули червону лінію припустимого. Він запропонував вважати таке нахабне втручання в перебіг президентських виборів іззовні країни прикладом кібервійни.

У березні 2018 року американське видання The Daily Beast із посиланням на власні «джерела» повідомило, що фахівцям фірми Threat Connect та співробітникам американської розвідки вдалось знайти докази, що за персонажем Guccifer 2.0 стояли співробітники ГРУ, які працювали в офісах ГРУ на вулиці Гризодубової в Москві. Оператори цього інтернет-персонажа заходили в соціальні мережі через анонамізатор Elite VPN з точкою виходу у Франції, але штаб-квартирою в Москві. Одного разу оператор припустився помилки і зайшов до соц. мереж зі своєї справжньої IP-адреси.

Вікілікс

Наступним кроком з легалізації викрадених даних, який отримав набагато більше розголосу, стала публікація решти файлів на сайті організації Вікілікс, яку колишній співробітник АНБ Джон Р. Шиндлер назвав «сурогатом російських спецслужб». Засновник Вікілікс, Джуліан Ассанж, анонсував оприлюднення даних в інтерв'ю телеканалу ITV 12 червня 2016 року. При цьому, він визнав, що цим витоком намагається зашкодити Гілларі Клінтон виграти вибори. Оприлюднення сталось шість тижнів по тому, 22 липня 2016 року — організація розмістила у вільному доступі у себе на сайті електронних листів з 8034 вкладеними файлами. Листи були викрадені з поштових скриньок 7 ключових осіб в DNC та охоплювали період від січня 2015 року до 25 травня 2016 року. Серед листів з вкладеними файлами були й повідомлення голосової пошти.

Про передачу оприлюднених листів до Вікілікс заявив Гуцифер 2.0, який першим виступив публічно як особа, що стоїть за кібератаками на Демократичну партію.. Попри те, Джуліан Ассанж заперечив будь-яку причетність російських спецслужб до витоку даних, а також пообіцяв оприлюднити ще більше компромату на Гілларі Клінтон. При цьому, він припустив, що «колись джерело або джерела інформації дадуть про себе знати». 9 серпня 2016 року Ассанж зробив натяк, що можливим джерелом отриманих файлів був співробітник Демократичної партії Сес Річ (), якого вбили вранці 10 липня поблизу його квартири. Однак, він відмовився прямо підтвердити чи спростувати причетність Річа до витоку даних.

Оприлюднені листи, серед іншого, містили приватну інформацію деяких донорів Демократичної партії — номери соціального страхування, номера паспортів, інформацію про кредитні картки. Один лист містив перелік осіб, запрошених на зустріч ЛГБТ активістів, організовану Демократичною партією. Серед файлів голосової пошти був запис співробітника Демократичної партії про відвідання зоопарку з дітьми.

Наслідки

Вікілікс оприлюднила викрадені листи напередодні з'їзду Демократичної партії, на якій відбулась формальне висування Гілларі Клінтон у кандидати на виборах Президента США 2016 року. Однак, з оприлюднених листів випливало, що Національний комітет Демократичної партії протягом праймеріз віддавав деяку перевагу Гілларі Клінтон перед Берні Сандерсом. Унаслідок спричиненого цим викриттям скандалу голова Національного комітету Демократичної партії, Деббі Вассерман-Шульц, була змушена терміново піти у відставку.