Wyciek plików Vulkan – zbiór tysięcy dokumentów, które z rosyjskiej firmy zajmującej się cyberbezpieczeństwem NTC Vulkan (ros. НТЦ Вулкан), będącej wykonawcą rosyjskich sił zbrojnych i służb wywiadowczych. Dokumenty, pochodzące z lat 2016–2021, opisują oprogramowanie opracowane przez Vulkan w celu wspierania rosyjskiej cyberwojny i wojny informacyjnej, w tym systemy służące do identyfikowania podatności sieci komputerowych, koordynowania operacji cybernetycznych, kontrolowania ruchu internetowego i telekomunikacyjnego na wyznaczonych obszarach oraz prowadzenia kampanii dezinformacyjnych za pośrednictwem mediów społecznościowych. Działania te obejmują ingerencję polityczną w sprawy innych państw (m.in. w wybory prezydenckie w Stanach Zjednoczonych w 2016 roku).
Wśród projektów ujawnionych w dokumentach znalazły się Skan, zaprojektowany w celu identyfikowania i katalogowania podatnych na ataki systemów komputerowych; Amezit, system łączący nadzór i kontrolę internetu z narzędziami do prowadzenia dezinformacji w sieci; oraz Crystal-2, platforma szkoleniowa do prowadzenia operacji cybernetycznych przeciwko transportowi i innej infrastrukturze krytycznej. Dokumenty łączą działalność Vulkana z kilkoma rosyjskimi służbami bezpieczeństwa i wywiadu, w tym Federalną Służbą Bezpieczeństwa (FSB), Służbą Wywiadu Zagranicznego (SWR) oraz wojskowym GRU, a także zawierają dowody łączące projekty firmy z jednostką GRU 74455, powiązaną z grupą hakerską Sandworm.
Dokumenty zostały przekazane niemieckiemu dziennikowi „Süddeutsche Zeitung” krótko po rozpoczęciu rosyjskiej inwazji na Ukrainę w lutym 2022 roku przez anonimowego sygnalistę, który oświadczył, że sprzeciwia się wojnie. Następnie zostały zbadane przez międzynarodowe konsorcjum organizacji medialnych, a pierwsze informacje na ich temat opublikowano w marcu 2023 roku. Pięć zachodnich agencji wywiadowczych oraz kilku niezależnych ekspertów ds. cyberbezpieczeństwa uznało dokumenty za autentyczne. Dokumenty dostarczają dowodów na rozwój i testowanie rosyjskich zdolności do prowadzenia cyberwojny, ale nie dowodzą, że każdy z opisanych systemów został wdrożony, ani nie łączą bezpośrednio oprogramowania Vulkana z konkretnymi znanymi cyberatakami.
Historia Firma NTC Vulkan została założona w 2010 roku przez Antona Markowa i Aleksandra Irżawskiego. Obaj są absolwentami akademii wojskowej w Petersburgu i służyli w armii rosyjskiej; Markow osiągnął stopień kapitana, a Irżawski majora.
Od 2011 roku Vulkan posiadał specjalne licencje umożliwiające pracę przy tajnych projektach wojskowych i państwowych. Firma posiadała licencję bezpieczeństwa FSB umożliwiającą prowadzenie prac niejawnych, a funkcjonariusze FSB byli również oddelegowani do pracy w przedsiębiorstwie.
Firma zatrudnia ponad 120 osób, w tym 60 programistów, i określa swoją specjalizację jako bezpieczeństwo informacji. Wśród swoich klientów wymienia Sbierbank, Aerofłot i Koleje Rosyjskie.
Wyciek Liczące tysiące dokumenty zostały przekazane niemieckiemu dziennikowi „Süddeutsche Zeitung” w ciągu kilku dni od rozpoczęcia 24 lutego 2022 roku rosyjskiej inwazji na Ukrainę przez sygnalistę sprzeciwiającego się tej wojnie. Dokumenty zostały przeanalizowane przez dziennikarzy tego dziennika oraz „The Guardian”, „Le Monde” i „Washington Post”, wraz z kilkoma innymi mediami, w ramach konsorcjum kierowanego przez Paper Trail Media i „Der Spiegel”. Konsorcjum opublikowało pierwsze szczegóły swojego dochodzenia 30 marca 2023 roku.
Pięć zachodnich agencji wywiadowczych oraz kilku niezależnych ekspertów ds. cyberbezpieczeństwa potwierdziło autentyczność dokumentów.
Zawartość Zbiór obejmuje ponad 5000 stron dokumentów z lat 2016–2021, w tym wewnętrzne wiadomości e-mail, umowy, dokumentację finansową, instrukcje oraz specyfikacje techniczne oprogramowania opracowanego przez Vulkana dla rosyjskich sił zbrojnych i służb wywiadowczych. Dokumenty opisują systemy przeznaczone do automatyzowania kampanii dezinformacyjnych, identyfikowania i katalogowania podatności sieci komputerowych, koordynowania operacji cybernetycznych oraz monitorowania lub kontrolowania aktywności internetowej. Zawierają również dokumentację dotyczącą testowania systemów i płatności dokonywanych na rzecz Vulkana przez rosyjskie służby bezpieczeństwa i powiązane z nimi instytuty badawcze. Dokumentacja finansowa uzyskana niezależnie przez dziennikarzy była zgodna z informacjami zawartymi w dokumentach i wykazała transakcje o wartości milionów dolarów między Vulkanem a znanymi rosyjskimi organizacjami wojskowymi i wywiadowczymi. Eksperci określili wykonawców takich jak Vulkan jako istotną część zaplecza badawczo-rozwojowego ofensywnych operacji cybernetycznych GRU, dostarczającą państwowym agencjom zdolności i wiedzy specjalistycznej.
Dokumenty nie zawierają kodu źródłowego złośliwego oprogramowania, zweryfikowanych list planowanych celów ani dowodów bezpośrednio łączących systemy Vulkana ze znanymi rosyjskimi cyberatakami. Zachodni przedstawiciele służb wywiadowczych i badacze cyberbezpieczeństwa ostrzegali zatem, że nie wiadomo, które systemy zostały wdrożone. Odniesienia do testów rządowych, żądanych modyfikacji i ukończonych projektów wskazywały jednak, że wdrożono co najmniej testowe wersje niektórych systemów.
Amezit W 2016 roku Vulkan otrzymał pierwszy kontrakt na stworzenie systemu o nazwie Amezit. Amezit zaprojektowano tak, aby umożliwić operatorowi kontrolowanie ruchu internetowego i telekomunikacyjnego na wyznaczonym obszarze, w tym sieci komórkowych i mediów społecznościowych. System mógł służyć do odizolowania takiego obszaru od komunikacji zewnętrznej i wprowadzenia blokady informacyjnej. Podsystem znany jako PRR miał służyć do rozpowszechniania dezinformacji za pośrednictwem mediów społecznościowych.
Dokumenty opisują metody automatycznego tworzenia dużej liczby fałszywych kont w mediach społecznościowych, w tym wykorzystywanie zestawów kart SIM w celu obchodzenia procedur weryfikacji kont w serwisach takich jak Facebook i Twitter. Projekt instrukcji z 2017 roku opisywał również przygotowywanie, dystrybucję i promowanie materiałów propagandowych za pośrednictwem mediów społecznościowych, rozmów telefonicznych, wiadomości e-mail i SMS-ów.
Dziennikarze badający konta na Twitterze wskazane w ujawnionych dokumentach znaleźli dowody sugerujące, że narzędzia były wykorzystywane w kilku państwach. Wśród przykładów znalazły się konta promujące narracje związane z rosyjską propagandą państwową dotyczącą wojny domowej w Syrii, a podczas wyborów prezydenckich w Stanach Zjednoczonych w 2016 roku – materiały atakujące Hillary Clinton. Amezit zawierał również funkcje służące do nadzoru i kontrolowania dostępu do internetu na obszarach znajdujących się pod rosyjską kontrolą. Dokumentacja projektu opisywała „ograniczenie informacyjne obszaru lokalnego” oraz utworzenie autonomicznego segmentu sieci transmisji danych. Makiety przedstawiały system mapujący sieci komputerowe związane z infrastrukturą fizyczną. Przykłady użyte w dokumentacji obejmowały szwajcarskie Ministerstwo Spraw Zagranicznych w Bernie oraz elektrownię jądrową Mühleberg, wraz z informacjami technicznymi dotyczącymi potencjalnych sposobów uzyskania dostępu do ich sieci, choć eksperci ds. cyberbezpieczeństwa ostrzegali, że przykłady te nie stanowią dowodu na to, iż obiekty te rzeczywiście były celami Rosji.
W 2018 roku niektórzy pracownicy NTC Vulkan w związku z projektem Amezit udali się do Rostowa nad Donem, aby odwiedzić Instytut Badań Radiowych, powiązany z Federalną Służbą Bezpieczeństwa. Według rosyjskiego eksperta ds. służb bezpieczeństwa instytut działał jednak jako pośrednik dla rosyjskich sił zbrojnych, które miały być docelowym użytkownikiem systemu. Rozwój Amezitu rozpoczął się sześć lat przed rosyjską inwazją na Ukrainę w 2022 roku, co wskazuje, że zainteresowanie rosyjskich sił zbrojnych systemami łączącymi terytorialną kontrolę komunikacji, cenzurę i dezinformację poprzedzało inwazję. Nie wiadomo, czy system był wykorzystywany na okupowanych przez armię rosyjską obszarach Ukrainy.
Wewnętrzne wiadomości e-mail wskazują, że rosyjscy klienci ze służb wywiadowczych testowali Amezit do 2020 roku. Wiadomość e-mail z maja 2019 roku zawierała uwagi klienta i prośby o modyfikacje, natomiast powiązany z nią arkusz kalkulacyjny wskazywał niektóre elementy projektu jako ukończone.
Crystal-2 Dokumenty opisują również Crystal-2, platformę szkoleniową do prowadzenia cyberwojny, której opracowanie zlecono Vulkanowi w 2018 roku w celu wspierania wyszukiwania słabych punktów w systemach przeznaczonych do zaatakowania. Scan-V został zamówiony w maju 2018 roku.
Platforma miała umożliwiać jednoczesną pracę maksymalnie 30 szkolącym się osobom. Jej dokumentacja opisywała ćwiczenia obejmujące wykorzystanie Amezitu do wyłączania systemów sterowania transportem kolejowym, lotniczym i morskim, a także szkolenie w zakresie metod uzyskiwania nieautoryzowanego dostępu do lokalnych sieci komputerowych i technologicznych obsługujących infrastrukturę na obszarach zamieszkanych i przemysłowych. Dokumentacja klasyfikowała informacje przetwarzane i przechowywane przez system jako „ściśle tajne”. Nie wiadomo, czy proponowany program szkoleniowy został wdrożony.
Skan Skan został zaprojektowany do ciągłego skanowania internetu w poszukiwaniu podatnych na ataki systemów komputerowych i gromadzenia informacji o nich w bazie danych na potrzeby ewentualnych przyszłych operacji cybernetycznych. Dokument z 2019 roku opisywał system jako zdolny do przedstawiania możliwych scenariuszy ataku i identyfikowania węzłów sieci, które mogłyby w nich uczestniczyć. Miał on również umożliwiać wymianę danych między rozproszonymi geograficznie rosyjskimi jednostkami prowadzącymi operacje cybernetyczne.
Ujawniona korespondencja dostarcza dowodów, że co najmniej część systemu Skan została dostarczona rosyjskiemu klientowi wojskowemu. W maju 2020 roku programista Vulkana omawiał wysłanie pracowników firmy do siedziby „użytkownika funkcjonalnego” projektu w celu instalacji i konfiguracji sprzętu i oprogramowania oraz zademonstrowania systemu. Jako lokalizację wskazano Chimki, podmoskiewskie miasto, w którym stacjonuje jednostka GRU powiązana z grupą hakerską Sandworm.
Inny ujawniony dokument, datowany na 2019 rok, odnosi się do numeru jednostki wojskowej Sandworm – 74455 – i odnotowuje, że przedstawiciel tej jednostki zatwierdził protokół przesyłania danych dla jednej z platform Vulkana. Analitycy ds. cyberbezpieczeństwa uznali to za dowód, że Vulkan opracowywał oprogramowanie dla hakerskiej jednostki GRU.
Powiązania z innymi organizacjami Według badaczy Google dokumenty łączą Vulkana z grupą hakerską Cozy Bear.
Przypisy
Linki zewnętrzne
Kategoria:Propaganda w Rosji Kategoria:Polityka zagraniczna Rosji Kategoria:Rosyjskie służby specjalne