Fancy Bear (známá také jako APT28, Pawn Storm, Sofacy Group, Sednit a STRONTIUM) je hackerská a špionážní skupina. Bezpečnostní firma CrowdStrike tvrdí, že je pravděpodobně spojena s ruskou vojenskou rozvědkou GRU. Britské ministerstvo zahraničí a bezpečnostní firmy SecureWorks, ThreatConnect, a Fireeye Mandiant uvádějí, že skupina Fancy Bear je financována ruskou vládou. V roce 2018 zvláštní vyšetřovatelé Spojených států pod vedením Roberta Mullera identifikovali Fancy Bear jako dvě jednotky GRU s názvy Jednotka 26165 a Jednotka 74455.
GRU řídí také hackerské skupiny Iridium (malwary FoxBlad, CaddyWiper, Industroyer2) a DEV-0586 (krádeže dat, malware WhisperGate). Civilní rozvědka SVR má hackerskou skupinu Nobelium, zaměřenou na phishing. Federální služba bezpečnosti (FSB) ovládá hackerské skupiny Actinium (krádeže dat, phishing), Bromine (krádeže dat) a Krypton (výzvědná činnost, phishing).
Jméno "Fancy Bear" pochází od bezpečnostního pracovníka společnosti McAfee Dmitrije Alperovitche, který používá kódová označení k identifikaci hackerů. Další podobnou skupinou hackerů napojených na ruskou zahraniční rozvědku je Cozy Bear (též APT 29).
Skupina funguje od poloviny první dekády 21. století a disponuje schopnostmi státem řízených organizací. Zaměřuje se na vládní, vojenské a bezpečnostní organizace, zejména na státy Jižního Kavkazu, na Ukrajinu a členské státy NATO. Podle některých zpráv skupina Fancy Bear stojí za kybernetickými útoky na německý parlament, francouzskou televizní stanici TV5Monde, Bílý dům, NATO, zástupce Demokratické strany, Organizaci pro bezpečnost a spolupráci v Evropě a kampaň prezidentského kandidáta Emmanuela Macrona.
Akce skupiny jsou v souladu se zájmy ruské vlády. Známou se skupina stala díky útokům na e-maily členů Demokratické strany, což mělo pomoci Donaldu Trumpovi během prezidentských voleb v USA v roce 2016.
Skupina Fancy Bear je společností FireEye hodnocena jako pokročilá trvalá bezpečnostní hrozba. Ke kybernetickým útokům skupina využívá mimo jiné zero day zranitelnosti, phishing a malware.
Objevení skupiny 22. října 2014 japonská antivirová společnost Trend Micro objevila skupinu, která stála za malwarem Sofacy a označila jí jako Operation Pawn Storm. Název byl vybrán s ohledem na to, že skupina použila "dva nebo více souvisejících nástrojů / taktik k útoku na konkrétní cíl podobně jako v šachové strategii" známé jako Pawn Storm (Útok pěšcem).
Společnost FireEye vydala podrobnou zprávu o Fancy Bear v říjnu 2014. Zpráva označila skupinu za pokročilou a trvalou hrozbu 28 (anglicky Advanced Persistent Threat 28, tedy APT28) a popsala, jak hackerská skupina využívala zero day zranitelnosti operačního systému Microsoft Windows a Adobe Flash. Společnost FireEye ve zprávě uvádí, že našla indicie o tom, že je skupina "sponzorována vládou se sídlem v Moskvě". Jako důkazy uvádí skutečnost, že byl malware sestaven primárně v ruském jazykovém prostředí a k sestavování došlo v průběhu pracovní doby moskevského časového pásma. Laura Galante ze společnosti FireEye označila aktivity skupiny za "státní špionáž" a uvedla, že mezi cíle patří také "média nebo vlivné osoby".
Název Fancy Bear (vymyšlený, lákavý medvěd) je kódové označení, jaké Dmitri Alperovitch používá pro hackerské skupiny. "Medvěd" (Bear) označuje skutečnost, že hackeři pocházejí z Ruska. "Vymyšlený, lákavý" (Fancy) odkazuje na slovo "Sofacy", které analytik našel v malwaru. Slovo mu připomnělo píseň Fancy od zpěvačky Iggy Azaley.
Jednotka 74455 Jednotka 74455 je uvnitř GRU označována rovněž jako „Hlavní centrum speciálních technologií“ a odborníci na kyberbezpečnost ji označují názvy Sandworm Team, Telebots, Woodooo Bear, Iron Vikings. Sídlí v Moskvě (Kirovova ulice 22), v budově GRU označované „Věž“. Za několik útoků, včetně konspirace a kybernetických útoků na USA, Ukrajinu, Gruzii, Zimní olympijské hry 2018 nebo francouzskou prezidentskou kampaň bylo v USA v říjnu 2020 obviněno šest konkrétních důstojníků GRU.Conspiracy to Commit an Offense Against the United States, 15.10.2020
Připisované útoky Mezi cíle Fancy Bear patří vlády a armády východní Evropy, Gruzie, Kavkazu, Ukrajiny a organizace jako NATO. Dále američtí dodavatelé vojenské techniky, společnosti Academi, Science Applications International Corporation (SAIC), Boeing, Lockheed Martin a Raytheon. Fancy Bear také cílí na ruské občany, kteří jsou politickými oponenty Kremlu, včetně bývalého ropného magnáta Mikhaila Chodorkovského a Mariji Aljochinové z kapely Pussy Riot. Bezpečnostní firma SecureWorks, se sídlem ve Spojených státech, dospěla k závěru, že od března 2015 do května 2016 nebyli mezi cíli Fancy Bear pouze členové Demokratické strany, ale i desítky tisíc odpůrců Putina a Kremlu v USA, Ukrajině, Rusku, Gruzii a Sýrii. Seznam napadených zahrnuje např. Eliota Higginse a Bellingcat, nejméně 50 zahraničních korespondentů nezávislých médií sídlících v Moskvě, třicet ukrajinských médií, zaměstnance nezávislých a mainstreamových ruských médií. V roce 2019 byly napadeny evropské kanceláře amerických think tanků Aspen Institute, German Marshall Fund nebo German Council for Foreign Relations.Donie O'Sullivan: Russian hackers targeted US think tanks in Europe, CNN Business, 20.2.2019
Na druhou stranu byla za cíl vybrána jen hrstka členů Republikánské strany. Analýza 4700 napadených e-mailových účtů, provedená Americkou tiskovou agenturou dospěla k závěru, že žádná jiná země než Rusko by neměla zájem útočit na tolik velmi odlišných cílů, jejichž jediný společný znak je zájem o ruskou vládu.
První malware skupiny Fancy Bear z let 2011–2012 nese název Sofacy nebo též SOURFACE. Během roku 2013 skupina přidala další nástroje a zadní vrátka, včetně CHOPSTICK, CORESHELL, JHUHUGIT a ADVSTORESHELL.
Útoky na novináře v Rusku, USA, na Ukrajině a jinde (2014–2017) Od poloviny roku 2014 do podzimu roku 2017 se skupina Fancy Bear zaměřila na celou řadu novinářů ve Spojených státech, na Ukrajině, v Rusku, Moldavsku, v Pobaltí a dalších zemích, která publikovala články diskreditující Putina a Kreml. Podle agentury AP a společnosti SecureWorks jsou novináři třetí největší skupinou, na kterou se Fancy Bear zaměřili, hned po diplomatickém sboru a amerických Demokratech. Mezi cíli Fancy Bear se objevili: americký novinář Adrian Chen, arménská novinářka Maria Titizian, Eliot Higgins ze skupiny Bellingcat, Ellen Barry a nejméně 50 dalších reportérů New York Times, nejméně 50 zahraničních korespondentů v Moskvě pracujících pro nezávislé zpravodajství, Josh Rogin, fejetonista z Washington Post, Shane Harris, redaktor Daily Beast, který v roce 2015 rozkryl informace o rozvědce, Michael Weiss, bezpečnostní analytik CNN, Jamie Kirchick z think tanku Brookings Institution, 30 novinářů z Ukrajiny, nejvíce z novin Kyiv Post, novináři, kteří se věnovali ruské vojenské intervenci na Ukrajině, většina novinářů, na které se hackeři zaměřili, pracovala pro nezávislá média (např. Novaja Gazeta nebo Vedomosti), jako například Ekaterina Vinokurova píšící pro server Znak.com, novináři pracující pro televizní stanici Dožď, Tina Kandelakiová, Xenija Sobčaková, Pavel Lobkov.
Útok na německý parlament (2014) Fancy Bear jsou pravděpodobně odpovědní za kybernetický útok na německý parlament, který začal v prosinci roku 2014 a trval šest měsíců.
Hackerská skupina je také podezřelá z toho, že v srpnu 2016 provedla phishingové útoky na členy Bundestagu z několika politických stran. Mezi cíli se ocitla Sahra Wagenknecht, předsedkyně strany Linken, strany Junge Union a CDU Sársko. Úřady se obávaly, že hackeři budou shromažďovat citlivé informace, kterými by před volbami manipulovali veřejnost.
Vyhrožování smrtí manželkám amerických vojáků (2015) 10. února 2015 pět manželek amerických vojáků obdrželo výhrůžky smrtí od hackerské skupiny, která si říkala "CyberCaliphate" a která o sobě tvrdila, že je z ISIS. Další vyšetřování odhalilo, že se jednalo o útok skupiny Fancy Bear, protože e-maily obětí byly nalezeny v seznamu cílů jejich phishingového útoku. Ruští trollové byli známí tím, že rozdmychávají zvěsti o hrozbě islámských teroristických útoků na americké půdě, aby zde zaseli strach a politické napětí.
Útok na francouzskou televizní síť TV5Monde (2015) 8. dubna 2015 byla francouzská televizní síť TV5Monde obětí počítačového útoku skupiny hackerů, která si říkala "CyberCaliphate" a tvrdila o sobě, že má vazby na teroristickou organizaci islámský stát. Francouzští vyšetřovatelé později odmítli teorii, že za kybernetickým útokem stojí militantní islamisté. Podezření naopak padlo na Fancy Bear.
Hackeři vnikli do interní sítě stanice pravděpodobně díky tomu, že se ve vysílání stanice TV5 objevily záběry na přihlašovací údaje napsané na papíře. Hackovaná francouzská síť vystavila svá vlastní hesla během televizního rozhovoru - arstechnica Hackeři přerušili vysílání 12 kanálů společnosti po dobu více než 3 hodin. Částečně bylo vysílání obnoveno v ranních hodinách následujícího dne a zcela normální vysílání bylo obnoveno 9. dubna v pozdních hodinách. Také některé další interní počítačové a podpůrné systémy včetně e-mailu byly kvůli útoku nedostupné. Hackeři dále unesli facebookové a twitterové účty stanice a zveřejnili na nich osobní informace o příbuzných francouzských vojáků, kteří se zúčastnili akcí proti ISIS a také kritické zprávy o prezidentovi Françoisovi Hollandovi. Ve zprávách hackeři uvedli, že teroristické útoky v lednu roku 2015 jsou "dary" za jeho "neodpustitelnou chybu" účastnit se konfliktů, které "nemají žádný smysl".
Generální ředitel společnosti TV5Monde Yves Bigot později řekl, že pokud by výpadek vysílání trval delší dobu, satelitní distribuční kanály by pravděpodobně zrušily své smlouvy a to by mohlo celou společnost zničit. Útok byl veden tak, aby způsobil společnosti co největší škody. Nesloužil primárně pro propagandu či špionáž, jako tomu bylo u většiny dalších kybernetických útoků. Útok byl pečlivě naplánován, první zjištěný průnik do systémů byl proveden 23. ledna 2015. Útočníci poté provedli průzkum infrastruktury, aby pochopili jakým způsobem televizní síť zajišťuje vysílání a vytvořili na míru ušitý počítačový virus. Tomu se podařilo poničit hardware nezbytný pro vysílání a připojený k internetu, jako jsou například dekodéry. Útočníci přitom použili sedm různých vstupních bodů do systému. Některé z nich ani nebyly součástí společnosti TV5Monde, některé z nich se ani nenacházely ve Francii. Jeden z průniků byl veden do společnosti se sídlem v Nizozemsku, která dodávala dálkově ovládané kamery používané ve studiích TV5. Mezi 16. únorem a 25. březnem útočníci shromáždili data z interních systémů TV5 včetně interní IT wiki a ověřili, že ukradené přihlašovací údaje jsou stále platné. Během útoku hackeři spustili několik příkazů získaných z autentizačního protokolu TACACS, aby tím vymazali firmware ze switchů a routerů.
Přestože útok údajně provedli teroristi z IS, francouzská kybernetická agentura instruovala ředitele televize Bigota, aby informaci o strůjcích označil za domněnku. Později mu bylo řečeno, že byly nalezeny důkazy, že útočníci byli ze skupiny ruských hackerů APT28. Pro útok na společnost TV5Monde nebyl nalezen žádný důvod. Způsob financování ani osoba, která dala k útoku rozkaz není známá. Spekulovalo se o tom, že se jednalo o testování forem kybernetických útoků. Náklady společnosti TV5Monde spojené s útokem byly odhadnuty na 5 milionů eur v prvním roce, následované každoročními náklady na ochranu přesahující 3 miliony eur. Způsob práce společnosti se musel po útocích změnit s ohledem na to, že se její fungování zakládá na výměně informací. Změnil se způsob autentizace e-mailů, flash disky jsou před použitím kontrolovány. Opatření značně snížila efektivitu práce.
Útoky na bankovní instituce (2015)