Fancy Bear é um grupo russo de ciberespionagem. A empresa americana de cibersegurança CrowdStrike afirmou, com um nível médio de confiança, que o grupo está associado à agência de inteligência militar russa GRU. O Ministério das Relações Exteriores do Reino Unido e as empresas de segurança SecureWorks, ThreatConnect, e Mandiant, também afirmaram que o grupo é patrocinado pelo governo russo. Em 2018, uma acusação do Conselheiro Especial dos Estados Unidos identificou o Fancy Bear como Unidade 26165 do GRU. Isso se refere ao seu Número de Unidade Militar unificado dos regimentos do exército russo.
O Fancy Bear é classificado pela FireEye como uma ameaça persistente avançada. Entre outras técnicas, utiliza exploits de dia zero, spear phishing e malware para comprometer alvos. O grupo promove os interesses políticos do governo russo e é conhecido por hackear e-mails do Comitê Nacional Democrata para tentar influenciar o resultado das eleições presidenciais dos Estados Unidos em 2016.
O nome "Fancy Bear" vem de um sistema de codificação usado pelo pesquisador de segurança para identificar hackers.
Provavelmente em operação desde meados dos anos 2000, os métodos do Fancy Bear são consistentes com as capacidades de atores estatais. O grupo tem como alvos governos, forças militares, agências de segurança e indivíduos em diversos países, frequentemente estados do Transcaucásia e alinhados com a OTAN, mas também atacou organizações internacionais, como a Agência Mundial Antidopagem. Acredita-se que o Fancy Bear seja responsável por ciberataques ao parlamento alemão, ao parlamento norueguês, à emissora de televisão francesa TV5Monde, à Casa Branca, à OTAN, ao Comitê Nacional Democrata, à Organização para a Segurança e Cooperação na Europa e à campanha do candidato presidencial francês Emmanuel Macron.
Descoberta e relatórios de segurança
A Trend Micro designou os atores por trás do malware Sofacy como Operation Pawn Storm em 22 de outubro de 2014. O nome foi inspirado no uso pelo grupo de "duas ou mais ferramentas/táticas conectadas para atacar um alvo específico, semelhante à estratégia de xadrez", conhecida como ataque de peão.
A empresa de segurança de rede FireEye publicou um relatório detalhado sobre o Fancy Bear em outubro de 2014. O relatório designou o grupo como "Ameaça Persistente Avançada 28" (APT28) e descreveu como o grupo de hackers utilizou exploits de dia zero do sistema operacional Microsoft Windows e do Adobe Flash. O relatório encontrou detalhes operacionais indicando que a fonte é um "patrocinador governamental baseado em Moscou". Evidências coletadas pela FireEye sugeriram que o malware do Fancy Bear foi compilado principalmente em um ambiente de construção em língua russa e ocorreu principalmente durante o horário de trabalho, coincidindo com o fuso horário de Moscou. A diretora de inteligência de ameaças da FireEye, Laura Galante, referiu-se às atividades do grupo como "espionagem estatal" e disse que os alvos também incluem "mídia ou influenciadores".
O nome "Fancy Bear" deriva do sistema de codificação que a empresa de Dmitri Alperovitch, CrowdStrike, usa para grupos de hackers. "Bear" indica que os hackers são da Rússia. "Fancy" refere-se a "Sofacy", uma palavra no malware que lembrou o analista que o descobriu da música "Fancy" de Iggy Azalea.
Ataques
Os alvos do Fancy Bear incluem governos e militares da Europa Oriental, o país da Geórgia e o Cáucaso, a Ucrânia, organizações relacionadas à segurança, como a OTAN, além de contratantes de defesa dos EUA, como Academi (anteriormente conhecida como Blackwater e Xe Services), Science Applications International Corporation (SAIC), Boeing, Lockheed Martin e Raytheon. O Fancy Bear também atacou cidadãos da Federação Russa que são inimigos políticos do Kremlin, incluindo o ex-magnata do petróleo Mikhail Khodorkovsky e da banda Pussy Riot. A SecureWorks, uma empresa de cibersegurança sediada nos Estados Unidos, concluiu que, de março de 2015 a maio de 2016, a lista de alvos do "Fancy Bear" incluía não apenas o Comitê Nacional Democrata e o Comitê Nacional Republicano, mas dezenas de milhares de adversários de Putin e do Kremlin nos Estados Unidos, Ucrânia, Rússia, Geórgia e Síria. No entanto, apenas um pequeno número de republicanos foi alvo. Uma análise da AP de 4.700 contas de e-mail atacadas pelo Fancy Bear concluiu que nenhum outro país além da Rússia teria interesse em hackear tantos alvos tão diferentes que não tinham nada em comum além de serem de interesse para o governo russo.
Entre 2011 e 2012, o malware de primeira etapa do Fancy Bear foi o implante "Sofacy" ou SOURFACE. Durante 2013, o Fancy Bear adicionou mais ferramentas e backdoors, incluindo CHOPSTICK, CORESHELL, JHUHUGIT e ADVSTORESHELL.
Ataques a jornalistas Entre meados de 2014 e o outono de 2017, o Fancy Bear teve como alvo numerosos jornalistas nos Estados Unidos, Ucrânia, Rússia, Moldávia, países bálticos e outras nações que escreveram artigos sobre Vladimir Putin e o Kremlin. De acordo com a Associated Press e a SecureWorks, esse grupo de jornalistas é o terceiro maior grupo visado pelo Fancy Bear, após pessoal diplomático e democratas dos EUA. A lista de alvos do Fancy Bear inclui , a jornalista armênia Maria Titizian, do Bellingcat, Ellen Barry e pelo menos 50 outros repórteres do New York Times, pelo menos 50 correspondentes estrangeiros baseados em Moscou que trabalhavam para meios de comunicação independentes, Josh Rogin, colunista do Washington Post, Shane Harris, escritor do Daily Beast que em 2015 cobriu questões de inteligência, Michael Weiss, analista de segurança da CNN, Jamie Kirchick do Brookings Institution, 30 alvos de mídia na Ucrânia, muitos no Kyiv Post, repórteres que cobriram a guerra apoiada pela Rússia no leste da Ucrânia, além de jornalistas na Rússia, onde a maioria dos alvos dos hackers trabalhava para notícias independentes (como Novaya Gazeta ou ), como Ekaterina Vinokurova do Znak.com, e jornalistas russos mainstream, como , Ksenia Sobchak, e o apresentador de televisão russo Pavel Lobkov, todos da TV Rain.
Ataques na Alemanha (a partir de 2014) Acredita-se que o Fancy Bear tenha sido responsável por um ciberataque de seis meses no parlamento alemão que começou em dezembro de 2014. Em 5 de maio de 2020, promotores federais alemães emitiram um mandado de prisão para Dimitri Badin em relação aos ataques. O ataque paralisou completamente a infraestrutura de TI do Bundestag em maio de 2015. Para resolver a situação, todo o parlamento teve que ser desconectado por dias. Especialistas em TI estimam que um total de 16 gigabytes de dados foram baixados do Parlamento como parte do ataque.
O grupo também é suspeito de estar por trás de um ataque de spear phishing em agosto de 2016 contra membros do Bundestag e vários partidos políticos, como a líder da facção Linken, Sahra Wagenknecht, Junge Union e a CDU de Saarland. As autoridades temiam que informações sensíveis pudessem ser coletadas por hackers para manipular o público antes de eleições, como a eleição federal alemã prevista para setembro de 2017.
Ameaças de morte a esposas de militares dos EUA (10 de fevereiro de 2015) Em 10 de fevereiro de 2015, cinco esposas de militares dos EUA receberam ameaças de morte de um grupo de hackers que se autodenominava "CyberCaliphate", alegando ser afiliado ao Estado Islâmico. Posteriormente, descobriu-se que se tratava de um ataque de bandeira falsa pelo Fancy Bear, quando os endereços de e-mail das vítimas foram encontrados na lista de alvos de phishing do Fancy Bear. Trolls de redes sociais russos também são conhecidos por amplificar e espalhar rumores sobre a ameaça de possíveis ataques terroristas do Estado Islâmico em solo americano para semear medo e tensão política.
Hackeamento da televisão francesa (abril de 2015) Em 8 de abril de 2015, a rede de televisão francesa TV5Monde foi vítima de um ciberataque por um grupo de hackers que se autodenominava "CyberCaliphate" e alegava ter ligações com a organização terrorista Estado Islâmico do Iraque e do Levante (ISIL). Investigadores franceses posteriormente descartaram a teoria de que islamistas militantes estavam por trás do ciberataque, suspeitando da participação do Fancy Bear.
Os hackers violaram os sistemas internos da rede, possivelmente auxiliados por senhas transmitidas abertamente pela TV5, interrompendo a programação de transmissão dos 12 canais da empresa por mais de três horas. O serviço foi parcialmente restaurado nas primeiras horas da manhã seguinte, mas os serviços normais de transmissão foram interrompidos até o final de 9 de abril. Vários sistemas administrativos e de suporte computadorizados, incluindo o e-mail, também permaneceram desativados ou inacessíveis devido ao ataque. Os hackers também sequestraram as páginas do Facebook e Twitter da TV5Monde para publicar informações pessoais de parentes de soldados franceses envolvidos em ações contra o ISIS, juntamente com mensagens críticas ao presidente François Hollande, argumentando que os foram "presentes" pelo seu "erro imperdoável" de participar de conflitos que "não têm propósito".
O diretor-geral da TV5Monde, Yves Bigot, disse posteriormente que o ataque quase destruiu a empresa; se a restauração da transmissão tivesse demorado mais, os canais de distribuição por satélite provavelmente teriam cancelado seus contratos. O ataque foi projetado para ser destrutivo, tanto para equipamentos quanto para a própria empresa, em vez de ser para propaganda ou espionagem, como havia sido o caso da maioria dos outros ciberataques. O ataque foi cuidadosamente planejado; a primeira penetração conhecida da rede ocorreu em 23 de janeiro de 2015. Os atacantes realizaram reconhecimento da TV5Monde para entender como ela transmitia seus sinais e construíram um software malicioso sob medida para corromper e destruir o hardware conectado à internet que controlava as operações da estação de TV, como os sistemas de codificação. Eles usaram sete pontos de entrada diferentes, nem todos pertencentes à TV5Monde ou mesmo na França — um deles era uma empresa sediada na Holanda que fornecia câmeras controladas remotamente usadas nos estúdios da TV5. Entre 16 de fevereiro e 25 de março, os atacantes coletaram dados das plataformas internas da TV5, incluindo seu Wiki interno de TI, e verificaram que as credenciais de login ainda eram válidas. Durante o ataque, os hackers executaram uma série de comandos extraídos de logs do TACACS para apagar o firmware de switches e roteadores.
Embora o ataque alegasse ser do IS, a agência cibernética da França instruiu Bigot a dizer apenas que as mensagens afirmavam ser do IS. Ele foi posteriormente informado que evidências apontavam que os atacantes eram o grupo APT 28 de hackers russos. Não foi encontrado um motivo para o ataque à TV5Monde, e a fonte da ordem para o ataque, bem como seu financiamento, não são conhecidos. Especula-se que provavelmente foi uma tentativa de testar formas de armamento cibernético. O custo foi estimado em €5 milhões (US$5,6 milhões; £4,5 milhões) no primeiro ano, seguido por um custo anual recorrente de mais de €3 milhões (US$3,4 milhões; £2,7 milhões) para nova proteção. A forma de trabalho da empresa teve que mudar, com autenticação de e-mails, verificação de pen drives antes da inserção, entre outros, em detrimento significativo da eficiência para uma empresa de mídia que precisa mover informações rapidamente.
Relatório da root9B (maio de 2015)