Кибероперации под флагом ИГИЛ*

После теракта в «Крокусе» российские официальные лица указывают на то, что следы чудовищной атаки якобы «ведут на Украину». Внятных доказательств не приводится. Но мы слышим заявления о том, что теракт был совершен «руками радикальных исламистов», а вот кто его реальный заказчик и организатор: ну, понятно, Украина и Запад.

По сути, российские власти недвусмысленно намекают на то, что произошедшее в «Крокусе» — операция под ложным флагом (false flag operation). Так обозначают тайную операцию, которая призвана убедить общественность в том, что ее совершил актор X, хотя на самом деле ее совершил актор Y. По версии российских властей, X в этом уравнении — ИГИЛ, а Y — украинские спецслужбы.

Не обладая объективной инфой, не берусь рассуждать о генезисе теракта в Подмосковье. Вместо этого предлагаю вернуться в недалекое прошлое — середину 2010-х. Тогда под ложным флагом Исламского Государства, судя по всему, действовали российские спецслужбы. Некоторое время они проводили операции в киберпространстве под маской Хакерского подразделения Исламского Государства («Киберхалифат»).

Западные ИБ-аналитики и госструктуры (напр. МИД Британии) утверждают, что под видом хакеров-исламистов, кибератаки совершала российская прогосударственная группировка: APT28, также известная как Fancy Bear. Ее уже давно и прочно связывают с ГРУ, а сама группа прогремела на весь мир после того, как американские власти обвинили ее во вмешательстве в выборы 2016 года.

«Киберхалифат», атрибутированный как флаг-прикрытие для действий APT28, провел несколько резонансных атак:

➤ В апреле 2015 года «Киберхалифат» практически уничтожил французскую телесеть TV5Monde. Это была мощнейшая, спланированная кибератака, которая грозила собственнику телекомпании крахом: в момент атаки все 12 телеканалов сети прекратили вещание. Разрушительных последствий удалось избежать благодаря расторопности одного из инженеров: он успел обнаружить и отключить от интернета инфицированную машину, с которой происходила атака.

➤ Уже в феврале 2015 года жены американских военных получили на свою почту сообщения с угрозами. Отправитель называл себя хакером «Киберхалифата». «Мы знаем все про тебя, твоего мужа и твоих детей», — говорилось в сообщениях. Одновременно с этим хакеры из Fancy Bear пытались взломать Gmail-почты жен военных.

False flag операции в киберпространстве — крайне распространенное явление. Один из моих любимых примеров: северокорейская хакерская группа Lazarus специально оставляла «русский след» в коде вредоносного ПО, которое использовалось для атак на банки. Хакеры использовали русские слова, написанные на латинице: kliyent, ustanavlivat, vykhodit.

*запрещенная в РФ террористическая организация