„Rusko klesá na nové dno.“ EU a Velká Británie společně trestají ruské hackery z GRU

Kdo se dostal na sankční seznam

Evropská unie a Velká Británie v pondělí zveřejnily koordinovaný balíček sankcí namířený proti ruským hackerským skupinám a jejich zázemí. Jde o vůbec první společný kybernetický sankční balíček obou stran. Podle londýnské vlády reaguje na rostoucí a stále bezohlednější snahy ruského státu šířit v Evropě chaos.

Rada Evropské unie uvalila restriktivní opatření na devět jednotlivců a čtyři subjekty. Mezi nimi jsou důstojníci ruské vojenské rozvědky GRU i kyberzločinci napojení na ruský stát. Británie jde ještě dál a sankcionuje 24 osob a organizací.

Na britském seznamu figurují také vysocí představitelé GRU Vjačeslav Stafejev, Ivan Senin a Ivan Kasjaněnko, kteří podle britské vlády řídili kybernetické a hybridní operace vojenské rozvědky. Sankce dopadly také na společnost IMPULS, jež měla pro GRU najímat hackery přímo na ruských univerzitách a odborných školách.

Dále byli sankcionováni lidé spojení s malwarem Lumma Stealer, který slouží k hromadnému sběru citlivých dat z napadených zařízení. Podle britské Národní agentury pro boj se zločinem si tento nástroj za posledních šest měsíců vyžádal jen ve Spojeném království přes 2 100 obětí. 

Sankce se dotkly i deseti lidí z mediální firmy Rybar LLC, kterou obě strany obviňují ze šíření protiukrajinské dezinformační propagandy a zasahování do voleb v Moldavsku a Arménii.

FSB stojí za útokem na polskou energetiku

Rada EU při této příležitosti poprvé oficiálně pojmenovala takzvané 16. centrum ruské Federální bezpečnostní služby FSB jako řídicí složku několika hackerských skupin, mimo jiné i známé skupiny Turla. Podle unijních představitelů toto centrum už od roku 2010 dlouhodobě útočí na vládní sítě a kritickou infrastrukturu ve Francii, Německu, Polsku, na Kypru, v Nizozemsku, v Rakousku, na Slovensku, v Rumunsku a ve Finsku.

Přímo k FSB, konkrétně k jednotce zvané Centrum 16, byl přiřazen i útok z konce loňského prosince, který zasáhl desítky zařízení polské energetické sítě a poškodil provozní technologické vybavení pomocí destruktivního malwaru DynoWiper určeného k mazání dat. Podle britského ministerstva zahraničí mohl tento útok v nejchladnějším období zimy připravit o elektřinu až půl milionu lidí. Naštěstí se to ale nepodařilo a k žádnému výpadku nedošlo.

Bezpečnostní firmy ESET a Dragos incident dříve spojovaly spíše se skupinou Sandworm, zatímco polský tým CERT-PL jej přiřkl skupině Berserk Bear, jež rovněž spadá pod FSB. Polsko nedávno oznámilo i to, že se mu podařilo zastavit další kybernetický útok, který tentokrát mířil na Národní centrum jaderného výzkumu, tedy hlavní polský vládní ústav zabývající se jadernou fyzikou a reaktorovou technikou.

Reakce politiků i ruské strany

Britská ministryně zahraničí Yvette Cooperová uvedla, že sankce dopadají přímo na jádro kyberzločineckých sítí, které podle ní podpírají agresivní chování ruského státu. „Rusko klesá ve svém chování na nové dno,“ okomentovala Yvette Cooperová útoky na polskou energetickou infrastrukturu.

Francouzský ministr zahraničí Jean-Noël Barrot oznámil, že kvůli takzvané rozsáhlé kybernetické kampani předvolá v nejbližších dnech ruského velvyslance. Podle něj útoky cílily na vládní ministerstva, firmy i provozovatele služeb ve více evropských zemích, a to jak kvůli sběru zpravodajských informací, tak kvůli narušení provozu kritické infrastruktury, včetně železniční sítě v Polsku.

Ruské velvyslanectví v Londýně sankce označilo za nezákonné a britskou vládu obvinilo, že je opírá o nepodložená tvrzení o kyberútocích, dezinformačních kampaních a zasahování do politických procesů jiných zemí.

Doporučení pro firmy a instituce

Britský Národní kybernetický bezpečnostní úřad NCSC, který spadá pod zpravodajskou službu GCHQ, zveřejnil spolu se sankcemi i novou zprávu o metodách, které Centrum 16 používá. Podle úřadu skupina zneužívá zranitelné routery a příležitostně cílí na sítě patřící ke kritické infrastruktuře. Útočníci také aktivně prohledávají internet a hledají zařízení, která stále používají výchozí nastavení nebo slabá hesla protokolu SNMP.

NCSC proto doporučuje odvětvím, která jsou nejvíce ohrožená, tedy telekomunikacím, obraně, energetice, finančním službám, veřejné správě a zdravotnictví, aby posílila své zabezpečení. Konkrétně jde o přechod na bezpečnější verzi protokolu SNMPv3 a vypnutí starších, zranitelných verzí tohoto protokolu.

Zdroj: Euronews, GOV UK, European Council, CERT, Reuters, ESET