Вспомнил про два случая, когда российские официальные лица перечисляли хакерские группы, атакующие Россию. В июне 2022 года Андрей Крутских, тогда руководитель Департамента международной информационной безопасности МИД, заявил:
«Всего в противоправных операциях против России задействованы 22 хакерские группировки, наиболее активные – IT-army of Ukraine (Украина), GhostClan (США), GNG (Грузия), Squad303 (Польша)».
В апреле 2023 ТАСС опубликовал заявление Центра общественных связей ФСБ, в котором был такой фрагмент:
«При этом кибератаки разрабатываются при непосредственном участии объединенного командования Пентагона во взаимодействии с международными ("Анонимус", "Сайленс") и национальными ("Гоаст клэн", США, "Рэдках", Турция, "Джи-Эн-Джи", Грузия, "СквадЗОЗ", Польша и другие) хакерскими группировками».
Прежде не задумывался о происхождении этой threat intelligence, но рискну предположить, что как минимум одним источником были таблички со списком пророссийских и проукраинских хакерских групп от исследователя под ником Cyberknow. В конце февраля — начале марта 2022 года они регулярно обновлялись и активно распространялись в Твиттере.
Как связаны таблицы и приведённые заявления? Во-первых, обращает на себя внимание количество проукраинских хакерских группировок — 22. Столько групп было на одной из ранних таблиц от Cyberknow от 1 марта 2022. Правда, потом это число росло и к июню (когда было интервью) уже составляло несколько десятков. Во-вторых, на таблицах Cyberknow фигурируют вместе все группы, упомянутые МИД, кроме того, именно Cyberknow с февраля по май 2022 указывал предполагаемое место расположения группировки. В качестве картинок прикрепляю таблицы от 1 марта (на ней 22 проукраинские группы) и от 22 мая (последняя с указанием стран).
Что за группы упомянуты МИД?
— IT Army of Ukraine, думаю, всем известна. Эта группа была создана с подачи министра цифровой трансформации Украины Михаила Фёдорова прежде всего из большого числа низкоквалифицированных добровольцев, но, вероятно, и с участием опытных хакеров. Она занималась DDoS-атаками и не только и, естественно, сразу же попала в таблицу Cyberknow;
— GhostClan была добавлена в таблицу 28 февраля 2022 с локацией Global, затем заменённой на Unknown. США у группы в качестве местоположения никогда не указывались. Судя по тому, что можно найти, это такое хактивистское сообщество в стиле Anonymous. Есть много аккаунтов с таким названием. GhostClan упоминались в числе группировок, участвовавших в атаках на Израиль после 7 октября 2023;
— GnG была добавлена в таблицу 28 февраля 2022 с указанием Грузии. Твиттер-акканут GnG был создан в феврале и был активен до июня 2022. Он вёлся на грузинском и рассказывал об атаках не только на российские, но и на грузинские сайты. В целом группа тоже явно вдохновлялась Anonymous;
— Squad303 — это группа, активная до сих пор. В таблицу Cyberknow попала 12 марта 2022 сначала как Unknown, но в следующем обновлении помеченная как Польша.
В заявлении ФСБ от апреля 2023 упоминаются GhostClan, GnG, Squad303 с указанием той же страновой принадлежности. Также упомянута группа турецкая группа «Рэдках» — по таком кириллическому имени я не нашёл. Ближайшая по написанию группа — RedCult, она включена в таблицу CyberKnow 11 апреля 2022 как Unknown. Если предположить, что это та же группа, то открытых связей с Турцией у неё нет, но RedCult довольно известна по операциям против ИГИЛ и против Израиля. А её главный персонаж указывает у себя в соцсетях, что живёт в Бейруте.
Кроме того, в заявлении ФСБ упомянуты Anonymous и Silence — последнюю я в табличках Cyberknow не нашёл. Вероятно, имеется в виду одноимённая группа, описанная Group-IB в 2018 году. В отличие от других упомянутых российскими представителями группировок Silence известна не хактивистской деятельностью, а финансово мотивированными атаками на банки. В 2022-2023 году группа снова попала в поле зрения исследователей из-за увеличившегося числа заражений компьютеров связанным с ней вредоносом. Видимо, её упоминание в заявлении было связано с обнаружением заражённых устройств в России.
