Слідчий зі шпигунських програм викрив спроби російських урядових хакерів викрасти облікові записи Signal

 Доннча О'Сірбхайл, дослідник безпеки, який розслідує атаки шпигунського програмного забезпечення, опинився в незвичайному становищі. Цього разу він став мішенню хакерів.

«Шановний користувачу, це чат-бот служби підтримки безпеки Signal. Ми помітили підозрілу активність на вашому пристрої, яка могла призвести до витоку даних», – йдеться у повідомленні, яке він отримав у своєму обліковому записі Signal. 

«Ми також виявили спроби отримати доступ до ваших особистих даних у Signal», – йдеться у повідомленні.

«Щоб запобігти цьому, вам потрібно пройти процедуру верифікації, ввівши код верифікації в чат-бот служби підтримки Signal Security. НЕ КАЖІТЬ КОД НІКОМУ, НАВІТЬ СПІВРОБІТНИКАМ SIGNAL».

Очевидно, О'Кербхайл, який очолює Лабораторію безпеки Amnesty International, одразу зрозумів, що це була «нерозумна» спроба злому його облікового запису Signal. Натомість він подумав, що це буде гарна нагода втрутитися в неочікуване розслідування. 

Дослідник розповів TechCrunch, що до того часу він «ніколи свідомо» не ставав мішенню кібератаки одним клацанням миші чи подібної спроби фішингу.

«Отримання цієї атаки у моїй поштовій скриньці та можливість перевернути атаки з боку нападників і дізнатися більше про кампанію були надто гарними, щоб їх втратити», – сказав він.

Як виявилося, спроба атаки на Ó Cearbhaill, ймовірно, була частиною ширшої хакерської кампанії, спрямованої на велику групу користувачів Signal. Стратегії хакерів полягали в тому, щоб видавати себе за Signal, попереджати про фальшиві загрози безпеці та намагатися обманом змусити ціль надати хакерам доступ до свого облікового запису, пов'язавши його з пристроєм, яким керували хакери.

Ці методи були точно такими ж, як і ті, що спостерігалися в ширшій кампанії, про яку попереджали агентство кібербезпеки США CISA , агентство кібербезпеки Великої Британії та голландська розвідка , звинувачуючи в ній російських урядових шпигунів. Signal також попереджав про фішингові атаки, спрямовані на його користувачів. Німецький новинний журнал Der Spiegel виявив , що російським хакерам вдалося скомпрометувати кількох людей у ​​країні, включаючи відомих політиків. 

О'Кербхайлл у серії онлайн-дописів заявив , що йому вдалося з'ясувати, що він був однією з понад 13 500 цілей. Він відмовився розкрити, як саме він розслідував спробу злому та кампанію, щоб не розкрити свою причетність хакерам, але поділився кількома деталями про те, що він дізнався.

Спочатку О'Кербхайл зрозумів, що серед інших цілей були журналісти, з якими він працював, а також його колега. На той момент, за його словами, він уже підозрював, що це була опортуністична атака, під час якої хакери скомпрометували цілі та виявили нових потенційних жертв завдяки цим успішним атакам. 

О'Кербхайл назвав це «гіпотезою снігової кулі» та сказав, що переконаний, що став мішенню, оскільки, ймовірно, перебував у груповому чаті з кимось, кого зламали, що дало хакерам шанс знайти контактну інформацію нових цілей. 

Дослідник сказав, що йому вдалося ідентифікувати систему, яку використовували хакери, під назвою «ApocalypseZ». Вона автоматизує атаку, дозволяючи хакерам атакувати багатьох людей одночасно масово з обмеженим людським наглядом. 

Він також виявив, що кодова база та інтерфейс оператора написані російською мовою, а хакери перекладали чати жертв російською мовою, що узгоджується з гіпотезою про те, що це була та сама російська урядова хакерська група, яка стояла за аналогічними кампаніями. 

О'Кербхайл сказав, що він все ще стежить за кампанією та бачив, як атаки тривають, а це означає, що загальна кількість цілей, безумовно, набагато більша, ніж та, яку він бачив на початку цього року. 

Він сказав, що сумнівається, що хакери знову переслідуватимуть його, і, ймовірно, пошкодує, що взагалі на нього напали. Він сказав: «Я вітаю майбутні повідомлення, особливо якщо в них є повідомлення нульового дня, якими вони хотіли б поділитися», маючи на увазі недоліки безпеки , які ще не відомі постачальнику, і які часто використовуються в атаках, що він розслідує.

О'Кербхайл сказав, що якщо користувачі Signal хвилюються, що стануть ціллю такого типу атаки, їм слід увімкнути «Блокування реєстрації» – функцію, яка дозволяє користувачам встановлювати PIN-код для свого облікового запису, що запобігає реєстрації номера телефону іншими особами на іншому пристрої.