Схема атаки

• Зловмисники надсилають електронний лист із вкладенням у вигляді ZIP-файлу, що містить PDF-документ із посиланням.
• Жертві пропонується перейти за посиланням, щоб нібито «завантажити відсутні шрифти».
• Перехід за посиланням призводить до завантаження файлу adobe_acrobat_fonts_pack.exe, що є насправді шкідливою програмою GLUEEGG, призначеною для дешифрування та запуску завантажувача DROPCLUE.
• DROPCLUE завантажує та відкриває два файли: PDF-приманку та EXE-файл font-pack-pdf-windows-64-bit.
• Останній використовується для встановлення легітимної програми для віддаленого доступу ATERA.
• Зловмисники отримують несанкціонований доступ до комп’ютера жертви.

Як запобігти атаці:

• Будьте пильні та уважно перевіряйте інформацію в електронних листах.
• Не завантажуйте та не відкривайте підозрілих файлів, навіть якщо їх надсилають нібито представники державних органів.
• У разі підозри на атаку негайно звертайтесь до CERT-UA.

Раніше Держспецзв’язку попереджало про цільові кібератаки, які здійснюються проти державних службовців, військових і представників оборонних підприємств України. Зловмисники використовують шкідливу програму, яку поширюють через месенджер Signal.

• Представник General Dynamics у Німеччині повідомив, що оборонний підрядник усе ще аналізує причину збою, але додав, що всі його операції в Європі відбуваються у звичайному режимі.
• Відповідальність за атаку взяла на себе хакерська група NoName, яка залишила повідомлення в Telegram. Група відома своєю діяльністю проти країн, що підтримують Україну.
• За їхнім твердженням, вони здійснили DDoS-атаку, спрямувавши величезний обсяг інтернет-трафіку на сервери компанії з метою їхнього перевантаження та виведення з ладу.
• Минулого місяця НАТО заявило про посилення росією кібератак на держави-члени Альянсу, які допомагають Україні. росія традиційно називає ці звинувачення «дезінформацією».
• Santa Barbara займається складанням важкої техніки, такої як танки Leopard та артилерійське обладнання для іспанської армії. Згідно з повідомленням Міністерства оборони Іспанії, компанія також брала участь у відновленні законсервованих танків Leopard для їхньої передачі українській армії.
• Минулого тижня Іспанія пообіцяла надати Україні військову допомогу на суму €1 млрд цього року, яка, за повідомленнями місцевих ЗМІ, включатиме 19 танків Leopard 2A4.

З 2000 по 2023 роки у світі було зафіксовано 2506 політично мотивованих кібератак. Проте майже половина з них (45%) залишаються неідентифікованими, тобто країну походження в багатьох випадках неможливо було визначити. Лідерами за кількістю відомих атак є Китай і росія, на яких припадає майже 12% та 11,6% атак відповідно.

У 2022 році росія збільшила таргетинг на користувачів в Україні на 250% порівняно з 2020 роком. Таргетинг на користувачів у країнах НАТО за той самий період зріс понад 300%.

Михайло Верич, Регіональний директор CRDF Global в Україні, в авторській колонці для AIN.UA розповідає про історію кібершахрайства у світі та роздумує про його можливу еволюцію. 

З кожним днем усе більше людей в усьому світі страждають від втрати ідентичності, коштів або інших цінних даних, оскільки загрози все краще мімікрують, стають більш інтенсивними та масштабними. Аби покращити ситуацію, Представництво Фонду цивільних досліджень і розвитку США в Україні (CRDF Global в Україні) за підтримки Державного департаменту США, спільно з Національним координаційним центром кібербезпеки при РНБО України, Міністерством освіти й науки України, «Всеукраїнською школою онлайн», «Освіторією» та Києвом Цифровим розпочали всеукраїнську інформаційно-освітню кампанію з особистої кібергігієни.

«Навіщо мені кібербезпека?», — подумаєте ви. А для того, щоб технології продовжували працювати на вас, а не створювати проблеми. Тож пропонуємо розібратися, що такого загрозливого чекає на нас у кіберпросторі та як із цим впоратися!

1834: перші спроби кібершахрайства

Технічно перша кібератака сталася у Франції ще задовго до того, як винайшли інтернет. Зловмисники викрали інформацію про фінансовий ринок, отримавши доступ до французької телеграфної системи.

Відтоді кіберзлочинність зростала в геометричній прогресії, хоча й залишалася в підпіллі майже до середини ХХ століття. Натхненні цифровою революцією, кіберзлочинці розпочали опановувати технологій у надзвичайно швидкому темпі, використовуючи свою перевагу та кмітливість для розробки нових способів позбавити людей чи організації даних і грошей.

1962: злам паролів перфокартою

У 1961 році Массачусетський технологічний інститут уперше розробив систему захисту паролем, що на той час стало справжнім проривом. Втім, довго тішитися розробці вчені не змогли: уже в 1962 році дослідник того ж інституту Аллан Шерр зміг зламати паролі за допомогою перфокарти і використовував дані колег у власних інтересах. А все тому, що паролі були занадто простими.

1971: писав програму, а вийшов вірус

Уже в 1971 році дослідник Боб Томас створив прототип компʼютерного вірусу. Це була програма Creeper Virus, що самостійно пересувалася мережею та відтворювалася, виводячи на екран повідомлення «Спіймай мене, якщо зможеш».

Фактично програмному забезпеченню або даним цей вірус не загрожував, але він підсвічував потенціал подібних програм і шкоду, яку вони можуть наносити компʼютерним системам. І, забігаючи наперед, можемо сказати, що висновків зроблено не було.

1981: перший кіберзлочин

Саме тоді відбулося перше судове засідання, унаслідок якого злочинця засудили за скоєння кіберзлочину. Цим першопрохідцем став Ян Мерфі, який зламав внутрішні системи однієї з найбільших телекомунікаційних компаній Америки — AT&T.

Насправді ця кібератака навіть трішки кумедна, адже все, що зробив чоловік — перекрутив годинники на компʼютерах. Але це спричинило такий хаос у корпорації, що скоєне навіки потрапило в музей кібершахрайства й показало, як одна маленька дірка в захисному паркані величезної компанії може поставити на вуха буквально всю Америку.

1988: один червʼяк на шість тисяч інтернет-вузлів

Перша масштабна атака в інтернеті відбулася в 1988 році завдяки студенту Корнельського університету Роберту Моррісу за рік до дебюту Всесвітньої павутини, коли інтернет був переважно доменом наукових дослідників. «Червʼяк Морріса» заразив комп’ютерні системи Стенфорда, Принстона, Джонса Гопкінса, НАСА та багатьох інших установ і паралізував роботу шести тисяч інтернет-вузлів у США.

1994: школярі vs дослідники — 1:0

16-річний британський школяр і його спільник використали програму «аналізатора паролів» (password sniffer) та здійснили серію атак, які завдали шкоди Римській лабораторії ВВС і одночасно викрали дослідницькі дані, що використовувалися як інструкції для атаки військових літаків у бою. Тож не лише сучасні підлітки вміють наробити галасу в мережі.

Невдовзі сталося і перше кіберпограбування: в 1994–1995 роках росіянин Володимир Левін зламав американську мережу Citibank і здійснив безліч шахрайських операцій. Загалом він переказав понад 10 мільйонів доларів на різні банківські рахунки по всьому світу.

1999: перша кіберпандемія

Хоча прототипи компʼютерних вірусів розроблялися десятиріччями, упродовж тривалого часу вони залишалися невідомими широкій громадськості. Аж поки в березні 1999 року не з’явився вірус Melissa, який вразив користувачів інтернету, пошкодивши їхні файли документів Microsoft і завдавши збитків приблизно на $80 млн. Шкода, але навіть після того, як ця масштабна атака набула розголосу, користувачі продовжили безпечно завантажувати невідомі програми та переходити за фішинговими посиланнями.

2000: Америка засинає, прокидається Mafiaboy

У 2000 році 15-річний хакер на ім’я Майкл Калс, також відомий як Mafiaboy, запустив серію розподілених атак типу «відмова в обслуговуванні» (DDoS) на деякі з найбільших комерційних вебсайтів у світі. Сайти Amazon, Yahoo, CNN, eBay та інші виходили з ладу на кілька годин, що коштувало цим компаніям мільйонів.

До речі, саме такого типу атаки активно використовуються хакерами під час російсько-української війни.

2010: знайдено слабке місце Google

У період між 2009 та 2012 роками спостерігалася чимала кількість постійних загроз підвищеної складності або advanced persistent threat (APT). Це кібератаки, що вимагали чималого часу та зусиль на підготовку, адже зосереджувалися на крадіжці даних у великих компаній. Перш ніж розпочати атаку, зловмисники витрачали місяці або навіть роки на збір інформації, а метою атаки було викрадення конфіденційної інформації без ризику бути спійманим або розкритим.

Одним із найяскравіших прикладів таких атак була операція «Аврора» у 2010 році, коли мішенню зловмисників стали Google, Adobe та інші великі корпорації. Кібершахраям вдалося отримати доступ до конфіденційних даних та інтелектуальної власності, використовуючи вразливості систем програмного забезпечення компанії.

2011: масштабна атака на бази даних Sony

Цей рік запамʼятається всім фанам PlayStation. Корпорація Sony оголосила, що протягом кількох днів хакери викрали інформацію 77 мільйонів користувачів її мережі. Імена користувачів, паролі гравців, їхні дати народження, відповіді на секретні запитання тощо… На відновлення системи та усунення загрози знадобилося 23 дні.

Від таких масштабних атак страждали не лише найбільші світові корпорації та користувачі їхніх послуг, а й урядові організації по всьому світу. Тож не дивно, що саме в цей час розпочалася фаза активної боротьби з кібершахрайством.

2015: програми-вимагачі та серйозний фішинг

2015 рік запамʼятається появою перших штамів програми-вимагача SamSam, яка до 2018 року заробила своєму творцеві майже $6 мільйонів. Серед його найбільш резонансних ударів із «захопленням заручників» — місто Атланта та Департамент транспорту Колорадо.

Того ж року сталася перша масштабна фішингова атака проти Міністерства оборони США. Вона призвела до витоку даних 4000 військових і цивільного персоналу, які працювали на Об’єднаний комітет начальників штабів. Атака змусила Пентагон закрити свою систему електронної пошти.

Упродовж наступних років програми-вимагачі почали ставати все більш складними та заплутаними для розшифрування, а фішингові схеми поширилися світом, загрожуючи втратою даних як великим компаніям, так і окремим користувачам. І ситуація лише погіршується з впровадженням нових технологій.

Кібер(не)безпечна ситуація сьогодення

Штучний інтелект відіграє все більш важливу роль в еволюції кіберзагроз. З одного боку, підприємства використовують ШІ для покращення заходів безпеки, таких як виявлення аномальної поведінки та потенційних загроз. З іншого боку, кіберзлочинці також використовують ШІ для генерації більш складних атак.

Серед наймасштабніших атак останніх років відзначилися росіяни, адже активно спрямовують зусилля, атакуючи не лише українські мережі та сервіси в рамках війни. Так в одному з найбільш катастрофічних витоків даних за весь 2020 рік, агенти іноземної розвідки скористалися скомпрометованою програмою SolarWinds і вторглися приблизно в 18 000 приватних і пов’язаних з урядом мереж. Ці витоки даних надали зловмисникам доступ до великої кількості ідентифікаційної інформації, включаючи фінансову інформацію, вихідний код, паролі та імена користувачів.

З 2022 року фахівці почали дедалі більше говорити про поширення атак із технологією Deepfake. Вона передбачає створення реалістичних відео чи аудіозаписів, які можна використовувати для поширення дезінформації або проведення атак соціальної інженерії.

Що далі?

Сучасні кіберзлочинці використовують ті самі провідні технології, що використовуються для кібербезпеки, включаючи машинне навчання та інструменти ШІ. Отже, залишатися на крок попереду від них — це постійний виклик як для фахівців окремих бізнесів, так і для урядових структур.

Але не варто забувати, що кожний користувач інтернету може убезпечити себе самостійно, користуючись базовими правилами кібергігієни, розроблені в межах загальнонаціональної кампанії з підвищення рівня обізнаності українців щодо кіберзагроз:

• створювати складні паролі (великі й малі літери, цифри, спеціальні символи);
• використовувати різні паролі для різних акаунтів і зберігати їх у менеджері паролів;
• перевіряти посилання, особливо отримані від невідомих користувачів;
• уникати переходів за посиланнями, що містять помилку в назві бренду чи сервісу;
• з відповідальністю ставитися до коротких посилань і QR-кодів, за якими може ховатися шкідливе програмне забезпечення, сайти-підробки тощо;
• не проводити конфіденційні операції на кшталт переказу коштів під час підключення до публічного WiFi;
• створювати власну точку доступу для безпечнішого користування мережею за потреби;
• використовувати VPN-сервіси для додаткового захисту даних.

Такими маленькими кроками кожен із нас може не лише подбати про особисті дані та гроші, а і зробити внесок у рівень національної кібербезпеки!

Автор: Михайло Верич, Регіональний директор CRDF Global в Україні

• За їхніми даними, Китай двічі або тричі спробував зламати дані співробітників Міноборони, зокрема особового складу.
• Очікується, що сьогодні, 7 травня, депутатів парламенту поінформують про масштабний витік даних у Міноборони.
• Кібернападу зазнала система нарахування заробітної плати, яка містить дані про чинних військовослужбовців і ветеранів. В основному йдеться про імена та банківські реквізити.
• Тобіас Еллвуд, член парламенту від консервативної партії і колишній військовий, сказав в інтерв’ю Sky News, що Китай «ймовірно, шукав фінансово вразливих людей з метою їхнього вербування за гроші».
• За даними Sky News, усі зарплати будуть виплачені цього місяця, а завтра військовослужбовцям нададуть консультації та підтримку.
• Очікується, що також сьогодні міністр оборони Грант Шаппс зробить заяву в Палаті громад. Як зазначає BBC, він представить багатоетапний план, який включатиме заходи захисту постраждалих військовослужбовців.
• Sky News також додає, що система підрядника, яку вивели з ладу, не пов’язана з основними комп’ютерними системами Міністерства оборони та була виведена з експлуатації.
• Масштабний злам виявили кілька днів тому, а протягом останніх 72 годин Міністерство оборони активно працювало над тим, щоб оцінити масштаби атаки.
• За даними слідства, наразі немає підтверджень викрадення даних.

З 2000 по 2023 роки у світі було зафіксовано 2506 політично мотивованих кібератак. Проте майже половина з них (45%) залишаються неідентифікованими, тобто країну походження в багатьох випадках неможливо було визначити. Лідерами за кількістю відомих атак є Китай і росія, на яких припадає майже 12% та 11,6% атак відповідно.

У 2022 році росія збільшила таргетинг на користувачів в Україні на 250% порівняно з 2020 роком. Таргетинг на користувачів у країнах НАТО за той самий період зріс понад 300%.

Yahoo Boys називають молодих нігерійських шахраїв, оскільки багато з їхніх афер були спрямовані на користувачів сервісів Yahoo. У них немає лідера чи структури управління, але вони об’єднуються в групи та діляться порадами й підказками в інтернеті.

Два роки злочинці експериментували з підробленими відео: змінювали свій вигляд і надсилали жертвам, щоб встановити зв’язок. Але торік пішли далі — на підроблені відеодзвінки.

Вони використовують кілька різних програм, щоб змінювати своє обличчя в реальному часі. Журналісти не називають їх, щоб інші так не робили. Але зауважують: їх активно рекламують для розваг: наприклад, щоб помінятися обличчями із зіркою.

Щоб вийти на відеозв’язок, Yahoo Boys використовують два способи. Перший: за допомогою двох телефонів та програми для зміни обличчя. Один шахрай тримає телефон, з якого зв’язуються з людиною. Його камера націлена на інший телефон, де встановлена програма зі зміною обличчя. Телефони часто ставлять на підставки, щоб все спрацювало добре. 

Другий спосіб — це замінити телефон із дипфейк-програмою на ноутбук. Шахраї бачать власне обличчя поряд зі зміненою фальшивкою, а під час відеодзвінка в прямому ефірі відображається лише маніпульоване зображення.

Щоб втертися в довіру, злочинці часто роблять людям компліменти або зізнаються в коханні. Жертви діляться своїми особистими переживаннями, розповідають про свої харчові розлади чи депресію. А далі шахраї придумують історії, завдяки яким можна виманити гроші. За даними ФБР, у США минулого року через романтичне шахрайство було втрачено понад 650 мільйонів доларів.

Своїми «успіхами» Yahoo Boys відкрито хизуються в соцмережах, відео їхніх афер можна знайти у Facebook чи TikTok, але найвідвертіші вони саме у Telegram. Видання звернулося за коментарями до компанії месенджера. У Telegram не відповіли, але повидаляли канали шахраїв.

Wired пише, що штучний інтелект сприяє шахрайству. Так, деякі відео Yahoo Boys мають, очевидно, нереалістичний вигляд. У них не синхронізуються губи чи видно інші недоліки. Проте частина з них доволі таки правдоподібна, враховуючи перегляд наживо з телефону, нестабільний зв’язок чи встановлення зв’язків із жертвою до зідзвону.

Генеральна директорка SocialProof Security Рейчел Тобак, яка переглянула добірку відеороликів Yahoo Boy, підкреслила розвиток технології дипфейку. 

«Коли я дивилася ці відео торік, вони були не надто переконливими. Цього року багато чого змінилося. Особливо ті, де вони можуть змінювати висоту свого голосу і вираз обличчя. Іноді відтінок шкіри, волосся, колір очей, все підбирають під себе. Це досить дико», — сказала Рейчел Тобак.

Ймовірно, Yahoo Boys не розробляють власного програмне забезпечення, але мають навички для таких афер. І оскільки вони їх здобули, то використовуватимуть не тільки для любовних шахрайств, сказав головний борець із шахрайством в організації Intelligence for Good Ронні Токазовскі.

Yahoo Boys продають свої навички редагування фото та відео, а також цілі альбоми відвертих фотографій, які можна використати для створення переконливого образу. Продаються фальшиві посвідчення особи та профілі в соціальних мережах, які мають легальний вигляд. А схеми шахрайства можна завантажити безкоштовно.

Що не так із телевізором G-Plus, кому належить бренд (і до чого тут «Людина-мураха») та що говорять українські закони – розбиралися AIN.UA та OSINT-агенція Molfar.

Усі фільми – безоплатно! Це як?

«При першому включенні – всі світові фільми з інтернету доступні для перегляду», йдеться на сайті G-Plus. Саме цю «перевагу» бренд просуває чи не у кожному абзаці. Навіть є окремий розділ, де детально розповідають, як безплатно подивитися закордонні та українські фільми «без налаштувань, кредитних карток та підписок».

Майже на всіх світлинах продукту на екрані брендового телевізора зображений піратський онлайн-кінотеатр HDRezka, який потенційно пов’язаний з росією. Побачити на екрані телевізора можна й інші піратські кінотеатри – KINOGO й Filmix, які Нацрада заборонила в Україні з 9 листопада 2023 року.

• Через піратство кіностудії втрачають величезні суми. А піратські стрімінгові сервіси заробляють на рекламі та власних підписках близько $2 млрд на рік, йдеться у публікації Bloomberg. Річні збитки у цій галузі досягають $71 млрд. Найбільше піратського контенту споживають у США, але Україна не далеко від топу – на шостому місці. 
• Разом із цим кіностудії втрачають не тільки гроші, а й можливість створювати якісні та цікаві фільми. Особливо це актуально для українського кінобізнесу, який важко пережив пандемійні роки, а тепер ще важче переживає велику війну.

«Антипод проти заборон»

На сайті G-Plus спершу зазначили три магазини, де можна було придбати телевізори: «Цитрус», Stylus, Y.ua.

На сайті техномагазину «Цитрус» на сторінці товару відповідний телевізор теж демонстрував підтримку HDRezka. А в описі йшлося, що «українців позбавляють свободи вибору», тому G-Plus – «антипод проти заборон». Контент можна дивитися «в обхід блокувань та обмежень».

Ми звернулися за коментарями до «Цитруса», щоби прояснити ситуацію. Незадовго після нашого запиту магазин спершу видалив опис, а потім – і самі телевізори з продажу. Із сайту G-Plus вони зникли як дистрибʼютор. Якщо магазин відповість на запит, ми опублікуємо їхню відповідь. AIN.UA звертався за коментарем також і до Stylus, але відповіді на момент публікації ми не отримали.

Піратський софт

AIN.UA звернувся до бренду за коментарем. Оскільки на сайті G-Plus не було жодної контактної інформації, окрім чатботів, ми написали у Telegram. За декілька днів відповів PR-менеджер. Він представився Іваном і був підписаний як Vanya (чому це може бути важливо, пояснимо далі).

Чоловік сказав, що бренд G-Plus належить «гонконзькій компанії», яка виробляє телевізори на власному виробництві в Китаї, а в Україну їх імпортують з «повним дотриманням норм митного та податкового законодавства». 

Провівши власне OSINT-розслідування на запит AIN.UA, агенція Molfar з’ясувала, що G-Plus, ймовірно, закупає OEM-телевізори на операційні системі Android з Китаю та встановлює піратський софт інших розробників. OEM (original equipment manufacturer) – це компанія, яка виробляє деталі та обладнання, які можуть бути продані іншою компанією під своєю торговою маркою. G-Plus мають модельний ряд діагоналями від 24 см до 65 см та ціну від 9 000 до 38 000 грн.

Що стосується піратського софту, це:

• LazyMedia Deluxe – онлайн-кінотеатр у вигляді пошуковика у піратських сервісах. Розробка є російською;
• HD VideoBox – онлайн-кінотеатр у вигляді пошуковика у піратських сервісах. Розробка була українською, але на львівського автора була відкрита кримінальна справа. Оригінальна програма була видалена й більше не працювала. Серед піратських серверів медіаконтенту є російські. Станом на 2024 рік відомо, що програма працює лише завдяки модам, які роблять інші люди. Одним з поширених є мод від росіянина Alex.Strannik;
• Zona – російський піратський онлайн-кінотеатр.

Хто несе відповідальність? Відповідь G-Plus

PR-менеджер компанії запевняє AIN.UA, що на телевізорах немає піратських вбудованих програм. Однак на рекламних відео та скриншотах видно, що піратські застосунки модифіковані – бо на них є логотип G-Plus.

Структуровано та стисло подаємо відповідь менеджера на наші запитання.

• G-Plus популяризує лише свій телевізор, який закриває запит людей на перегляд фільмів. Користувачі можуть використовувати його як онлайн-кінотеатр, які не заборонені в Україні.
• Менеджер стверджує, єдине програмне забезпечення, яким комплектується телевізор G-Plus – операційна система Android. Іншими застосунками чи вбудованими програмами він не комплектується, щоб убезпечити «як виробника, так і продавця від звинувачень у сприянні порушенню авторських прав».
• ПЗ телевізора дійсно дає можливість встановити на ньому будь-які застосунки, які є в інтернеті. Але «ні виробник, ні продавець не несуть відповідальність за подальші дії споживача». На телевізорі є «спеціальний спойлер», де йдеться про відповідальність за нелегальний перегляд фільмів та серіалів.
• Саме інтернет-провайдери мають відповідати за обмеження користувачів до піратських кінотеатрів. Якщо провайдери будуть обмежувати вхід до піратських софтів, то доступу до них не буде й на телевізорі – бо ж G-Plus не має системи «обходу» блокувань.

Відповідаючи на наступне питання, G-Plus дають зрозуміти, що вони знають про заборону Нацради, про «спрямованість на територію та аудиторію держави-агресора», але все одно «рекламують» саме російські піратські кінотеатри на зображеннях телевізора.

Також менеджер спростував формулювання «онлайн-кінотеатри, які порушують авторські права», бо це ніким не встановлено: ні судом, ні «компетентним органом».

Хто керує брендом

Під час поверхневого пошуку знайти бодай якусь інформацію про бренд важко. Менеджер Іван повідомив AIN.UA, що компанією керує «громадянин Китаю». Проте ані імені, ані будь-якої іншої інформації не надав.

Дослідники Molfar знайшли у LinkedIn ймовірного СЕО бренду – це Jimmy Woo, який живе у Гонконзі. Якщо вірити опису і вказаному досвіду роботи, то він «присвятив майже сорок років електронній промисловості, пройшов шлях від інженера до генерального директора величезної компанії».

Але скоріш за все – це все фейк. І не тільки тому, що на фото профілю відомий американський актор Рендалл Парк, який зіграв у марвелівському фільмі «Людина-мураха» персонажа на ім’я Jimmy Woo. Ймовірно, за цим фейком стоїть українець Іван Лавков і саме йому може належати цей бізнес.

Molfar знайшли декілька причин так вважати:

• Лавков виклав на freelancehunt.com оголошення з посиланням на теку, власником якої є Jimmy Woo.
• Профіль Ivan Lav на freelancehunt.com створено для проєкту G-Plus.TV. Цей профіль набирав спеціалістів для запуску та налаштування проєкту;
• У лютому 2024 G-Plus вийшли з пропозицією реклами до українського YT блогера TECHNOZON. Там було вказано дві пошти ivan.lavkov@gmail.com та victoria.starr@g-plus.tv.

Ми спитали у менеджера Івана – чи це він Іван Лавков та який стосунок Лавков має до компанії. Менеджер прочитав наші повідомлення, але на момент публікації відповіді не було.

Що кажуть юристи

Будь-які фільми, пісні чи картинки підлягають захисту права інтелектуальної власності. Їх захищають закони більшості країн, зокрема українські. У нас, наприклад, є:

• Закон України «Про медіа», а саме 123 стаття. Там вказано, що аудіовізуальні медіасервіси держави агресора заборонені в Україні. Серед них: Filmix, HD Rezka, KinoGo, які можуть бути присутні в телевізорі G-Plus.TV;

• Закон «Про рекламу», стаття 8. Там сказано, що забороняється поширювати інформацію, обіг якої заборонено в Україні. Також заборонено надавати відомості або закликати до дій, які можуть спричинити порушення законодавства, у тому числі порушення авторського права;

• Новий Закон «Про авторське право», який прийняли у кінці 2022 року. У ньому йдеться: підставою до порушення є створення загрози порушення. Загрозою вважається ввезення в Україну та розповсюдження «технічних пристроїв, що включають комп’ютерну програму, які надають доступ користувачам до об’єктів авторського права без дозволу». Надавати інструкцію, як налаштувати таку програму, це теж загроза порушення.

• Якщо розмір збитків від порушення авторського права понад 30 000 грн, то чинності набуває Кримінальний кодекс України, стаття 176. Покарання за це від тисячі неоподатковуваних мінімумів доходів громадян до позбавлення волі до шести років.

UPD 21 березня: трактування законодавства в абзацах вище було взяте з презентації адвоката Костянтина Зерова за посиланням.

Коли якийсь контент вбудовано в технічні пристрої, важливо з’ясувати, хто саме несе відповідальність за це, кажуть фахівці Barbashyn Law Firm. Це може бути дистриб’ютор, виробник або продавець. Різні сторони можуть нести різний рівень відповідальності: від попередження до кримінальної відповідальності.

За законом України «Про авторське право і суміжні права» розповсюдження чи налаштування технічних пристроїв, обладнання та програм, які дозволяють отримувати доступ до об’єктів авторського права чи суміжних прав без дозволу правовласників вважаються діями, що лише створюють загрозу порушення. А безпосереднє розповсюдження, використання чи відтворення чужого контенту без належного дозволу вважається прямим порушенням авторських прав, – коментують фахівці.

У блозі CEO SOC Prime Андрій Безверхий та керівник напрямку IBM Security Андрій Кузьменко розповіли, на чому ґрунтується їхнє партнерство, як співпраця дозволяє розбудовувати колективний кіберзахист і в який спосіб компанії допомагають українським кіберзахисникам боротися проти російських атак.

Як алгоритми від SOC Prime посилюють SIEM-платформу від IBM

На українському ринку кібербезпеки працюють компанії, які розробляють програмні рішення для протидії кіберзагрозам, а також системні інтегратори, які забезпечують постачання та впровадження цих технологій безпеки. SOC Prime підтримує власну SaaS-платформу для колективного кіберзахисту, що допомагає різним фахівцям з кібербезпеки, як-то експертам з Detection Engineering та Threat Hunting, CTI та SOC аналітикам проактивно захищатися від критичних загроз, мінімізувати потенційні сліпі зони для виявлення атак, автоматизувати рутинні задачі та значно покращувати продуктивність команди. Важлива складова платформи SOC Prime, Threat Detection Marketplace — найбільший у світі маркетплейс з контенту для ідентифікації загроз, а розробка такого контенту визначає один з ключових напрямків діяльності компанії з побудови ефективного кіберзахисту клієнтів. 

«Ми з 2017 року створюємо Sigma-бекенди для різних SIEM і розробляємо правила детектування загроз. Починали з чотирьох платформ, зокрема QRadar від компанії IBM. Ми закомітили на GitHub бекенд, який дозволяв перекладати Sigma-алгоритми на AQL, нативну мову QRadar», — розповідає Андрій Безверхий, CEO SOC Prime.

Він підкреслює, що IBM має значну частку на кіберринку як України, так і світу. Орієнтовно 15% клієнтів SOC Prime використовують виключно QRadar Suite, ще 10% — QRadar разом із дотичними технологіями. 

Водночас в IBM впевнені, що впровадження навіть найкращих програмних рішень не є панацеєю та 100-відсотковою гарантією захисту. Поряд з якісною SIEM-системою не менш важливим компонентом кібербезпеки є контент для виявлення та реагування на інциденти безпеки. 

«У цьому наші цінності із SOC Prime збігаються, тож ми почали співпрацювати. Ми є одним з найбільших SIEM-постачальників в Україні, серед наших клієнтів — як бізнес, так і державний сектор. Всі вони, а також наші локальні бізнес-партнери інтегратори, отримали доступ до аналітичного контенту від SOC Prime й у такий спосіб підвищили рівень захищеності своєї інфраструктури», — пояснює керівник напрямку IBM Security Андрій Кузьменко.

За його словами, клієнти IBM отримують не тільки індикатори компрометації, як-от IP-адреси, хеші файлів і посилання, а й більш просунуті правила. Вони дозволяють виявляти атаки на рівні поведінкового аналізу та ефективніше на них реагувати.

QRadar, MITRE ATT&CK та Roota — як ці технології працюють разом

QRadar Suite вже більш ніж 10 років утримує провідне місце на ринку SIEM-систем. Щоб захищати клієнтів від кіберзагроз, в IBM збирають велику кількість телеметрії з найважливіших елементів інфраструктури, аналізують мережевий трафік і намагаються виявляти аномалії та зловмисну активність.

Восени 2023 року IBM додала нативну підтримку мови Sigma в QRadar Suite. Завдяки цьому, інтегрувати в QRadar нові правила для виявлення загроз можна за 5-10 хвилин. Увесь контент, який надає SOC Prime, замаплений на фреймворк MITRE ATT&CK.

MITRE ATT&CK — це класифікація технік і засобів кіберзловмисників, величезна бібліотека знань про вже відомі загрози. Щоразу, коли відбувається кіберінцидент, експерти заносять до MITRE ATT&CK усі наявні відомості та контекст: яке угрупування стоїть за атакою, яке програмне забезпечення використовували, якими були точки входу та результати.

«Навіть якщо наступного разу кіберзлочинці змінять інструменти, атрибуція в MITRE ATT&CK дозволить впізнати їх за «почерком» — патерном поведінки, певною послідовністю дій, яка їм притаманна. Це дає можливість краще готуватися до наступних атак», — зазначає СЕО SOC Prime. 

За його словами, це також спрощує прийняття рішень щодо кібербезпеки для клієнтів. Організації не завжди готові впроваджувати дорожчі SIEM-системи, які аналізують максимальну кількість телеметрії, адже не бачать у цьому доцільності. База знань MITRE ATT&CK допомагає зрозуміти, які дані справді варто збирати, аби розпізнати ту чи іншу зловмисну активність на ранньому етапі.

Крім цього, у листопаді 2023 року у SOC Prime анонсували мову Roota — універсальну опенсорсну мову для колективного кіберзахисту, яка дозволяє миттєво перекладати алгоритми детектування загроз у будь-яку нативну мову комплексних систем виявлення загроз. 

«Уявімо, що фахівець із кібербезпеки, який працює з QRadar Suite і мовою AQL, отримує алгоритм детектування певної загрози, складений іншою нативною мовою. На те, щоб розібратися в ньому та перекласти, раніше потребувалося чимало зусиль. Проте Roota максимально автоматизує цей процес і робить можливою співпрацю різних спеціалістів із кіберзахисту», — пояснює Андрій Безверхий.

Що потрібно для колективного кіберзахисту в умовах кібервійни

Згідно з американською військовою доктриною, кіберпростір — такий самий вимір війни, як і земля, вода та повітря. Андрій Безверхий пригадує доповіді Держспецзв’язку та CERT-UA, які свідчать про пряму кореляцію між фізичним та кіберпростором. Наприклад, якщо кібератака російських угруповань на енергетичний сектор України виявляється невдалою, за нею слідує ракетний обстріл.

SOC Prime співпрацює з CERT-UA і низкою CERT по всій Європі, пропонуючи алгоритми для детектування кіберзагроз. Окремий підрозділ, який взаємодіє з державою, є і в дослідницькій команді IBM.

Щоб розбудовувати ефективний колективний кіберзахист, в IBM фокусуються на покращенні обміну даними про загрози й на активному навчанні спільноти та молодих фахівців.. Для цього, зокрема, вважають за доцільне використовувати контент від SOC Prime у зв’язці з QRadar Suite.

«Також у нас є програма академічної ініціативи, у межах якої студенти вишів можуть отримати доступ до наших технічних рішень — наприклад, для виконання лабораторних робіт. У 2024 році ми плануємо долучити до програми й колег із SOC Prime, щоб студенти навчалися сучасних технологій кібербезпеки й уміли працювати не тільки з інструментами, а й з контентом», — ділиться керівник напрямку IBM Security.

З ним погоджується Андрій Безверхий: за його словами, взаємодія всіх учасників ринку кібербезпеки на всіх рівнях дозволить отримати кумулятивний ефект. Адже що більше фахівців можуть створювати контент і ділитися ним одне з одним, то міцніший загальний колективний кіберзахист. Це стає дедалі актуальнішим зараз, коли український бізнес та держава перебувають під загрозою російських кібератак.

Як підготуватися до кібервикликів 2024 року

На думку Андрія Кузьменка, варто очікувати, що у майбутньому кількість кібератак в Україні та світі лише зростатиме. Зокрема, український приватний та державний сектор активно переходить у хмару, що здебільшого не сприяє зменшенню кількості вразливостей. Державні організації мають навіть більше ризиків, адже протягом останніх років Україна стрімко розвивається як цифрова держава, що привертає увагу хакерів і кіберзлочинців.

«Ще одна причина для зростання кіберзлочинності — у тому, що інструменти для атак стають дедалі доступнішими. Наприклад, за допомогою засобів штучного інтелекту навіть новачки здатні завдати шкоди, хоча й не критичної. Але й для професійних угруповань, які спонсорують держави, робота спрощується, тож слід готуватися протистояти цим загрозам», — наголошує керівник напрямку IBM Security.

Він зазначає, що серед актуальних трендів у галузі кібербезпеки — уніфікація і спрощення роботи. Наразі на ринку вже не вистачає кіберспеціалістів, і ця тенденція поглиблюється, тож організації йдуть до того, щоб один фахівець при менших ресурсах міг закривати максимальну кількість завдань. Для цього потрібні сучасні програмні засоби, які зможуть автоматизувати частину роботи — наприклад, давати підказки, як локалізувати ту чи іншу загрозу, як відновити інфраструктуру після атаки. 

В IBM при створенні нових продуктів фокусуються саме на цих функціях: щоб технології були доступними та простими, але при цьому високоефективними. Як зазначає Андрій Кузьменко, місія компанії — зробити так, аби рішення для кібербезпеки могла собі дозволити будь-яка організація, навіть маленька компанія на 10 працівників.

«Водночас ми попереджаємо клієнтів, що недостатньо лише впроваджувати сучасні технології. За допомогою наших інструментів можна виявити більшість з тих атак, про які розповідає CERT-UA та інші, але насамперед кібербезпека залежить від фаховості працівників компанії. Важливо регулярно стежити за загрозами та контентом, зокрема поведінковими патернами зловмисників, проактивно шукати ті чи інші проблеми в інфраструктурі, інвентаризувати ІТ-активи, вчасно оновлювати софт», — розповідає експерт.

Андрій Безверхий додає, що одна із потенційних загроз 2024 року — збільшення частки автономних кібератак, які керуються штучним інтелектом. Вони небезпечні тим, що «розумна» технологія здатна ухвалювати рішення «на льоту», тож їй складніше протистояти. З іншого боку, інструменти захисту теж стрімко еволюціонують та «озброюються» штучним інтелектом, створюючи паритет у можливостях кіберзловмисників і кіберзахисників. 

«Співпраця кіберзахисників — єдиний шлях порушити цей паритет на свою користь і протистояти кіберзлочинцям, особливо кібертерористичним угрупованням, які діють за підтримки держави-ворога. Якщо всі працюватимемо заради спільної мети, отримаємо перевагу», — переконаний СЕО SOC Prime. 

• Заяву про злам Mogilevich опублікували на своєму сайті у даркнеті. Вони написали, що атакували сервери ігрового розробника та вкрали електронну пошту, паролі, платіжну інформацію, вихідний код і багато інших даних. 
• Їх виставили на продаж і поставили гіперпосилання для зворотного зв’язку для працівників компанії чи будь-кого іншого, хто захоче їх купити.
• Mogilevich не вказав конкретну суму, яку хоче за дані. Але дав чіткий дедлайн для оплати – 4 березня. В Epic Games же кажуть, що їм не дали жодних доказів злому.

«Коли ми побачили цю інформацію, тобто скріншот вебсторінки в твіті від третьої сторони, ми почали розслідування та звернулися до Mogilevich за доказами. Вони не відповіли. Пізніше ми побачили твіт, де вони нібито просять $15 000 і «докази наявності коштів», щоб передати дані», – сказав один із працівників компанії.

Пізніше журналісти Cyber Daily зв’язалися з Mogilevich та отримали коментар. Кіберзлочинці стверджують: не показують доказів, щоб інші не видавали себе за них та не забрали гроші собі. А довести наявність грошей потрібно, аби вони впевнилися, що у покупців точно є чим платити.

Cyber Daily пише, Mogilevich може бути російськомовним угрупуванням. І хоча зараз вони діють від власного імені, також рекламують себе як найману групу зловмисників. Epic Games стала їхньою четвертою ймовірною жертвою. Першою була дочірня компанія Nissan – Infiniti USA 20 лютого цього року.

Нагадаємо, після трьох років судової тяганини, американський розробник комп’ютерних ігор та програмного забезпечення Epic Games переміг у антимонопольній справі проти Google. Суд виніс вердикт, визнавши, що компанія Google перетворила свій магазин застосунків Google Play та службу оплати Google Play на незаконну монополію. Після кількох годин обговорення присяжні одноголосно визнали правоту Epic за всіма пунктами.

• Лідерами за кількістю відомих атак є Китай та росія, на яких припадає майже 12% та 11,6% атак відповідно.
• Іран (5,3%) та Північна Корея (4,7%) також входять до числа країн, з яких здійснюється значна кількість політично мотивованих кібератак.
• Слідом – Україна з часткою 2,6% від усіх кібератак.

Майже третина проаналізованих політично вмотивованих кібератак була здійснена державами (або афілійованими групами) та недержавними суб’єктами з політичними цілями. Близько половини атак (49%) були спрямовані на політичні цілі (громадські діячі, політичні партії тощо), а 19% – на об’єкти критичної інфраструктури.

Упродовж 2023 року українські аналітики безпеки зафіксували та обробили 1105 кіберінцидентів. Це на 62,5% більше, ніж у 2022 році.

Розв’язати цю проблему допомагає колективний кіберзахист: як тільки один учасник ринку стикається з новою загрозою, інші кіберфахівці також отримують інформацію про неї, разом створюють методи захисту та поширюють правила детектування. Щоб ця концепція працювала, індустрії потрібна уніфікована мова для ведення бази знань сценаріїв виявлення загроз.

Саме для цього в компанії SOC Prime створили мову Roota — універсальну опенсорсну мову для колективного кіберзахисту, що дозволяє миттєво перекладати алгоритми детектування загроз у будь-яку нативну мову комплексних систем виявлення загроз, наприклад, SIEM, EDR, XDR чи Data Lake. 

У блозі фахівці SOC Prime розповіли, чим Roota відрізняється від інших мов, як міжнародна кіберспільнота відреагувала на нову технологію та як українська розробка змінює правила гри у світовому кіберзахисті.

Як виникла потреба у новій мові для кіберзахисту

Програмне забезпечення з кіберзахисту розробляють багато компаній, і кожна з них користується своєю внутрішньою мовою для опису та детектування загроз. Це створює бар’єри для кіберспеціалістів: їм потрібно опановувати в середньому 5 із більше ніж сотні різних технологій, аби ефективно працювати з різними системами. 

Тому створення універсальної мови — не нова ідея для кіберзахисту. Наприклад, коли основну загрозу становили віруси на базі файлів, з’явилася мова Yara (VirusTotal, Google). Потім виникла мова Snort (Sourcefire, Cisco), яка описувала мережеві способи знаходження загроз — але досить складні та вузькоспеціалізовані. З 2016 року трендом індустрії стала опенсорсна мова Sigma — справді універсальний і простий інструмент, але у цьому ж полягає його основний недолік.

«Sigma — певною мірою обмежена у можливостях. Від початку вона підтримувала лише дві технології — Elastic і Splunk. Ми в SOC Prime доєдналися до спільноти розробників Sigma у 2017, створивши Sigma бекенди для таких технологій як ArcSight, QRadar та Qualys. Протягом останніх шести років, члени команди SOC Prime були активними учасниками Sigma-спільноти, продовжуючи додавати нові бекенди (наразі підтримується 45 технологій) та створюючи правила детектування загроз. Проте ми повсякчас чули від клієнтів, що їм недостатньо лише Sigma для комплексного кіберзахисту», — пояснює СЕО SOC Prime Андрій Безверхий.

СТО компанії Олександр Бредіхін додає, що водночас їхня команда отримувала багато запитів від клієнтів про допомогу з мігруванням аналітичного контенту на нові SIEM- та EDR-платформи. Для цього потрібно перекладати правила та запити з однієї нативної мови на іншу, що потребує постійного пошуку та найму фахівців з цих технологій.

«Відтак у нас народилася ідея зробити свою мову, яка буде такою ж універсальною, як Sigma, і зможе оптимізувати завдання постійного перекладу між різними мовами. Проте вона має працювати не тільки з однорівневими правилами на кшталт сигнатур, а й зі складнішими алгоритмами — у такий спосіб ми можемо надати спільноті потужний інструмент для реагування на інциденти та атрибуції кібератак», — розповідає Олександр Бредіхін.

Що таке Roota та як її розробляли

Над створенням нової мови працювали топові кіберспеціалісти SOC Prime: Руслан Міхальов, Роман Ранський, Адам Свон, Андрій Безверхий та Олександр Бредіхін. Фідбек збирався командою понад 7 років, концепцію продумували з 2021 року, після залучення інвестицій. Завдяки підготовці та плануванню сама розробка логіки мови тривала кілька місяців, реліз відбувся у листопаді 2023 року.

«Якщо уявити алгоритми пошуку даних, описані нативною мовою, які підтверджують наявність підозрілої кіберактивності, як атом, тоді, структурно, Roota виступає молекулою, яка може обʼєднувати в собі різні атоми, досягаючи нових властивостей. Звʼязки між молекулами формуються завдяки MITRE ATT&CK, яка, своєю чергою, збудована на доказовій базі попередньо відомих та вивчених кібератак. Такі звʼязки, наче формула, описують конкретні техніки атак, програми, які в них використовуються, атрибути тих, хто ці атаки проводить. Технічно Roota містить усі необхідні поля для даних, які потрібні для опису загрози та методів її виявлення: метаінформація, тегування за різними типами атак, дані з MITRE ATT&CK, таксономії Sigma та Amazon OCSF, за таймлайном для інтеграції з роботою платформ Threat Intelligence, які використовують у CERT-ах, сценарії автоматичної протидії атакам. Завдяки цьому один спеціаліст може швидко описати, а інший зрозуміти весь контекст атаки, не розголошуючи сенситивних даних», — зазначає СТО SOC Prime Олександр Бредіхін. 

За його словами, логічна частина правила може бути написана будь-якою іншою мовою платформ SIEM, EDR, XDR чи Data Lake, яку знає фахівець з кібербезпеки. Зараз Roota підтримує 10 таких мов, але найближчим часом їх стане в рази більше. Водночас якщо спеціаліст знає одну з цих мов, то для опанування Roota вистачить однієї-двох годин. Для цього достатньо прочитати відкриту специфікацію на GitHub.

Щоб придумати назву мови, СЕО SOC Prime Андрій Безверхий попросив всіх співробітників запропонувати свій варіант у корпоративному чаті. Одна з вимог — це мало бути українське слово. 

«Цей чат був чи не найактивніший за весь час існування компанії! Зрештою після довгих та бурхливих дискусій ми зупинилися на Roota. Українська легенда про червону руту розповідає про пошук кохання та удачі. Якщо спроєктувати це на нашу діяльність, ми віримо, що місія Roota покликана змінити на краще галузь кібербезпеки, якій дещо бракує узгодженості та знайти успішні можливості для злагодженої співпраці кіберзахисників у виявленні загроз», — ділиться Олександр Бредіхін.

Логотипом нової технології стала червона квітка рути. Як зізнається команда SOC Prime, на презентаціях Roota іноземці дуже радо сприймають український контекст, із цікавістю слухають легенду. Тож, окрім внеску до колективного кіберзахисту, розробка компанії ще й популяризує українську культуру.

Як перекладач Uncoder спрощує роботу кіберфахівців

Uncoder IO — інтегроване середовище розробки (IDE) для створення алгоритмів детектування та їх перекладу. Це опенсорсний інструмент від SOC Prime, запущений 2018 року. Раніше він перекладав Sigma-правила в нативну мову SIEM-платформи, але з появою Roota його функціональність повністю оновили.

«Зараз Uncoder може перекладати запити та правила з однієї нативної мови на іншу через Roota. Ми з нуля переписали алгоритми для кращої конвертації — йшли шляхом спроб і помилок, поки не знайшли оптимальну архітектуру. Проте тепер можемо додавати підтримку нових платформ, не витрачаючи багато часу і реалізовуючи складнішу логіку», — пояснює Віктор Гребенюк,Backend Team Lead у SOC Prime, який очолює проєкт з розробки Uncoder.

Зокрема оновлений Uncoder перекладає індикатори компрометації: IP-адреси, emails, посилання, хеші файлів та інші артефакти атак в оптимізовані пошукові запити для пошуку слідів атак в SIEM, EDR, XDR та Data Lake технологіях. Зазвичай відповідні державні установи з кіберзахисту надають ці дані у звітах про кібератаку. За допомогою Uncoder будь-хто може просто скопіювати цей текст, вставити до перекладача та отримати повноцінні запити, готові для проведення пошуку слідів атаки у своїй платформі. У такий спосіб вистачить кількох секунд, аби дізнатися, чи була організація атакована, звісно, за наявності потрібної телеметрії. Раніше, без автоматизації, на це йшли години, і такі задачі виконувалися експертами. Тепер є можливість залучати для допомоги з такою щоденною задачею новачків та непрофільних спеціалістів.

Як зазначає СЕО SOC Prime Андрій Безверхий, завдяки Roota перекладач Uncoder став повністю універсальним перекладачем. Відтепер кіберзахисникам не потрібно витрачати роки на вивчення нових нативних мов, які досить швидко втрачають свою популярність. Якщо фахівець знає одну — він знає усі, адже Uncoder повною мірою забезпечує переклад. Це дозволяє компаніям економити час і гроші, а спеціалістам фокусуватися на виявленні та протидії кібератакам і завжди мати актуальні навички для підвищення кар’єрного зросту.

Ще одна корисна надбудова Uncoder — AI co-pilot, випущений у травні 2023 року, який є частиною SaaS-платформи SOC Prime. Uncoder AI виконує функцію другого пілота для фахівців з кібербезпеки, Detection Engineers та Threat Hunters. На сьогодні він підтримує миттєвий переклад коду 65 форматів для 45 SIEM, EDR, XDR та Data Lake технологій. В основі та сама технологія, що й опенсорсна версія, але за допомогою SaaS, Uncoder AI використовує набори мовних даних, технології ШІ та централізованого обміну для отримання релевантних метаданих та контексту кіберзагроз. Він надає змогу створювати алгоритми детектування кіберзагроз без синтаксичних помилок, генерувати, розширювати та оптимізувати код, легко обмінюватися ним у захищеному приватному середовищі.

Як кіберспільнота сприймає розробки SOC Prime

Roota та Uncoder — проєкти з відкритим кодом, доступі на GitHub. Як пояснює Віктор Гребенюк, вибір на користь опенсорсу — це один з елементів створення колективного кіберзахисту. У такий спосіб компанія залучає спільноту до розробки, а також отримує зворотний зв’язок і покращує продукт. Наприклад, користувачі пропонують додавати нові функції для перекладів з однієї мови на іншу — і команда це робить.

«До того ж не у всіх кіберфахівців є можливість користуватися вебверсією — наприклад, державний сектор не може це робити з міркувань безпеки. Тож завдяки відкритому коду вони можуть встановити Uncoder у захищеному середовищі», — розповідає Андрій Безверхий.

Водночас розробники наголошують, що Uncoder — повністю приватний інструмент, який не збирає жодних даних користувачів. Зокрема через те, що вебверсія навіть не збирає cookies, неможливо порахувати будь-яку статистику використання перекладача. Проте відгуки та публікації у соцмережах свідчать: щоденно продуктом користуються тисячі спеціалістів.

Uncoder AI збирає технічні та статистичні дані у межах GDPR. Тому відомо, що з червня 2023 року інструментом скористалися 10 000 унікальних користувачів та понад 2000 унікальних компаній зі 120 країн світу.

«Спільнота сприйняла із захватом і появу Roota. Менш ніж за три тижні з дати релізу 3200 спеціалістів із кібербезпеки з понад 90 країн відвідали офіційну сторінку Roota.io. Крім цього, публікація анонсу мови зібрала понад 60 000 переглядів у Х (Twitter) та близько 70 000 у LinkedIn. Ми не очікували, що рівень цікавості буде настільки великим! Але тішимося цим і радо спілкуємося з користувачами та відповідаємо на їхні запитання у нашій Discord-спільноті», — ділиться Олександр Бредіхін.

Що далі: плани та перспективи

У планах SOC Prime — розширювати кількість платформ, які підтримують Roota та Uncoder, вдосконалювати якість перекладів і додавати нові функції для автоматизації щоденної роботи кіберспеціалістів.

«Також будемо розвивати нашу програму Threat Bounty, у межах якої ми запрошуємо кіберфахівців ділитися з нами своїм аналітичним контентом, як-от правилами для знаходження загроз, та отримувати за це винагороду. Зараз у нас понад 640 учасників. До появи Roota вони надавали свої правила у форматі Sigma, а тепер це можна робити будь-якою нативною мовою, що значно спрощує поріг входу», — розповідає Олександр Бредіхін.

Андрій Безверхий додає, що у компанії почали працювати з LLM: тренують опенсорсні моделі на своїх датасетах. У перспективі це дозволить генерувати алгоритми з опису загроз, взагалі не знаючи жодної з мов кібербезпеки.

«Наприклад, людина робить запит на кшталт «знайти всі кібератаки від APT28 за 30 днів» — й отримує необхідні нові поведінкові алгоритми, пакет наявних правил з контекстом від CERT та відібрані набори індикаторів. У такий спосіб будь-хто, залучений до кіберзахисту, може швидко виконати початкову атрибуцію атаки, а спеціалісти відповідних державних установ — ініціювати процес обміну інформацією та прискорення санкцій щодо кібертерористів. Ми очікуємо, що за рік впровадимо таку технологію і зможемо разом зі спільнотою робити світовий кіберпростір безпечнішим», — наголошує СЕО SOC Prime.

• Уразливість у чіпах серій A та M може дозволити iPhone, Mac та iPad розголошувати паролі та іншу конфіденційну інформацію зловмиснику. Дослідники безпеки назвали недолік, який впливає на Safari на Mac і будь-який браузер на пристроях iOS, iLeakage.
• Дослідники реалізують iLeakage як сайт. Коли сайт відвідує вразливий пристрій macOS або iOS, він використовує JavaScript, щоб відкрити окремий сайт за вибором зловмисника та відновити його вміст, відображений у попап-вікні.
• Під час атаки на підтвердження концепції дослідники змогли отримати доступ до вмісту папки вхідних повідомлень Gmail, історії YouTube і паролів, автоматично заповнених Safari.
• Погана новина полягає в тому, що будь-який зловмисник, який використовує цю вразливість, може змусити ваш пристрій відвідати будь-який сайт у фоновому режимі та отримати дані з цього сеансу. Навіть якщо ви помітите та закриєте попап-вікно, атака може тихо продовжуватися. 
• Хороша новина в тому, що це дуже складний вектор атаки, для використання якого потрібен надзвичайно високий рівень знань. І поки немає жодних ознак того, що цю вразливість колись виявляли раніше, не кажучи вже про те, щоб вона активно використовувалася.
• Очікується, що Apple зможе виправити недолік до того, як зловмисники зможуть відтворити роботу, виконану дослідниками безпеки, щоб дізнатися, як його використовувати.

• Двоє посадовців Пентагону стверджують, що російські спецслужби створили щонайменше два фальшиві сайти, які видають себе за ресурси підтримки сімей полонених, зниклих безвісти або загиблих українських військових, і начебто допомагають з їхнім пошуком.
• Представник Координаційного штабу з питань поводження з військовополоненими в Україні Петро Яценко підтвердив, що два згадані сайти обманом займаються збором інформації. Втім, ідеться про значно більше фальшивих ресурсів, які намагаються отримати персональні дані родичів військових, оскільки росія також використовує також Telegram-канали та групи у Facebook та Viber.
• «Таких ресурсів насправді — десятки. Є більш успішні, є менш успішні. Вони експлуатують надзвичайно вразливий стан рідних та близьких військовослужбовців, які зникли безвісти чи потрапили до рук ворога. Вони також використовують те, що росія не надає Україні інформацію про полонених. Рідні сподіваються, що їхня близька людина не загинула, а перебуває у полоні, і на пропозицію подібних ресурсів передають персональні дані», — розповів Яценко.
• Посадовці Міноборони США вважають, що росія створила такі ресурси незадовго після свого повномасштабного вторгнення в Україну. Наразі може ітись про тисячі зібраних записів, кажуть посадовці.
• На їхню думку, росія використовує імена, номери телефонів та адреси українців, отримані через ці ресурси, щоб визначити, чи живе хтось із військових або членів їхніх родин на окупованих Росією територіях.

Як повідомляє CNN, з посиланням на СБУ, а також звіти Сполучених Штатів та їхніх союзників, мова йде про атаки на Android-планшети, які українські військові використовували для «планування та виконання бойових завдань».

• Шкідливе програмне забезпечення, створене російськими хакерами, було розроблене для викрадення даних, які надсилаються з мобільних пристроїв українських захисників через супутникову систему Starlink, повідомляє СБУ. 
• Відповідно до звітів США та їхніх союзників із «П’яти очей» — Австралії, Канади, Нової Зеландії та Великої Британії — боротьба за контроль над конфіденційними військовими даними в кіберпросторі є одним з ключових напрямків у повномасштабній війні проти України.
• Незрозуміло, наскільки успішними були спроби злому. Служба безпеки України заявила, що «заблокувала» деякі спроби злому, але також визнала, що росіянам вдалося захопити деякі планшети на полі бою та встановити на них шкідливе програмне забезпечення.
• «Зловмисне програмне забезпечення для мобільних пристроїв є особливо підступним, оскільки воно може повідомляти спецслужбам про фізичне місцезнаходження цілей», — сказав Джон Хултквіст, головний аналітик фірми безпеки Mandiant, яка належить Google.
• США та їхні союзники звинуватили в кіберактивності сумнозвісний хакерський підрозділ Sandworm, який знаходиться у підпорядкуванні управління військової розвідки Росії. Ця група також була відповідальна за кібератаки, що призвели до відключення електроенергії в Україні у 2015 і 2016 роках.

Це була компанія SOC Prime. Зараз її цілі: вже не просто захищати український кіберпростір, але й будувати колективну кібербезпеку для всього світу. AIN.UA розповідає історію цього проекту: від перших алгоритмів, що писалися на орендованій квартирі, й до участі у формуванні безпекових трендів на світовому рівні.

Втекти із сервісного бізнесу, щоб започаткувати продуктовий

Майбутні засновники компанії — Андрій Безверхий, Олександр Бредіхін та Руслан Міхальов, усі працювали разом у компанії-інтеграторі. Вони робили багато «польової» робити: працювали з клієнтами на місцях. Встановлюючи та підтримуючи системи SIEM (керування інфобезпекою та подіями безпеки) від різних вендорів, вони бачили, що ці системи часто складні й малозрозумілі для клієнтів, і вже на етапі імплементації з цим виникають проблеми.

«Це була класика сервісного бізнесу: струси з клієнта гроші, а завтра буде завтра. Нам цей підхід не подобався: ми хотіли розв’язувати проблеми клієнтів. А саме: SIEM-системи зазвичай складні, і щоб їх налаштувати — треба ламати голову, а часу обмаль. Проблеми у всіх клієнтів були одні й ті самі, і ми тоді замислилися: а чи існує радикально інше рішення», — згадує Безверхий, який став CEO стартапу.

Загальна проблема із захистом клієнтів була одна: атак ставало дедалі більше, вони все частіше були багатовекторні: коли під загрозою опинялися і хмара, і IoT (Інтернет речей), й інженерні мережі. У таких випадках стандартні методи захисту типу антивірусів не дуже працювали. Тож, щоб надати клієнту нормальний захист, потрібно було придумати, як сигнали про атаки на всіх рівнях зводити воєдино в одну систему моніторингу. А для цього потрібно було придумати, як отримувати дані та якими алгоритмами їх обробляти. 

Готових таких рішень не було. Тому троє співзасновників полишили найману роботу й запустили стартап.

Перші продукти та перші клієнти

«На той момент у нас не було таких амбітних цілей, як зараз. Ми сіли й порахували: SIEM-ринок оцінений у $2 млрд, росте на 20% за рік, навіть якщо візьмемо на ньому 0,5%, буде непогано», — згадує Безверхий. 

Як і багато стартапів, SOC Prime починався майже з нуля і працював за гроші його засновників. Перші ідеї та алгоритми команда генерувала на орендованій квартирі в районі Караваєвих Дач у Києві. Однією з таких ідей стала назва компанії: SOC у ній позначає Security Operations Center, а Prime натякає на те, що засновники у дитинстві фанатіли від роботів-трансформерів, які захищали людей. 

Після перших ангельських інвестицій від Леона Подобєдова, GrowthUp, Digital Future, UAngels та кількох інших «ангелів» перебралися у місце сили багатьох київських стартапів — «Часопис» (закритий з 2021 року). Тоді цей коворкінг бринів підприємництвом: майстер-класи, лекції, Fireside-чати, активний нетворкінг. З «Часопису» SOC Prime паралельно працювали над сід-раундом та над своїми першими продуктами. Тоді в команди не було інтерфейсу для них, лише алгоритми для детектування загроз, чистий бекенд. 

Клієнтську базу для них шукали в оригінальний спосіб. Усі фаундери з ранку до ночі сиділи на закордонних форумах виробників SIEM-систем (як ми уже згадували, це непростий у налаштуванні та використанні софт) і розв’язували проблеми та питання, які озвучували там користувачі.

«У нас було змагання між фаундерами: зранку одразу після кави логінилися на форуми й на швидкість розв’язували найскладніші проблеми користувачів. Фактично ми транслювали експертизу з кібербезпеки трьох хлопців з України на весь світ», — згадує Олександр Бредіхін.

Рейтинги фаундерів на форумах росли, кількість заявок на допомогу росла із ними. Так і вийшли на міжнародних клієнтів.Водночас SOC Prime потроху залучав і клієнтів в Україні. Вже до кінця 2015 року серед клієнтів компанії були «УкрСиббанк», медіахолдинг StarLightMedia, провайдер «Воля» та інші.

Запуск маркетплейса та перехід до Sigma

2016 року команда запустила перший маркетплейс — Use Case Library. Фактично це був майданчик, де можна було завантажувати безкоштовно або ж купляти ті самі безпекові алгоритми. Для нього спочатку не робили ані реклами, ані SEO, ані маркетингових кампаній: люди дізнавалися про нього на форумах. 

«Ми запустилися в серпні 2016 року, і точнісінько, як у серіалі «Кремнієва долина» сиділи біля моніторів і чекали: підуть люди до нас чи ні. За тиждень без реклами отримали 50 реєстрацій, серед нових користувачів були компанії з Fortune-500», — згадує Руслан Міхальов.

Маркетплейс працював як фріміум-сервіс: користувачі спочатку пробували безплатні алгоритми, а потім зверталися і за платними. Перший комерційний продаж відбувся за місяць після запуску. 

2016 року сталася ще одна знакова для компанії та всього світу кібербезпеки подія: розробники Флоріан Рот та Томас Патцке зробили перший коміт до GitHub-репозиторію SigmaHQ і запустили мову Sigma. Це — спільна мова для кіберекспертів усього світу на відкритому коді, що дозволяє самостійно писати сигнатури (характерні ознаки) для будь-якої кіберзагрози, а також створювати в такий спосіб дієвий та постійно оновлюваний інструмент детектування загроз. 

Експерти SOC Prime одними з перших у світі почали застосовувати Sigma-правила для ідентифікації загроз та побудови кіберзахисту клієнтів. Також вони першими поєднали Sigma із фреймворком MITRE ATT&CK®, який фактично є аналогом періодичної таблиці елементів у світі кіберзахисту. 

Команда компанії зрозуміла, якою Sigma може стати за кілька років, тож CEO зважився особисто написати її розробнику Флоріану Роту — легенді світу кіберзахисту (все одно, що інді-геймдев-студія написала б автору Doom Джону Ромеро). Флоріан відповів на листа, і невдовзі українські інженери вже працювали над Sigma під SIEM-системи IBM та ArcSight. А автори Sigma увійшли до наглядової ради SOC Prime. 

У 2016-2017 роках в ці технології мало хто вірив (та й мало хто про них знав). На першій у світі конференції EU MITRE ATT&CK® Community Workshop  було 40 людей. На дев’ятій — майже 1000 онлайн-учасників. Зараз Sigma та MITRE ATT&CK беруть на озброєння організації, як-от ФБР, Канадський центр кіберзахисту (CCCS), Агентство з Кібербезпеки та Безпеки Інфраструктури США (CISA).

Пошук інвестицій та NotPetya

2016 року «ангельські» гроші потроху почали закінчуватися, тож команда почала кататись за кордон, бутстрепити та шукати інвесторів. 

Знайти раунд було життєво необхідно. На червень 2017 року грошей на рахунку компанії лишалося на два місяці роботи, а CEO не отримував зарплати вже вісім місяців. У липні того ж року SOC Prime отримав $200 000 від британського профільного інвестора Джона МакКана. 

З цим раундом пов’язана цікава історія, яка зайвий раз доводить, що сценаристи «Кремнієвої долини» не фантазували, а суворо слідували божевільній стартап-реальності. Саме того ж дня, коли акціонери SOC Prime зібралися, щоб вирішити, чи брати у Джона гроші, стався NotPetya — найбільша на той час кібератака, що торкнулася десяток бізнесів та держструктур по всій країні, завдала збитків на сотні мільйонів гривень. Шквал дзвінків та повідомлень, пов’язаних з атакою, почався просто у розпал зустрічі. 

«Перші дзвінки пішли ще звечора, але зранку і до 14:00 27 червня 2017 року в мене було 80 пропущених, мені телефонували, мабуть, усі люди з кібербезпеки, з якими я хоча б раз зустрічався. У нас іде зібрання акціонерів, голосуємо, а телефон просто розриває. Пам’ятаю свою реакцію типу «what the hell is happening”?», — згадує Безверхий. 

Експерти SOC Prime швидко розібрались, що саме відбувається під час атаки, двоє координували бекенд, ще п’ятеро пішли «в поля» допомагати компаніям. П’ять днів команда майже не спала і працювала «на каві». У результаті допомогли семи великим компаніям і зуміли опублікувати аналіз через Sigma та MITRE ATT&CK в один день з аналізом Cisco та Eset. З тих бізнесів, кому команда допомагала впоратися із наслідками атаки, двоє пізніше стали їхніми клієнтами.  

Той липень також став місяцем, коли компанія вперше вийшла у профіт.

Подорож до Кремнієвої долини

Уже 2020 року ангельські інвестори порадили стартапу шукати системні й стратегічні інвестиції. Пошук раунду в Кремнієвій долині став для команди справжнім викликом. В акселераторі GrowthUp (який сидів у тому ж таки «Часописі») команду проконсультували, як проводити нетворкінг, вона зробила пітчдек на одну сторінку і полетіла до США. Свої продукти представляли як «Spotify для кіберзагроз», яскрава метафора сподобалась інвесторам та журналістам.

«Ми були на кількох конференціях, усе відбувалося у божевільному темпі, по 18 мітингів за день, ще десятки два по ремоуту. Чесно, це більше нагадувало спіддейтінг із чоловіками за 50: бігаєш між столиками, намагаєшся швиденько про себе розповісти», — жартує Безверхий. 

У результаті стартап спілкувався десь із 60 фондами, але не отримав жодного термшита. По-перше, всі офлайн-зустрічі, заплановані на три тижні в Долині, буквально розчинилися через пандемію COVID-19, приблизно 10% перейшли у формат ремоуту. У якомусь випадку фонд хотів завелику частку в компанії, десь їх відлякувало, що фаундери не з Долини. Але зрештою стартап таки зумів знайти свій ідеальний метч.

«Інвестори все одно комусь мають дати ті гроші. І хто б що не казав про математику й таблички, personal connection дуже важливий: хімія або виникає, або ні. На раунді А в нас «клікнуло» з трьома інвесторами, двоє рухалися швидше, один надав ТШ першим і з більшою оцінкою, але ми підписали DNX, які надали ТШ другими й з трохи меншою оцінкою, через стратегічні перспективи та великий вплив японської культури у фонді (вони не сплять і фігачать так само, як і наша команда). Нашому чинному інвестору я малював велику картину: як наші рішення можуть зацікавити SpaceX зі старлінками. Показав в режимі реального часу через NightSky карту покриття старлінків, флот на 2000 супутників, яким потрібен буде захист. Саме такі історії показують інвестору, що ти справді гориш проектом», — згадує CEO компанії. 

У такий спосіб команда підняла $11 млн інвестицій від ліда DNX Ventures за участі Streamlined Ventures і Rembrandt Venture Partners у 2021 році. В компанію також інвестували J-Ventures, Atlantic Bridge й такі легенди підприємців, які спеціалізуються на кібербезпеці як Том Рейлі (ArcSight, Cloudera), Славік Марковіч (Demisto), Ґреґ Мартін (Anomali, Jask, Ghost Security) та Chenxi Wang (Raincapital). На той момент компанія збільшила свою преміальну абонентську базу на 50% за останній рік, її щомісячний дохід зріс на 86%, активна клієнтська база — на 85%, вона обслуговувала понад 6000 організацій-клієнтів.

Як справи зараз та що компанія планує на майбутнє

За сім років мета компанії якісно трансформувалась: від запуску свого стартапу «в гаражі» (а точніше в орендованій квартирі) до участі у формуванні глобальних кібербезпекових трендів.

«Ключем успіху компанії став мій особистий нетворк та технічна репутація. У 2015 році економічна ситуація в Україні дуже просадила ринок зарплат для спеціалістів із кібербезпеки. У деяких компаніях були залишки «старої системи», і людей звільняли тільки за те, що вони ще тоді не давали зливати дані в московію. Багато хто з них прийшов працювати саме в SOC Prime. І в складні часи, коли не було грошей, коли не «взлітали» продукти чи фейлились дедлайни, мене завжди підтримував наш CISO Володимир Гаращенко, його ставленням до людей. Я говорив: «Володю, це капець, ми зафейлимо, ми не розберемось вчасно — подивись на нашу команду». На що у відповідь чув: «Не зафейлимо, бо ми найкраща команда в Україні». So far, не зафейлили, і тепер в цій ніші у нас найкраща та найбільша команда у світі», — розповідає Андрій Безверхий.

Глобальна мета SOC Prime зараз — брати участь у розбудові світової системи колективного кіберзахисту. Цьому допоможуть активні стратегічні партнерства з Microsoft, Amazon та Google, фронтірні технології на кшталт Sigma та MITRE ATT&CK: компанія зараз активно нарощує експертизу в них, маючи у команді спеціалістів із Sigma та MITRE ATT&CK світового рівня. А також навчає цих технологій студентів: адже, як вірять фаундери SOC Prime, і Україні, і світові зараз вкрай не вистачає тих, хто захищатиме кіберпростір від загроз.

Ці плани ґрунтуються на зростанні бізнесу:

• За останній рік кількість організацій, що використовують алгоритми на технології SOC Prime, зросла на 40%. На липень 2023 року це становить понад 8000 компаній, серед яких є організації з приватного й державного сектора України, США та Європи. 
• Кількість користувачів за останній рік зросла на 60% і складає 30 000+ людей. 
• Від початку 2023 року кількість алгоритмів детектування загроз на платформі вже збільшилась на 25% і зростає щомісяця на 200-600 одиниць.

У компанії, що починалася з трьох фаундерів, які вели розробку продуктів, вивчали кібератаки, писали код алгоритмів детектування та продавали, тепер працює понад 100 людей із командами у США, Австралії, Аргентині та ЄС. І що б не сталося далі, компанія націлена працювати й розбудовувати українську та глобальну систему кібербезпеки.

«У нас була ідея зробити unkillable бізнес: всупереч усьому наш бізнес йтиме далі. Окрім основних ринків в США, ЄС та Великої Британії, ми вже продаємо в Сингапур, Австралію, Японію, Бразилію, Аргентину та Південну Корею. Ми хотіли збудувати щось, що змінить індустрію, і нам вдалося. Тож хочу звернутися до усіх майбутніх фаундерів: це тільки здається, що піти з найму робити свій продукт — надзвичайно важко. Для українців, немає нічого неможливого. Якщо у вас є ідея, ви в неї вірите та є експертиза оцінити ринок — йдіть та перевіряйте», — закликає Безверхий.

• У середині квітня 2023 року дипломат Міністерства закордонних справ Польщі відправив електронною поштою оголошення до різних посольств, що продає в Києві уживаний седан BMW 5-ї серії.
• Однак хакери APT29 або «Затишний ведмідь» (Cozy Bear), яку пов’язують з РФ, перехопили та скопіювали це оголошення, засунули в нього шкідливі програми й відправили його десяткам інших іноземних дипломатів, які працюють у Києві. Шкідливе програмне забезпечення було замасковано під альбом фотографій BMW.
• Польський дипломат сказав, що відправив оригінальне оголошення до різних посольств у Києві, і що хтось передзвонив йому, бо ціна виглядала «привабливою». «Коли я перевірив, то зрозумів, що говорять про дещо нижчу ціну», — розповів дипломат. Виявилось, що хакери вказали нижчу ціну на BMW дипломата — €7500, щоб більше людей клікнули на оголошення.
• У 2021 році спецслужби США та Британії ідентифікували APT29 як підрозділ Служби зовнішньої розвідки росії. У квітні 2023 року польські органи контррозвідки та кібербезпеки попередили, що ця група провела «широкомасштабну розвідувальну кампанію» проти країн-членів НАТО, Європейського Союзу та Африки.
• Дослідники з Unit 42 також змогли повʼязати фальшиву рекламу автомобіля зі Службою зовнішньої розвідки росії, тому що хакери використали певні інструментів та методи, якими раніше вже користувалися російські хакери.

• Організатора та шістьох його спільників викрили кіберполіцейські у серпні 2022 року. Наразі слідчі завершили досудове розслідування та скерували обвинувальний акт до суду.
• Підсудні використовували чат-бот у Telegram, за допомогою якого отримували у потерпілих персональні дані, що становлять банківську таємницю. Діяли під виглядом пропозиції виплати соціальної допомоги від держави, у тому числі «єПідтримки».
• Встановлено, що зловмисники привласнили кошти з рахунків 12 потерпілих. Їм може загрожувати до 12 років позбавлення волі.
• З початком повномасштабної війни росії проти України, держава ініціювала фінансові виплати громадянам. Серед таких програм була «єПідтримка», в рамках якої громадяни могли отримувати грошову допомогу як внутрішьо-переміщені особи та по безробіттю. Одночасно, підприємці, працевлаштовані особи та бізнеси, що влаштували на роботу ВПО, могли подати заявку на одноразову виплату в розмірі 6500 грн.

Важливо: з самого початку у тексті є теза «Програмне забезпечення не може перехоплювати конкретні повідомлення», тобто сам зміст повідомлень ФСБ не бачить. Ми окремо дублюємо його з самого початку матеріалу, щоб у читачів не виникало питань. ФСБ відслідковує сам факт листування, а не читає повідомлення.

Які технології використовує росія?

Щоб посилити контроль за власним населенням, російська влада накопичила арсенал технологій для відстеження онлайн-життя громадян. Після вторгнення в Україну зріс попит на додаткові засоби спостереження. Це допомогло розвинути російський ринок технічних підрядників, які врешті решт створили потужні продукти для шпигування за людьми.

Ці технології надали поліції та ФСБ доступ до різноманітних можливостей стеження, зосереджених на повсякденному використанні телефонів і сайтів. Інструменти пропонують способи відстеження певних видів активності в зашифрованих програмах, таких як WhatsApp і Signal, моніторингу розташування телефонів, ідентифікації анонімних користувачів соціальних мереж і проникнення в облікові записи людей, повідомляє The New York Times з посиланням на документами російських постачальників технологій спостереження, а також на анонімне джерело, пов’язана з операціями цифрового спостереження в країні.

Просте у використанні програмне забезпечення, яке (що важливо) підключається безпосередньо до телекомунікаційної інфраструктури, тепер надає російським спецслужбам універсальний сервіс шпигунських можливостей, випливає з документів, які включають інженерні схеми, електронні листи та знімки екрана. The Times отримала сотні файлів від особи, яка має доступ до внутрішніх записів, близько 40 з яких детально описують інструменти стеження.

Одна програма, описана в матеріалах, може ідентифікувати, коли люди здійснюють голосові дзвінки або надсилають файли в зашифрованих програмах для чату, таких як Telegram, Signal і WhatsApp. Програмне забезпечення не може перехоплювати конкретні повідомлення, але може визначити, чи хтось використовує кілька телефонів, відобразити мережу їхніх контактів, відстежуючи спілкування з іншими користувачами, і триангулювати, які телефони були в певних місцях у певний день. Інший продукт може збирати паролі, введені на незашифрованих веб-сайтах.

Чи можуть месенджери захиститися від такого відстеження?

Таким чином російські спецслужби можуть точно визначити, коли хтось надсилає файл або підключається до голосового виклику в зашифрованих програмах, таких як WhatsApp, Signal або Telegram. Це дає ФСБ доступ до важливих метаданих, які є загальною інформацією про спілкування, наприклад, хто з ким розмовляє, коли і де, а також про те, чи вкладено файл до повідомлення.

Через те, що ФСБ збирає дані від постачальників послуг інтернету з високих рівнів мережі, для розробників Signal, Telegram і WhatsApp існує небагато засобів захисту від такого відстеження. Шифрування може маскувати конкретні повідомлення, які надсилаються, але не може блокувати запис обміну.

«Signal не було розроблено, щоб приховати той факт, що ви використовуєте Signal від свого власного інтернет-провайдера», — заявила Мередіт Віттакер, президент Signal Foundation. Вона закликала людей, які стурбовані таким відстеженням, використовувати функцію, яка надсилає трафік через інший сервер, щоб приховати його походження та призначення.

Чому це важливо?

Звичайні українці (включно з тими, хто знаходиться на окупованих територіях), а також військові часто використовують захищені месенджери, довіряючи їм дуже важливу інформацію. І хоч росія не має доступу до конкретних повідомлень, нові технології, можливо, дозволять спецслужбам ідентифікувати окремих людей.

Особливо це стосується окупованих територій, де окупанти перенаправили мобільний та інтернет-зв’язок через російські мережі, щоб заблокувати доступ до Facebook, Instagram і Twitter, а також до українських новинних сайтів та інших джерел незалежної інформації.

Як розповіла AIN.UA Інна Хлівна, начальник рекрутингу та оперативного пошуку Управління протидії кіберзлочинам в Одеській області Департаменту Кіберполіції Національної поліції України, за допомогою проєкту «Мрія» вдалось заблокувати близько 30 000 пропагандистських ресурсів. Вона також розповіла інші деталі проекту та скільки користувачів хочуть залучити у Кіберполіції для протидії російській пропаганді в інтернеті.

Коли був запущений проект «Мрія»? Як він еволюціонував з моменту запуску?

«МРІЯ» – це платформа, яка являється виробником проєктів за підтримки Кіберполіції України та волонтерів.

Передусім, ця ідея з’явилась, щоб співпрацювати з підписниками. Саме в той період часу розпочалась практика блокування популярних наркомагазинів в Telegram-каналах. І це до речі давало значний ефект.

Але початок війни дав зрозуміти нам важливість інформаційної підтримки наших військових, а також протидії кремлівським медіа-пропагандистам. Тому цей бот було переформатовано на опрацювання фейкових та проросійських ресурсів, котрі в подальшому йдуть на блокування. 

Яких результатів вдалося досягти? Якщо є якісь цікаві кейси – розкажіть будь ласка.

На сьогодні за допомогою проєкту «Мрія» вдалось заблокувати близько 30 000 пропагандистських ресурсів. Щодо прикладів можете переглянути в телеграм-каналі, так буде зручніше. Там відображаються всі ресурси, які йдуть на блокування.

Як «Мрія» працює сьогодні і скільки користувачів вже долучилися? Які завдання вони виконують?

На сьогодні до каналу долучились близько 300 000 користувачів, які активно виконують завдання з блокування ворожих ресурсів та протидіють російській агресії в інтернеті. Якби до проєкту долучилось ще близько 300 000 небайдужих громадян, це допомогло б вдвічі підвищити результати нашої спільної роботи та ще на крок наблизити нас до перемоги на інформаційному фронті.

А скільки страйків треба подати, щоб заблокувати ворожий ресурс?

Точна кількість скарг, необхідних для блокування ресурсів не є загальнодоступною інформацією, оскільки політика та процедури різних ресурсів можуть змінюватися з часом та відрізнятися в різних країнах. Зазвичай, такі ресурси не розголошують деталі своїх алгоритмів та процесів прийняття рішень щодо блокування контенту.

Як працює «Мрія» та як долучитися до блокування пропагандистів?

Стати цифровим солдатом може кожен, без спеціальних знань та навичок.

• Телеграм-бот StopRussiaChannelMRIYA приймає інформацію про фейкові ворожі ресурси, які перевіряються модераторами і відправляються на блокування небайдужими громадянами.
• Канал – це головна інструкція та засіб комунікації з підписниками щодо блокування, а також платформа, де щоденно та систематично надаються завдання для підписників та в тому числі навчальні матеріали по кібергігієні.

Чи помітили ви збільшення кількості шахрайських схем з початком повномасштабного вторгнення? Поділіться цифрами і статистикою. 

Насправді, ситуація залишилась на рівні минулих років, проте змінилися напрямки, за якими «працюють» шахраї. Здебільшого, вони перенаправили свою діяльність на продаж військового спорядження, товарів першої необхідності (наприклад  продаж генераторів у період масового відключення світла) та звісно допомогу ЗСУ, але не припинили користуватися і всім знайомими схемами «продажу» в інтернеті.

Скільки грошей виманили в українців у поточному році? Які найпоширеніші схеми?

Найпоширенішими схемами на сьогодні є – дзвінки від імені представників банку, виграші призів, соціальні виплати під час війни, продаж несправжніх товарів на інтернет-майданчиках, а також давня але все ще популярна схема «Ваш родич у біді».

Щодо статистики матеріальних збитків по Україні – не володію цифрами.

Як кіберполіція виявляє шахраїв? Скільки схем вдалося нейтралізувати у поточному році? 

Ця інформація не підлягає поширенню.

Що робити, якщо стали жертвою шахрая? Яка вірогідність отримати свої гроші назад?

Для того, щоб не стати жертвою шахраїв необхідно дотримуватись таких правил: 

• купувати та сплачувати лише на перевірених сайтах, надавати перевагу накладеному платежу;
• у разі купівлі на платформі оголошень, обговорюйте деталі угоди тільки в чаті цієї платформи та не переходьте у сторонні месенджери;
• перевіряти правильність назви необхідного сайту: адже один непомітний символ на панелі адреси може означати, що ви потрапили на фішинговий сайт;
• у жодному разі не повідомляти дані банківської картки, а також коди з SMS від мобільного оператора або банку, які можуть використовуватися для підтвердження платежів. А в разі сумніву чи з вами веде бесіду справжній працівник банку, звернутись до банку за номером телефону, вказаним на звороті карти; 
• також дуже простий але дієвий спосіб перевіряти номер телефону/банківської картки та назву сайту в пошукових системах. 

Але якщо все ж таки сталася ситуація, коли ви стали жертвою шахраїв – потрібно негайно повідомити про це до органів Національної поліції України. Зокрема це можливо зробити через звернення на офіційному сайті Департаменту кіберполіції.

Що таке кіберполігони і навіщо вони потрібні?

Кіберполігони — це віртуальна лабораторія, де спеціалісти мають можливість реалізовувати мережеві атаки та здійснювати їх відбиття, виявляти вразливості та відпрацьовуючи свої дії в умовах, максимально наближених до реальних атак.

Відпрацювання кібердій здійснюється в замкненому віртуальному середовищі, яке імітує реальну інфраструктуру, яку фахівцям з кібербезпеки доведеться атакувати або захищати, в залежності від профілю діяльності.

«Це як правило хмарне рішення на віртуальних машинах (в нас повністю все в Amazon Web Services), де розгортаються сценарії які розробляються експертами з кібербезпеки. Такі сценарії максимально імітують хакерські атаки, або системи які треба атакувати (якщо тренуєш offense)», — розповідає Аушев.

Чим особливий Unit Range?

Unit Range створювався безпосередньо під час війни, а його розробники враховували особливості ведення сучасної війни, де бойові дії часто комбінуються з кібератаками та спробами знищити цифрову інфраструктуру противника.

Крім того, Unit Range надає інформаційну панель даних у реальному часі, де вимірюється результативність та профіль ризику для всіх членів команди, від керівників до звичайного ІТ-персоналу.

За словами Аушева, у створення проекту він вклав кілька сотень тисяч доларів власних коштів, точну суму підприємець не називає. На час війни такі навчання для військових Unit Range буде давати безкоштовно, або за підтримки донорів. Проте в планах компанії — вихід на міжнародний ринок, де для комерційних установ буде декілька опцій: підписка і доступ до платформи або платформа й тренери/ментори від Unit Range.

«Наш полігон нового покоління, кращий ніж світові аналоги, бо він дуже простий для використання і на ньому зможуть тренуватися не лише кіберспеціалісти, а і звичайні співробітники компаній. Крім того, це єдиний у світі полігон що має український інтерфейс»

Чому створення кіберполігона важливо для Української оборони?

За час повномасштабної війни кількість кібератак в Україні зросла у декілька разів порівняно з попередніми роками. Від 24 лютого 2022 зафіксували понад 4500 кібератак. У 2020 їх було всього 800, а у 2021 — близько 2000. Як повідомляв LB, з посиланням на слова голови Служби безпеки України Василя Малюка, щоденно Росія здійснює в середньо по 10 кібератак.

Для протидії таким атакам, які часто стосуються не лише цивільної, а й військової або державної інфраструктури, Unit Range вже проводить навчання для працівників державних органів та військових.

«Для Ради національної безпеки і оборони України ми взяли близько 10 сценаріїв і 20 команд з державного сектору (спец служби, прикордонники, Держспецзв’язку та інші). Вони мали відбити атаки, розібрати їх детально і зробити контратаку», — розповідає засновник Unit Range.

• 36-річний мешканець міста Нетішин продавав відомості, що містили персональні дані понад 300 мільйонів осіб із різних країн (переважно громадян України та Європейського союзу).
• Чоловік був адміністратором закритих груп і каналів у Telegram, де здійснював продаж персональних даних. Зокрема у розпорядженні зловмисника були відомості щодо паспортних даних, номерів платників податків, свідоцтв про народження, водійських посвідчень, даних банківських рахунків.
• Загалом бази містили персональну інформацію понад 300 мільйонів осіб, громадян України та країн ЄС. В залежності від обсягу даних фігурант просив за них від $500 до $2000.
• Попередньо встановлено, що покупцями були й громадяни країни-агресора. Оплату за продаж баз даних громадянам рф фігурант отримував за допомогою заборонених на території України валют.
• В оселі зловмисника правоохоронці провели обшук. Вилучено мобільні телефони, три десятки жорстких дисків, SIM-карти, комп’ютерну техніку та серверне обладнання, на якому кіберполіція виявила бази даних з обмеженим доступом. Наразі встановлюється походження цих баз.
• Проти чоловіка порушено кримінальні провадження за ч. 2 ст. 361-1 (Створення шкідливих програмних засобів, ст. 362 (Несанкціоновані дії з інформацією) та за ч. 2 ст. 345 через напад на поліцейського, який підозрюваний вчинив під час затримання.

• Про злам доступу до пошти Моргачова «Кібер Спротив» повідомив у Telegram 10 квітня, а наступного дня вже виклав частину файлів для усіх, лінками на приватні папки Mail.ru. Користувачам пропонують шукати там фото та відео військової техніки, а також інші дані, які можуть бути корисними для української армії, а також попереджають використовувати VPN та антивіруси.
• Моргачов — один із міжнародно визнаних російських кіберзлочинців. Наприклад, у судових документах від 2018 року його та ще групу росіян звинувачують у спробі втрутитись у президентські вибори в США у 2016 році, у викраданні та підробці документів, а також у відмиванні коштів.
• Він також оголошений в розшук на сайті ФБР. На сайті відомства його національність вказано як «українську», але він все життя працює на російську розвідку та служить у ГРУ Генштабу РФ.

• Він є куратором найвідомішого російського хакерського угруповання APT 28 (також відомого в ЗМІ як — Fancy Bear, Pawn Storm), яке у 2016 році зламало сервери Демократичної партії США, і яке фігурує ледь не в кожному розслідуванні про кіберзлочинність.
• Завдяки зламу хакери отримали доступ до особистих даних та документів Моргачова, зокрема, до сканів його документів та документів пов’язаних із ним осіб, документів на машину та квартиру.
• Завдяки доступу до акаунту Моргачова на AliExpress хакери також замовили йому сувенірів із символікою ФБР та секс-іграшок.

Деталі схеми

• Спочатку «проект» діяв лише на території рф, але після 2017 року його поступово намагались реалізувати в Україні через масовану рекламну кампанію в інтернеті та відкриття офісу у Києві.
• Організатори піраміди пропонували своїм клієнтам стати інвесторами і переказати гроші на рахунок компанії, яка нібито допомагає «примножувати» капіталовкладення. Для користування «послугою» шахраї розробили сайт з обліковими записами «інвесторів».
• «Вкладникам» обіцяли стабільні прибутки у вигляді «дивідендів» від інвестування в акції світових компаній, а також «реферальні бонуси» за залучення до проекту нових учасників.
• Отримані гроші шахраї акумульовували на власні криптогаманці та банківські рахунки.

• Після початку повномасштабного вторгнення організатори «піраміди» хотіли приховати свою причетність до неї. Для цього налагодили механізм залучення віртуальних активів через мережу обмінних пунктів криптовалюти по всій території України.
• За даними слідства, до організації оборудки в Україні причетні більше 10 осіб. Серед них – громадяни рф.
• Наразі одному із топменеджерів «інвестпроекту» повідомлено про підозру за ч. 3 ст. 190 Кримінального кодексу України (шахрайство). Головний організатор – громадянин РФ – перебуває в розшуку. Розслідування триває.

«Шахраї діяли через мережу «Інтернет». Майже в кожному обласному центрі України були менеджери цієї компанії. Між собою вони комунікували і спілкувалися в месенджерах, де в тому числі обговорювали психологічні інструменти для залучення нових клієнтів та виманювання в них коштів», – розповіла «УП» речниця столичної прокуратури Надія Максимець.

Чому це важливо

Цікаво, що в росії «Life is Good» давно викрили. ЦБ рф присвоїв проекту статус такого, що має ознаки піраміди, ще у 2021 році. Інформації про це в інтернеті вистачає, але це не завадило сотням довірливих українців віддати шахраям свої гроші. Та ще й не просто шахраям – а росіянам у розпал великої війни.

Це не перша і не остання спроба шахраїв нажитися на мріях громадян про легкі гроші. Будьте обережні, ретельно перевіряйте інформацію про компанії, які пропонують вам високодохідне інвестування.

AIN.UA разом з експертами безпекової компанії SOC Prime розбирається, як штучний інтелект може допомагати зловмисникам і захищати від їхніх атак, як він змінює підходи до кібербезпеки, а також яку роль може зіграти в цьому ChatGPT й аналогічні сервіси.

Історія та тренди ШІ в кібербезпеці

Робити прогнози щодо кібербезпеки просто. Завжди кажіть, що наступного року кількість атак та вірусів сильно зросте, і ви не помилитесь. Це, звісно, жарт, але частина правди в ньому є: за минулий рік, як і за останнє десятиліття, кіберзагроз стало більше, а відтак — і заподіяної шкоди. 

За даними Check Point, кількість атак у III кварталі 2022 року зросла на 28% порівняно з роком до того. 2022-й у кібербезпеці Check Point назвали «лютим та штормовим», через напад росії на Україну, який, за американською воєнною доктриною, відбувався не лише фізично, але й у кіберпросторі. За даними звіту Google Fog of War, торік російські хакери на 250% збільшили спроби атакувати українців, і ще на 300% — користувачів із країн НАТО. 

Суперзусилля зловмисників потребують суперзброї, що їм протистоятиме. На цю роль аналітики активно пропонують технології штучного інтелекту. За прогнозом Acumen Research and Consulting, ринок для ШІ-рішень захисту від кіберзагроз 2021 року становив $14,9 млрд, а уже за кілька років зросте удесятеро: до $133,8 млрд у 2030 році. 

Але історія використання ШІ у кібербезпеці має свої особливості. CEO SOC Prime Андрій Безверхий пригадує, що у кібербезпеці ШІ довший час був здебільшого маркетинговим прийомом, buzz word, який включали до пітчів та пресрелізів, бо це круто і модно звучить. 

«Раніше люди з індустрії на таке вже тригерилися. Коли бачиш, що в описі продукту є deep learning, state of the art, military grade — все із цим продуктом стає зрозуміло», — згадує він. 

Були й свої історії шахрайства, як-от скандал із публічною британською компанією Darktrace, яка з 2013 року отримала понад $230 млн венчурних інвестицій та вийшла на IPO. Її засновник, мільярдер Майк Лінч, начебто обманом продав свою іншу компанію HP за $11 млрд і потім був засуджений за шахрайство майже на $5 млрд, а його розрекламований ШІ-сервіс кіберзахисту також підозрюють у неефективності. 

«Звісно, це не означає, що в кіберзахисті ШІ не використовують. Просто, на відміну від автономних авто чи пілотування дронів, тут технології deep learning, машинного навчання не були визначальними», — пояснює Андрій Безверхий. 

Поки не з’явився ChatGPT. 

У нього — мільйони юзерів по всьому світі, нещодавно, зусиллями Мінцифри, його відкрили й для користувачів з України. Він змінив правила гри: його називають game changer у багатьох галузях, зокрема, і в кібербезпеці. Розглянемо нижче, чому так.

Як ChatGPT (та інші ШІ) служать «світлій» та «темній стороні сили»

Джина випустили з пляшки: «темні здобутки» ChatGPT

За словами CEO SOC Prime, у тому, що стосується написання та перевірки коду, ChatGPT — не стільки розвиток, скільки еволюційний стрибок уперед. І це має як позитивні, так і негативні грані. 

З негативних: таланти ChatGPT дуже швидко оцінила «темна сторона сили»: хакери та шахраї, що займаються кібератаками. Уже в грудні 2022 та на початку січня 2023 року в аналітичних звітах почали з’являтися скриншоти з форумів дарквебу, де хакери обговорювали нові можливості атак. 

Почати з того, що ChatGPT швидко складає мейли ідеальною англійською, невідмінні від листа, написаного людиною, втілюючи «такий собі злий аналог Grammarly». І це розв’язує зловмисникам руки щодо фішингу. Звісно, чат-боту не даси завдання: «Напиши фішингового листа на ось цю тему», подібні речі OpenAI заборонили. Але ці заборони можна обійти, змінюючи запити до чат-бота. 

«Темна сторона сили швидко все зрозуміла, почала робити скрипти, щоб автоматизувати написання таких листів по API. Просто уявіть, що буде, якщо доступ до чату нададуть в Мордор або в Китай. У них біда з англійською, а тут натиснув кнопку — і за кілька секунд у тебе мейл ідеальною англійською на будь-яку тему», — застерігає Безверхий. 

За даними Держспецзв’язку за III квартал 2022 року, 17% фішингових листів обходять усі методи захисту. Можна уявити, що станеться з цим показником, якщо ШІ почнуть активно використовувати для фішингу.

Це не всі ризики, пов’язані зі зловмисним використанням ШІ. ChatGPT вміє писати макроси для Excel (для переходу на шкідливий сайт), віруси-шифрувальники, шукати вразливості та баги в коді — тобто, фактично, вхідні двері для хакерів.

«Автоматична генерація нових шифрувальників — це катастрофа. Наприклад, уявімо, що ви відкрили фішинговий лист, перейшли на сайт, а там є код, що виконується в інтерпретаторі, у командному рядку. Шкідливого файлу немає, все виконується у пам’яті. Це може обійти всі антивіруси й половину EDR-cистем. Усі складові цієї атаки може написати ChatGPT. Джина випустили з пляшки», — пояснює Безверхий. 

На світлій стороні: як ChatGPT може нас захищати

Але чи означає це, що «світла сторона» відстала та програла? Звісно, ні. ChatGPT та інші сервіси на основі лінгвістичних моделей відкривають великі можливості й для «сил захисту». 

Наприклад, чат-бот добре вчиться писати Sigma-правила. 

Sigma, спільна мова для кіберекспертів усього світу на відкритому коді, з’явилась ще 2016 року. Людина, що знає «сігму», може самостійно писати сигнатури для будь-якої кіберзагрози й додавати їх до спільної бази. Sigma використовують для створення відкритої для всіх глобальної бази даних про кіберзагрози, що постійно оновлюється. 

«Люди досить швидко вчаться працювати із Sigma. ChatGPT вчиться ще швидше, хоча часом і шпортається. Уже в січні 2023 року на YouTube з’являлися відео, де ChatGPT пише Sigma-правило. Виходило у нього з помилками, але над цим можна працювати», — говорить CEO SOC Prime.  

ChatGPT може бути помічним і для пошуку вразливостей (те, чим зараз займаються учасники багбаунті-програм), і для вичитки та тестування коду. Він чудово пише документацію: за робочим досвідом SOC Prime, на рівні гарного спеціаліста-джуна. І йому добре вдаються інструкції. 

Приклад того, як це вже працює: інтеграція ChatGPT у систему захисту Microsoft Sentinel (детально описана у блозі компанії). Чат-бот на даних із системи захисту пише інструкцію для адміністратора, наприклад: у вас стався інцидент з підбором пароля, вам потрібно скинути паролі для 100 користувачів. Тобто, ШІ допомагає аналітикові першої ланки. 

Звісно, ChatGPT — не єдина ШІ-технологія, що відкриває незнані до цього моменту можливості у кібербезі. Інша хайпова річ: нейромережі, як-от Midjourney або DALL-E, що генерують неймовірно детальні, гарні та реалістичні зображення, іноді майже не відмінні від справжніх фото. Часом ці картинки використовують для невинних пранків, іноді це призводить до скандалів та шкоди: як у нещодавній історії із фейковим фото дитини в сльозах, яку нейромережа намалювала після обстрілу в Дніпрі, і яке запостили українські офіційні канали. 

Звісно, шахраям ці можливості теж відкриті: адже у гарну згенеровану картинку можна вшити шкідливий код, за допомогою діпфейку видурити з людини персональні дані.  

Але можливості для добрих справ ще ширші. Один із неочевидних кейсів: захист критично важливих сервісів. За словами Безверхого, є технології, що ізолюють робоче місце людини від сервера через генерацію картинок. 

«Наприклад, у вас є сервер із банківським клієнтом. Замість того, щоб давати вам доступ до банківської системи напряму, вам дають проміжну машину, де ви взаємодієте з інтерфейсом із картинок. При тому, ваше робоче місце та банківська система повністю роз’єднані, що забезпечує їй гарний захист. Відмальовка цих інтерфейсів — важке й довге завдання. А за допомогою AI можна «перекласти» на таку схему інтерфейс будь-якого сервісу», — пояснює експерт.

Де вчать таких технологій 

Кількість користувачів ChatGPT за кілька місяців сягнула рекордних 100 млн, адже що ця технологія з точки зору юзера — дуже проста у використанні. Але «під капотом» —  це складний сервіс, що працює на сімействі лінгвістичних моделей OpenAI GPT-3. Тож разом із популярністю таких моделей зростає і попит на спеціалістів, що вміють писати deep learning-моделі та налаштовувати їх. Попит на спеціалістів, що вмітимуть працювати із подібними технологіями у кіберсфері — ще більший, адже кібербезпека останні роки відчуває гострий дефіцит кадрів.  

Саме тому безпекові компанії переглядають навчальні програми для майбутніх спеціалістів з урахуванням цих трендів. Наприклад, SOC Prime уже пів року навчає студентів Cyberport Institute at Biotech (працює при Державному біотехнологічному університеті) та студентів Волинського національного університету імені Лесі Українки працювати із безпековою мовою Sigma та фреймворком MITRE ATT&CK® (ми вже розповідали про них раніше). 

Зараз компанія модифікує свою навчальну програму і дає студентам працювати з інтеграціями ChatGPT. Наприклад, нещодавно SOC Prime випустив новий реліз свого сервісу Uncoder — безкоштовного онлайн-перекладача із Sigma на інші мови.  Українські студенти вже з ним працюють та тренуються на ньому.   

У новому релізі туди інтегрували ChatGPT, який допомагає робити переклади не тільки з універсальної мови Sigma, а безпосередньо з однієї мови SIEM або EDR-системи на іншу за допомогою технології reverse translation.

То хто переможе: хакери чи кіберзахисники, озброєні ШІ

ChatGPT та інші ШІ-технології не лише допомагають перемагати в кіберпросторі, а й воювати на справжній війні. Наприклад, існує технологія розпізнавання облич за допомогою нейромережі Clearview AI, завдяки якій можна ідентифікувати російських військових злочинців. ChatGPT теж може сприяти українській розвідці та інформаційним волонтерам (і ймовірно, вже допомагає). 

Попри загрози та ризики експерти налаштовані оптимістично: прогресу ШІ не спинити, ці технології еволюціонують непередбачувано швидко. За оцінкою Андрія Безверхого, черговий якісний стрибок у ШІ, зокрема, у вигляді ChatGPT, звісно може спочатку привнести трохи хаосу в кібербезпеку, але потім все буде добре. 

«На початку може бути жорстко, тому що усі зловмисники кинуться його використовувати. Але добро почне відбиватися. Захист еволюціонує на інцидентах. Тож у довгостроковій перспективі кібербезпека навчиться працювати з такими моделями заради прогресу та кращого захисту для всіх», — вважає він. 

Ми спитали у ChatGPT, чи збирається він шкодити, а чи допомагати кіберзахисникам. Він запевнив, що сприяє лише «світлій стороні»:

• Як AIN.UA повідомили у пресслужбі компанії, Google презентувала звіт Fog of War («Туман війни») про те, як війна в Україні вплинула на кіберзагрози. Звіт створено на основі аналізу Google Threat Analysis Group (TAG), Mandiant і команди Google Trust & Safety.
• За даними звіту, зловмисники, яких підтримує російський уряд, активізували кібероперації, починаючи з 2021 року під час підготовки до вторгнення.
• У 2022 році росія збільшила таргетинг на користувачів в Україні на 250% порівняно з 2020 роком. Таргетинг на користувачів у країнах НАТО за той самий період зріс понад 300%.

«Це включає значне зміщення фокусу різних груп на Україну, різке збільшення використання деструктивних атак на український уряд, військову та цивільну інфраструктуру, сплеск фішингової діяльності, націленої на країни НАТО, і зростання кібероперацій, спрямованих на досягнення кількох цілей Росії. Наприклад, ми спостерігали, як зловмисники зламували та зливали конфіденційну інформацію для просування певного наративу», — йдеться у звіті.

• Загалом, за рік повномасштабної війни хакери, яких підтримує російський уряд, атакували українських користувачів більше, ніж населення будь-якої іншої країни.
• Вони значною мірою зосереджувалися на українському уряді та військових структурах, але також атакували компанії критичної інфраструктури, компанії, що надають комунальні та державні послуги, медіа.

Основні домени, які атакували зловмисники:

Основні цілі хакерів, що підтримуються росією, у 2022 році:

Основні групи, які помічені у здійсненні атак на Україну, та типи атак:

• Пік атак припав на початок повномасштабного вторгнення, а за перші чотири його місяці у 2022 році Mandiant спостерігав більше руйнівних кібератак в Україні, ніж за попередні 8 років.
• Дослідники також впевнені, що росія буде посилювати хакерські атаки відповідно до подій на полі бою, такі як поразки чи підтримка іноземних держав:

«Ми переконані, що Москва посилить руйнівні атаки у відповідь на події на полі бою, які докорінно змінюють баланс сил — реальний чи ймовірний — в Україні (наприклад, військові втрати, нові зобов’язання іноземних держав стосовно політичної чи військової підтримки тощо). Ці атаки насамперед будуть спрямовані на Україну, але все більше поширюватимуться на партнерів НАТО».

Проте, як повідомив співзасновник Prometheus Іван Примаченко, це неправда. На фейковість таких повідомлень вказують і неправильно оформлені таблиці у нібито «злитій» базі, так і наявність в ній інформації про військові звання та посади слухачів — дані, які Prometheus ніколи не збирав.

Історія російського фейку про Prometheus

За словами Примаченка, фейк про злам баз даних Prometheus і отримання росіянами даних слухачів поширювався в три етапи:

• Крок перший — російський пропагандистський канал публікує в Telegram скріншоти таблиці з особистими даними начебто українських військовослужбовців.
• Крок другий – неназваний український волонтер підхоплює вкид і навіщось додає вигадку, що злита база даних слухачів, які навчалися на курсі Prometheus «Застосування технологій в умовах війни», створеному в межах проєкту Victory Drones.
• Крок третій — паніка з посиланням на «інформацію від СБУ» несеться анонімними та не дуже каналами й чатами.

«Якщо перевірити цю інформацію за допомогою критичного мислення, відразу стає зрозумілим, що це фейк. Prometheus при реєстрації на сайті ніколи не збирав і не збирає інформацію про військові звання та посади наших слухачів, що містяться в опублікованій пропагандистами таблиці. Нікнейми, що зустрічаються в фейковій таблиці, інколи написані кирилицею та містять пробіли – хоча при реєстрації на Prometheus сайт вимагає вказувати ім’я користувача виключно латиницею без пробілів. Перевірити все це можна за 30 секунд, просто зайшовши на сторінку реєстрації платформи», — зазначив Іван Примаченко.

Крім того, як зазначив співзасновник, в Prometheus пішли далі й перевірили випадкову вибірку телефонів, що містяться в першому вкиді – і не змогли знайти жодного з них серед зареєстрованих слухачів. Як не змогли знайти й слідів зламу в логах системи.

«Найсмішніше, що перший російський вкид не містив жодної згадки про Prometheus – цю частину вигадали та почали поширювати вже в Україні. Цей випадок ще раз нагадує про важливість суворого дотримання інформаційної гігієни в воєнний час», — додав Примаченко.

• Відповідно до публікації в блозі групи Symantec Threat Hunter, російська хакерська група TA471, яка напряму спонсорується росією і стоїть за атакою WhisperGate, що відбулась у 2022 році, знову повернулась до активної діяльності.
• Symantec підтверджує, що та сама група, яка стоїть за WhisperGate, зараз розгортає нову форму зловмисного програмного забезпечення для видалення даних. Новий вірус під назвою Graphiron вже був помічений на українських системах з жовтня 2022 року до середини січня 2023.
• Graphiron працює, маскуючись під файл Microsoft Office на комп’ютері. Після маскування як GrimPlant або GraphSteel, вона отримає більше даних у системі, таких як ключі SSH і кілька знімків екрана. Ця інформація може бути корисною сама по собі з точки зору розвідки, або її можна використовувати для глибшого проникнення в цільову організацію або для проведення деструктивних атак
• Сьогодні TA471 все ще використовує цю шкідливу програму для крадіжки інформації у своїх атаках, спрямованих проти українського уряду та інших організацій. Крім того, кібератака поширюється й на території Північної Америки та Європи.
• Як зазначають автори дослідження, Україна бореться не лише з ТА471, а й з іншими російськими хакерськими групами, наприклад UAC-0010. Тож підвищення загальної кібербезпеки країни є першочерговим завданням для України цього року.

Сем Бенкман-Фрід

Засновника криптобіржі FTX звинувачують у шахрайстві на суму понад $8 млрд. Усі заплутані операції та управління коштами користувачів під час краху FTX ще не розгадані до кінця. Навіть новий генеральний директор компанії Джон Рей, який також займався банкрутством Enron, каже, що ніколи не бачив більшого безладу.

Під практичним керівництвом Бенкмана-Фріда FTX інвестував величезні суми криптовалюти користувачів у свою власну торгову платформу Alameda Research, яка також збанкрутувала. Окрім цих величезних втрат, Бенкмен-Фрід, на відміну від багатьох інших у криптосвіті, насправді вітав посилення державного контролю за галуззю.

Ілон Маск

Досі витівки Ілона Маска не здавалися шкідливими. А іноді навіть були корисними для прогресу людства, наприклад коли він зосередився на ракетах і електромобілях нового покоління. Але після придбання Twitter, ми побачили його темну сторону. Негайне звільнення тисяч співробітників поставили під загрозу ключові функції компанії. Він виправдав скасування бану деяких неонацистів, таких як Ендрю Англін, а також колишнього президента Дональда Трампа.

Новий власник Twitter також скоротив штат модераторів. Під наглядом Маска Twitter заборонив ліві акаунти, які він назвав «антифа», що суперечить його ж позиції щодо свободи слова. Twitter не зазнав краху під час Маска, як передбачали деякі люди. Але він може перетворюватися на найгіршу версію самого себе.

Сі Цзіньпін

Сі Цзіньпін очолював деякі з найгірших порушень прав людини в Китаї, включаючи масове інтернування мусульман-уйгурів у Сіньцзяні та придушення протестувальників у Гонконзі. Кожна з цих хвиль репресій супроводжується посилення обмежень в інтернеті. Цензура шукає в соціальних мережах будь-які згадки про протести, а китайська поліція в Сіньцзяні навіть вимагала від уйгурів завантажити програму, яка сканує їхні телефони на наявність забороненого вмісту.

Нарендра Моді

Під керівництвом Моді та його партії BJP Індія все більше стає схожою на Китай у придушенні протестів як фізичних, так і цифрових. Лише за останні кілька років уряд Індії тимчасово вимкнув інтернет у регіоні Кашмір і заборонив велику кількість китайських програм, зокрема TikTok. Індія Моді довела, що навіть так звана демократія не гарантує свободу інтернету.

ГРУ

Російська військова розвідка ГРУ протягом багатьох років була домом для найагресивніших хакерів у світі. Групи ГРУ, відомі як Sandworm і APT28, лише за останні сім років спровокували два відключення електроенергії в Україні, розпочали операцію зі злому та витоку інформації, спрямовану на вплив на вибори в США 2016 року. А ще випустили зловмисне програмне забезпечення NotPetya, яке поширилося по всьому світу, спричинило збитки у розмірі $10 млрд та могло знищити серверну частину Олімпіади-2018.

ДеСнейк

Коли у 2017 році ринок наркотиків і зламаних даних, відомий як AlphaBay, був закритий, а його творця Александра Казеса знайшли мертвим у камері тайської в’язниці, здавалося, що історія AlphaBay закінчилася. Потім, влітку минулого року, через чотири роки після масштабного краху, AlphaBay відновив роботу під керівництвом старшого заступника Казеса, відомого як ДеСнейк.

За рік ДеСнейк повернув AlphaBay на вершину даркнету, що конкурує між злочинними ринками. Він встановив більше правил щодо товарів на його чорному ринку, ніж Кейз, заборонивши продаж фентанілу та програм-вимагачів. Але AlphaBay залишається кримінальним ринком важких наркотиків і викрадених даних, і закрити його важче, ніж будь-коли.

Lazarus

У 2022 році Північна Корея продовжувала відзначатися як найбільший у світі виконавець фінансованих державою кіберзлочинів: її урядові хакери приносили збитки на сотні мільйонів доларів, переважно викрадаючи криптовалюту. За даними фірми Chainalysis, що займається аналізом блокчейнів, лише за перші п’ять місяців 2022 року північнокорейські злодії забрали $840 млн, що більше, ніж за попередні два роки разом узяті.

Conti

У перші місяці року група хакерів Conti вразила десятки корпоративних і державних цілей. Найбільш катастрофічним є те, що хакери запустили хвилю жахливих кібератак по всій Коста-Ріці, припинивши роботу 27 державних установ і медичних служб, що призвело до введення надзвичайного стану в країні.

Після вторгнення РФ в Україну Conti оголосили про свою повну підтримку цієї війни — рішення, яке призвело до того, що один із незадоволених членів групи оприлюднив величезну кількість внутрішньої комунікації групи в інтернеті. Згодом Conti припинила роботу, або просто розділилася і змінила назву.

Lapsus$

У грудні 2021 року Lapsus$ вийшла на арену хакерів, здійснивши кібератаку на Міністерство охорони здоров’я Бразилії в розпал його реагування на COVID-19. З тих пір вона здійснювала серію нападів на великі технологічні компанії, включаючи Uber, Okta, Rockstar Games, Nvidia, Microsoft, Samsung і Vodafone.

Минулої весни британські правоохоронні органи заарештували сімох осіб віком від 16 до 21 року, підозрюваних у причетності до групи. Серед цих арештів був ймовірний 16-річний засновник Lapsus$. Але незрозумілим чином цих підозрюваних було звільнено без висунення звинувачень, і діяльність групи продовжується.

APT41

Протягом багатьох років китайські хакери зосереджувалися на шпигунстві. Але нещодавно одна група, відома як APT41, довела, що найбільше близька до китайських кіберзлочинців, які спонсоруються державою Північної Кореї. Ця група протягом багатьох років підробляла як комерційна організація кіберзлочинців. Лише цього місяця групу було пов’язано з крадіжкою $20 млн із фондів допомоги COVID-19 і безпрецедентним пограбуванням урядових грошей США.

Чому це шахрайство?

Користувачі Telegram почали отримувати повідомлення, що їх обліковий зaпис був обмежений у зв’язку з підозрілою активністю і закликом до негайного проходження верифікації.

Важливо, що при цьому жодних обмежень акаунту не відбувається. Користувач може продовжувати спокійно писати пости, коментувати чужі публікації та спілкуватися зі своїми контактами.

Це шахрайство і досить примітивна спроба вкрасти ваш акаунт. На це вказують наступні проблеми:

• Повідомлення надсилаються не з офіційної підтримки Telegram, а зі звичайного приватного акаунту, що лише мімікрує під підтримку;
• Посилання, що дається в повідомлені — підробне. З першого погляду воно веде за адресою t.me/checkAccess (де знаходиться публічна група, в якій сотня людей марно намагаються довести, що вони не роботи), проте насправді перенаправляє користувача на сторонній сайт, що краде логін та пароль від вашого акаунту.

Що робити, якщо отримав повідомлення?

• Отримувачу повідомлення нічого не потрібно робити. А головне — в жодному разі не переходити за посиланням та не давати шахраям свої дані.
• Крім того, можна також заблокувати відправника, щоб не отримувати більше спаму з цього акаунту. Проте насправді це навряд допоможе, бо шахраї просто створять новий.

Дослідники ESET написали, що вони виявили RansomBoggs, розгорнутий у мережах «кількох організацій в Україні». Деякі аспекти RansomBoggs відрізняються від зловмисного програмного забезпечення, яке зазвичай використовують Sandworm. Наприклад код вірусу написаний у .NET, однак методи розгортання вказують саме на Sandworm.

«Є схожість із попередніми атаками, здійсненими Sandworm: сценарій PowerShell, який використовувався для розповсюдження програм-вимагачів .NET із контролера домену, майже ідентичний тому, який спостерігався у квітні минулого року під час атак Industroyer2 на енергетичний сектор», — кажуть дослідники.

Чому це важливо

ESET вже сповістила українських служб кібербезпеки про RansomBoggs. Цього разу Sandworm залишають згадку про мультфільм від Pixar «Корпорація монстрів». Зловмисники розпочали записку про викуп «Дорога людська форма життя!» і представляються як «Джеймс П. Салліван, співробітник Monsters, Inc.». Це ім’я головного героя фільму — монстра з синьо-зеленою шерстю.

Sandworm пов’язаний із підрозділом російської розвідки, який веде активну діяльність з 1990-х років, і можливо відповідальний за розробку програми-вимагача NotPetya у 2017 році. Угруповання було націлено на Україну під час вторгнення Росії в 2014 році та подальшої окупації Криму та активно діяло з моменту повномасштабного нападу РФ на Україну.

У квітні США оголосили винагороду в розмірі $10 млн за інформацію про Sandworm, звинувативши їх у плануванні кібератак на американську критичну інфраструктуру. У серпні Sandworm здійснили кібератаку на українські організації, видаючи себе за постачальників телекомунікаційних послуг.

• До чату житлового комплексу хтось скинув лінк на ніби чат-бота Yasno. Чоловік перейшов по лінку і побачив чат-бот, який маскувався під Yasno, створений шахраями. Бот обіцяв зручний доступ та сповіщення про відключення світла.

• Для цього потрібно було поділитись своїм телефоном: шахраї за його допомогою намагалися зламати доступ до Telegram користувача. Для цього вони згодом запитали і код доступу.
• За словами співрозмовника, він не підозрював, що щось не в порядку, аж поки уночі його Telegram не почали намагатися зламати. Оскільки у нього була налаштована 2FA, шахраям не вдалося отримати доступ до його акаунту. Але він відзначає, що лише у чаті його житлового комплексу зареєстровані сотні людей, і невідомо, скількох ще шахраям вдалося надурити.
• Нагадаємо, що офіційні сайти із графіками відключень — це сайт ДТЕК та Yasno.

Як з’ясував AIN.UA, S-Group — це просто ребрендинг компанії Sincere Systems. Обидві є в списках сумнівних фінансових проєктів від національної комісії з цінних паперів та фондового ринку (НКЦПФР) та працюють за схемою фінансової піраміди.

S-Group — ребрендинг Sincere Systems

S-Group пише на своєму сайті про «багаторічну перспективу» і «щасливе майбутнє», проте сам проект з’явився буквально у 2021 році як ребрендинг попередньої фінансової піраміди — Sincere Systems.

В січні 2021 року НКЦПФР додала Sincere Systems у свій список сумнівних фінансових проектів, додавши посилання на головну сторінку їхнього сайту — https://sincere.systems/. Вже в червні 2021 НКЦПФР вдруге додав у список цей самий проект Sincere Systems, але вже за новим посиланням — https://s-group.io/. Тобто шахраї готувалися до ребрендингу й вже зробили нову адресу, проте не встигли поміняти назву.

S-Group має нові поштові адреси, з корпоративною поштою @s-group.io. Проте в розділі контактів досі висить назва Company Sincere Systems LTD, з тією ж реєстраційною адресою у Британії: 71-75 Shelton Street, London.

Крім того, над ребрендингом довго не думали (його власне й не сильно приховували), тож новий логотип практично ні чим не відрізняється від старого. (Зліва на зображенні — Sincere Systems, а справа — S-Group).

Шахраї працюють на території росії та Криму, проте мають офіси в Києві

S-Group позиціонує себе як «Британський інвестиційний фонд», проте абсолютно ігнорує британські санкції накладені на росію (хоч це й найменша проблема компанії). Вона працює як на території росії, включно з Москвою та іншими, меншими містами, так і на окупованих територіях України, наприклад в Севастополі, де остання зустріч була проведена буквально 19 листопада 2022 року.

Порушення санкцій та робота на окупованих територій абсолютно не заважає компанії безперешкодно проводити свої заходи в Рівному, Ужгороді, Луцьку та інших містах України.

Крім того, як пише портал Otziv-Broker, Sincere Systems наймала людей в Києві та, судячи з усього, тримала в столиці України офіс за адресою вул. Трускавецька, 2А. Проте після того, як компанія потрапила в списки НКЦПФР, всі вакансії було видалено.

Кінцевий власник компанії невідомий, адреса в Лондоні фіктивна

Офіційна адреса реєстрації компанії Sincere Systems — у Великій Британії: 71-75 Shelton Street, London, Greater London, United Kingdom, WC2H 9JQ. Там немає ніякого офісу, і як повідомляє rating-market, там просто знаходиться контора, яка продає реєстрацію за своєю адресою всього за 39 фунтів.

Якщо пошукати в британських реєстрах, то виявиться, що директором компанії є українка Мар’яна Ройтбурд (хоча в матеріалах S-Group її називають Маріанна). Вона, згідно з даними «Опендатабот», є власником, бенефіціаром, директором, або колишнім директором в загальному підсумку більш ніж 100 різних компаній.

Загальний спектр компаній, якими володіє Мар’яна Ройтбурд, охоплює ледве не всі можливі напрямки ведення бізнесу в Україні. Серед її компаній є «АГРОНАФТОПРОДУКТ», «ЛОМБАРД «ХРОНО 10:10», «МВЦ СЕРВІСБУД», «БІОФАРМАКОН», «ВІКОС ТРЕЙДІНГ». Тож, найімовірніше, вона просто фіктивний власник «Британського інвестиційного фонду», за який видає себе S-Group.

Роботів не існує, це просто фінансова піраміда

Формат роботи Sincere Systems передбачав грошові винагороди за залучення нових «інвесторів», а загалом компанія пропонує 15% місячного прибутку. Пояснюється така абсолютна нереальна прибутковість «використання інноваційного автоматизованого алгоритму», який виконує всю роботу за інвесторів.

Розробила цей алгоритм, за словами шахраїв, американська компанія de dios, яка нібито співпрацює з Crédit Agricole, JPMorgan та BNP Paribas. Проте жодних згадок про співпрацю цих фінансових установ з нікому невідомою de dios знайти не вдалось.

Зате вдалось знайти таблицю прибутковості, згідно з якою розмір прибутків залежить від твого «рівня». А наявність багаторівневої партнерської програми (MLM) у галузі інвестицій — пряма ознака фінансової афери.

Крім того, в S-Group зазначають, що статутний капітал компанії складає 5 млн фунтів стерлінгів (майже $6 млн), проте в документах, яку знайшов AIN.UA, статутний капітал складає всього 1 фунт.

Разом з AIN.UA експерти компанії SOC Prime розповідають, як організовують навчання з інноваційних технологій у кібербезпеці на базі українських вишів. А також про перспективи такої освіти.

Чому кіберзахисники зараз потрібні як ніколи досі

Американська воєнна доктрина відрізнялася далекоглядним мисленням та заздалегідь передбачила, що сучасна війна розгортатиметься у п’яти доменах: на землі, у воді, у повітрі, в космосі та у кіберпросторі. Останній вимір — неймовірно важливий, і це доводить не теорія, а реальність: адже поточна загроза третьої світової війни зародилася саме у кіберпросторі. 

За публічною інформацією ГУР, окупанти готували масштабні кібератаки довгий час, зокрема, спецслужби кремля заздалегідь планували масовані кібератаки на об’єкти критичної інфраструктури українських підприємств й установ критичної інфраструктури союзників України, що свідчить про розгортання векторів атаки світового масштабу в кіберпросторі.

російські спецслужби активно намагаються заподіяти шкоду українським держорганам, сервісам та інфраструктурі ще з 2014 року. Цьогоріч такі дії лише активізувалися і не вщухають від початку війни. Наприклад, 16 серпня стало відомо про потужну атаку на сайт НАЕК «Енергоатом», до якої росіяни залучили мережу з 7,25 млн ботів. 

За таких обставин попит на спеціалістів у кіберзахисті зростає. Цей тренд виходить за межі України: лише в США є дефіцит у 600 тис. спеціалістів з кіберзахисту. А за даними Cybersecurity Ventures, у період з 2013 до 2021 кількість незайнятих позицій, на які шукають і не можуть знайти людей, зросла на 350% у всьому світі — з 1 млн до 3,5 млн робочих місць. За прогнозом цієї ж організації, за 5 років попит на таких фахівців лишиться щонайменше на тому ж рівні.

Як задовольнити попит на кіберспеціалістів

«Недостатньо фокусуватися на перемозі тут і зараз, адже після перемоги України у війні загрози в кіберпросторі нікуди не зникнуть. А щоб і надалі панувати в цьому просторі, нам потрібно готувати кадри. Вже зараз час планувати майбутнє», — підкреслює Володимир Гаращенко, CISO SOC Prime. 

Найпростіший шлях до цього: піти до українських (а згодом і закордонних) університетів та запропонувати студентам вивчати передові технології кіберзахисту не в теорії, а на практиці. Саме цим і займається команда SOC Prime.

Які нові технології з кіберзахисту викладатимуть в університетах

Компанія наразі організовує навчання у двох українських вишах: Cyberport Institute at Biotech, що працює при Державному біотехнологічному університеті, та Волинському національному університеті імені Лесі Українки. Але з часом перелік закладів освіти та форм співпраці може розширитися.

Йдеться не про загальне навчання основ кібербезпеки або теорікрафтинга — цього в сучасних вишах і так достатньо, а про опанування таких технологій, як мова Sigma та фреймворк MITRE ATT&CK®, про які ми детальніше вже розповідали раніше.

Sigma, як універсальна мова для кіберекспертів на відкритому коді, дає змогу писати сигнатури (як у базах антивірусів) під будь-які системи моніторингу та реагування на події інфобезпеки під будь-яку технологію. Вони дозволяють виявляти підозрілі активності та детектувати різноманітні загрози в IT-інфраструктурі бізнесу чи організації.

Експерти SOC Prime одними з перших у світі почали застосовувати Sigma-правила для ідентифікації загроз, а також першими поєднали Sigma із фреймворком ATT&CK, який фактично є величезною бібліотекою знань про вже відомі загрози. Комбінація Sigma з ATT&CK фактично дає величезну базу знань про кіберзагрози разом із засобом її постійного поповнення. 

І ще один плюс Sigma: вона відносно проста і може слугувати «точкою входу» до кібербезпеки, якщо в людини вже є певні знання в IT. 

«Коли людина опанує Sigma, після цього вона вже може спеціалізуватись у кібербезпеці й далі. Це можна порівняти з іграми RPG: спочатку прокачуєш базові характеристики, а потім вже конкретні навички. На відміну від Yara від Google, яка дуже складна і спеціалізується лише на файлах, чи Snort, яка працює лише з мережевими пакетами, Sigma — універсальна. Тобто її вивчення — це оптимальна точка входу в професію», — говорить CEO SOC Prime Андрій Безверхий.

Студентам пропонуватимуть отримати практичні навички з технологій Sigma та ATT&CK, а також навчитися працювати з платформою й продуктами SOC Prime. 

Як проходитиме навчання

Базова ідея курсу — дати студентам ті знання та навички, які підготують до справжньої роботи. 

«У нас в багатьох університетах досі вивчають теорію, протоколи, порти, шифрування на папері, у конспектах. Водночас освітяни розуміють це відставання і хочуть давати студентам актуальні знання. На цьому й побудована наша співпраця», — пояснює Безверхий. 

Це не буде окремий курс, на який можна записуватися, а скоріше — лекції та практичні заняття у межах поточних курсів. Наприклад, одна лекція із Sigma та одна з ATT&CK на тиждень. 

Завдання під час курсу будуть як і теоретичними, так і практичними. Наприклад, студентам пропонуватимуть взяти участь у перекладі ATT&CK-матриці на українську мову. Цією локалізацією опікується SOC Prime, і ці матеріали українською перекладаються вперше. Або ж потрібно буде написати Sigma-правило, що стосуватиметься певної загрози, і розмістити його у Threat Bounty-спільноті.

«Оскільки всі наші інструменти викладені онлайн, для виконання лабораторних достатньо буде доступу в інтернет. Завдання будуть найрізноманітніші. Від простих, на кшталт: ось тобі IoC, напиши Sigma-правило для нього і запость у Slack-бот, він перевірить синтаксис та надасть фідбек. І до складних, як-от: проаналізуй статтю на CERT-UA або звіт про свіжу загрозу і розроби з неї Sigma-правила», — розповідає Ігор Волошин, керівник проектів співпраці з університетами.

Ті студенти, які продемонструють бажання й хист вивчати нові технології, а також підтвердять вміння ними користуватись, після закінчення курсу отримають сертифікати. Сертифікати із Sigma підпишуть їм творці цієї мови — Флоріан Рот та Томас Патцке, які входять до наглядової ради SOC Prime. 

Курси зазвичай платні, і коштують $400-500, але компанія планує видавати гранти на них тим студентам, які справді зацікавляться цією методологією. Але, як попереджає Безверхий, до цього слід буде докласти зусиль:

«Просто прочитати документацію по «мітрі» і все, я знаю кунгфу — так не вийде. Потрібно вже мати якусь базу в IT, щоб добре зрозуміти цей фреймворк. Але воно того варте: ATT&CK фреймворк — це відкрита база знань про кібератаки, винайдена у 2015 році. Уперше в Україні її використала саме наша команда для атрибуції атаки NotPetya до угрупування Sandworm у червні 2017. Це фактично періодична система елементів для кібербезпеки. І ми готові підтримати грантами тих студентів, які по-справжньому зануряться в її вивчення».

Які це відкриє перспективи

За даними Fortune, світовий дефіцит фахівців із кібербезпеки зумовлюється і тим, що компаніям та організаціям потрібні люди з доведеним рівнем експертизи та практичними навичками. Зокрема, сертифіковані спеціалісти. 

На сьогодні Sigma та ATT&CK — одні з технологій у кібербезпеці, якими за нашою статистикою користуються 80% компаній, що входять до переліку Fortune 100 та Forbes Global 2000. Sigma користуються у ФБР та в Канадському центрі кіберзахисту (CCCS), а Агентство з Кібербезпеки та Безпеки Інфраструктури США (CISA) визначає ATT&CK «глобальною базою даних з поведінки зловмисників, засновану на реальних спостереженнях».

За словами CEO SOC Prime, навіть серед клієнтів самої компанії є запит на спеціалістів, що розуміються на таких технологіях. 

«Нещодавно спілкувалися з одним із топових банків: на кібербезпеку їм потрібно 15 людей, які добре знають ці технології. Ще один відомий банк нам казав, що Sigma — це занадто disruptive для них. А третій — що вже три роки працює з цією технологією та автоматизував інтеграцію по CI/CD. І це при тому, що банківська галузь — одна з найконсервативніших», — говорить Андрій Безверхий.

Окрім працевлаштування, знання цих технологій дасть студентам й інші можливості заробляти. Наприклад, учасники програми Threat Bounty, яку проводить SOC Prime, пишуть правила для Sigma та отримують змогу публікувати їх після верифікації експертами на першій у світі платформі колективного кіберзахисту. Ті правила, які виявляються найкориснішими, дають їхнім авторам можливість непогано заробити: виплати за цією програмою іноді сягають $2000-3000 на місяць.  

Які плани

«Загальна ідея: нам потрібно виростити покоління інженерів, які забезпечуватимуть кіберзахист нашої держави та її критичної інфраструктури, а також опікуватимуться кібербезпекою по всьому світі. Таких людей нам зараз дуже не вистачає. А для них вивчення цих технологій — це відкритий шлях до безпекових відділів топових українських та світових компаній, державних установ, а також ініціатив на кшталт Threat Bounty», — підсумовує Андрій Безверхий, CEO SOC Prime. 

За оцінкою команди SOC Prime, світовим компаніям та організаціям із кібербезпеки потрібно 3 млн фахівців з ATT&CK та Sigma. Компанія планує долучитися до підготовки частини цих спеціалістів. Адже курси, які зараз запускаються в українських університетах, з часом зможуть масштабувати, перенести за кордон — у виші Британії, США, Польщі, Нідерландів та інших країн. Їх можуть повністю оцифрувати та зробити з них онлайн-курси, тож ці технології зможуть вивчати всі охочі. 

Кібератаки продовжилися і з початком повномасштабного вторгнення росії в Україну. У відповідь на економічні санкції з боку союзників України агресор атакував Латвію, Німеччину, Велику Британію та продовжує використовувати кібератаки як один з методів ведення війни у глобальному масштабі. Тож, коли подібні атаки називають кібервійною, це вже не метафора. 
У партнерстві з компанією SOC Prime, що дозволяє підприємствам і громадським організаціям проактивно захищатися від кіберзагроз, AIN.UA розповідає про те, якими засобами та зброєю точиться сучасна кібервійна і як максимально убезпечити себе та бізнес за таких обставин.

Кібератаки — один із п’ятьох доменів сучасної війни

Згідно з воєнною доктриною США, атаки ворога можуть відбуватися у п’ятьох доменах — залежно від того, де і чим ведуться бойові дії. До цих доменів входять операції на землі, на воді, у повітрі, у космосі та в кіберпросторі. 

Кібервійна та атаки у кіберпросторі можуть завдавати цілком реальних збитків: згадаймо кейс із вірусом BlackEnergy 3, за допомогою якого російські хакери здійснили першу у світі підтверджену атаку для виведення з ладу енергосистеми ще у грудні 2015 року. Тож українська влада та приватні компанії у сфері кіберзахисту задовго до початку повномасштабної війни почали сприймати цей домен серйозно. 

За словами Андрія Безверхого, CEO SOC Prime, те, що можна зараз бачити на кіберфронті від росіян — це результат 30-річної стратегії, усього, що ворог акумулював за останніх 30 років, і зараз пустив у бій. 

«Вони методично виростили ціле покоління людей, яким вкладали в голову: не платіть Заходу, там вороги, юзайте кряки. Якщо в усьому світі хакінг — це наука та дослідження невідомого, у них це все відбувається під егідою ФСБ. І вони ні на мить не зупинялися в обкатуванні атак проти України з 2014 року, а то й раніше», — говорить він.

Що держава та бізнес можуть протиставити цій навалі? 

На думку експерта, це має бути система ефективного колективного кіберзахисту, заснована на використанні найсучасніших технологій, методологій та практик. У кіберпросторі швидкість та точність — абсолютно критичні. Постійна та ефективна взаємодія профільних державних служб, приватного бізнесу, кіберфахівців та громадянського суспільства — це необхідна умова для створення надійної системи кіберзахисту. Адже західні країни розглядають Україну в цій війні як безстрашну захисницю демократичних цінностей.

Як захищатися на рівні компанії та на рівні держави?

Для окремих компаній та організацій кіберзахист — це передовсім дотримання світових рекомендацій. Зараз світові експерти з кібербезпеки та інформаційної безпеки складають рекомендації безпосередньо на матеріалі нашої війни. 

Один із прикладів: практики захисту на кібервійні ShieldsUp від американського інституту SANS Institute. Документ описує ключові техніки й тактичні прийоми захисту в умовах кібервійни, які дозволять не лише зупинити ворога, але й створити механізми якісної реакції у відповідь. Це чіткі прикладні інструкції, як терміново убезпечити онлайн інфраструктуру організації від потенційних атак: установка патчів, контроль вхідного трафіку, моніторинг телеметрії від еджу до хмарної інфри, додатків тощо. І ці рекомендації вже перекладені українською. 

На державному рівні одним з основних суб’єктів національної системи кібербезпеки, який відповідає за кіберзахист, є Державна служба спеціального зв’язку та захисту інформації (Держспецзв’язку).
У зоні відповідальності Держспецзв’язку — кіберзахист державних інформаційних ресурсів та об’єктів критичної інфраструктури; формування і втілення державної політики у сфері кіберзахисту; надання безперебійного захищеного зв’язку для вищих осіб держави; регулювання у сфері технічного та криптографічного захисту інформації, електронних комунікацій. Більше про функції Держспецзв’язку та участь України в кібервійні можна почитати тут.

CERT-UA — це Урядова команда реагування на комп’ютерні надзвичайні події України,  яка займається, у тому числі практичною допомогою з питань запобігання, виявлення та усунення наслідків кіберінцидентів для об’єктів кіберзахисту. 

Команда була створена в складі Держспецзв’язку ще 2007 року, а у 2009 стала акредитованим членом Форуму команд реагування на інциденти безпеки FIRST. 2014 року, коли росія напала на Україну, про CERT-UA заговорили голосніше, адже тоді ця команда запобігла спробі російських хакерів дискредитувати українські президентські вибори (саме тоді по їхніх федеральних каналах прогнали фейк про те, що на виборах переміг начебто Дмитро Ярош). 

З початком повномасштабного вторгнення значно збільшився обсяг роботи для цих організацій. Їм допомагає бізнес: в Україні IT, зокрема, кіберзахист, традиційно мають фахівців світового рівня. Зараз багато українських хайтек-компаній запропонували допомогу державі у стримуванні кібернаступу. Тим паче, що на думку Андрія Безверхого, колективної та централізованої системи кіберзахисту не існує у світі. Немає «кіберНАТО», хоча про необхідність колективного кіберзахисту вже почали говорити на міжнародній арені. А створення ефективної системи можливе лише через партнерство приватного та державного секторів.

«Є атаки, від яких жоден ентерпрайз у світі, жодна держустанова просто не зможуть відбитися власними силами. Але це можливо за допомогою колективного кіберзахисту, до якого мають долучитись всі: приватний бізнес та держава, світова спільнота фахівців із кібербезпеки та айтівців. Наша ж компанія виступає одним з основних каталізаторів у цьому процесі. Ми — як агенти “Щита”: захищаємо, але лишаємося в тіні», — говорить він.

SOC Prime активно співпрацює зі Держспецзв’язку та командою CERT-UA з початку повномасштабної війни. Взаємодія йде по багатьох напрямках як зі Службою, так і з партнерами світового рівня, наприклад Cisco, Microsoft та українською MDR компанією UnderDefense. У червні SOC Prime отримала відзнаку від Служби за допомогу.

Ще один плюс, який можуть державі запропонувати приватні компанії — найсучасніші (як і в агентів «Щита») технології захисту. У випадку SOC Prime йдеться про комбінацію можливостей мови Sigma та технології MITRE ATT&CK.

Що таке Sigma та MITRE ATT&CK® — «періодична таблиця» сучасних кіберзагроз

Sigma, спільна мова для кіберекспертів усього світу на відкритому коді, з’явилась ще 2016 року. Саме тоді розробники Флоріан Рот (Florian Roth) та Томас Патцке (Thomas Patzke) зробили перший коміт до GitHub-репозиторію SigmaHQ. Як вона працює?

Звичайні антивіруси працюють із базами сигнатур (характерних ознак) усіх відомих загроз, які мають постійно оновлюватись. Бази сигнатур пропрієтарних антивірусів та їхніх сучасних спадкоємців EDR (Endpoint Detection and Response) зазвичай закриті, і простий користувач спостерігає лише результат їхнього застосування. Якщо ж людина знає Sigma, вона самостійно може писати сигнатури для будь-якої кіберзагрози, яка або вже була реалізована, або потенційно може з’явитись, і додавати власні сигнатури до спільної бази. 

Фактично Sigma дозволяє написати поведінкову сигнатуру під будь-яку технологію, від локальних журналів подій Microsoft Windows чи Sysmon до телеметрії AWS, чи контейнерів Docker, і це надає змогу визначати, що саме і де пішло не так. Умовно, адмін компанії бачитиме: оце нам надсилають фішинг через URL в імейлі, а це намагаються використати 0day-експлойт проти нашого вебдодатка чи обходять багатофакторну автентифікацію (MFA) до нашого Slack-месенджера. 

Експерти SOC Prime одними з перших у світі почали застосовувати Sigma-правила для ідентифікації загроз та побудови ефективного кіберзахисту клієнтів. Також вони першими придумали поєднати Sigma із фреймворком MITRE ATT&CK®, який фактично є класифікацією технік та засобів кіберзловмисників, величезною бібліотекою знань про вже відомі загрози. Його розробила компанія MITRE, але як і Sigma, це — відкритий проєкт, а отже його постійно розвиває спільнота кіберекспертів з усього світу. 

Sigma-правила регулярно рекомендують як один зі способів підтвердження та попередження кібератак такі організації, як ФБР або Канадський центр кіберзахисту (CCCS). А американське державне Агентство з Кібербезпеки та Безпеки Інфраструктури (CISA) називає ATT&CK «глобальною базою даних з поведінки зловмисників, засновану на реальних спостереженнях». 

«До MITRE ATT&CK рівень зрілості в кібербезпеці був таким самим, як у фізиці та хімії до періодичної таблиці. Це систематизовані знання з усіх кібератак, які відбуваються у світі. Тож поєднуючи Sigma та MITRE ATT&CK, ми отримуємо мову й методологію для їхньої систематизації та боротьби з ними», — пояснює Безверхий.

Як це працює на практиці? Якщо згадувати сумнозвісну атаку NotPetya, сигнатури Sigma для детектування цієї загрози створили один із засновників Sigma Флоріан Рот (Florian Roth) та кіберексперт Том Уелчі (Tom Ueltschi). А команда SOC Prime використала їх для допомоги жертвам на місцях, комбінуючи Sigma-правила з технологіями MITRE ATT&CK і Lockheed Martin Cyber Kill Chain (LMCKC). Тоді алгоритми Sigma, скомбіновані з MITRE ATT&CK, вперше у світі успішно використали для ідентифікації та атрибуції реальної загрози. 

Під час атаки Sandworm проти об’єктів енергетичної інфраструктури України у квітні 2022 року з 13 методів, які в ній використовувалися, команда SOC Prime зуміла за допомогою цього методу побачити дев’ять, при тому, що сигнатури для атаки були розроблені ще 2020 року. 

Зараз компанія є одним із визнаних світових експертів у використанні Sigma та MITRE ATT&CK для ідентифікації загроз: у травні цього року CEO компанії виступав із доповіддю на IX Міжнародній конференції Ninth EU MITRE ATT&CK Community Workshop у Брюсселі. Там він говорив про застосування Sigma та ATT&CK у боротьбі з нещодавніми кібератаками росіян, використання фреймворку як одного з основних інструментів колективного кіберзахисту та важливість останнього для боротьби із кіберзагрозами глобального масштабу.  

Тепер ці технології поставлені на службу державі.

Як технології допомагають Україні у боротьбі з ворогом

З початком повномасштабної війни CEO SOC Prime звернувся до Держспецзв’язку та запропонував використовувати для захисту цю технологію, вже випробувану в польових умовах зв’язку — Sigma, поєднану з MITRE ATT&CK.  

«Ми пояснили, що у нас є найбільший набір сигнатур від ворога, і ми готові їх надавати компаніям по всій Україні. Також допомагаємо зі встановленням та налаштуваннями, навчаємо спеціалістів, і 99% цього робимо безкоштовно. Тож почали працювати із командами Держспецзв’язку та CERT-UA», — пояснює Безверхий.

Командам Державний центр кіберзахисту (ДЦКЗ) та CERT-UA компанія надає повний і безкоштовний доступ до своїх технологій захисту і, за потреби, проводить відповідні профільні навчання. Якщо до SOC Prime, наприклад, за рекомендацією Держспецзв’язку звертаються представники об’єктів критичної інфраструктури (енергетичні компанії, пошта, транспорт, зв’язок тощо) — команда надає базові технології для захисту від ворога. Багатьом українським компаніям SOC Prime зараз допомагає pro bono.

«Держспецзв’язку не вписується у сформований образ типової державно-бюрократичної установи. Процеси в службі демократичні: вони радять, а не примушують, спрямовують, а не нацьковують. Компанії вже самі обирають оптимальну  для себе модель захисту. Це, мабуть, і відрізняє нас від росіян. Окрім технологій ми також консультуємо людей: бо на місцях, у тих же міськрадах або лікарнях, технічних спеціалістів, на жаль, поки не так багато», — розповідає CEO SOC Prime.

Держспецзв’язку, окрім іншого, є регулятором у сфері захисту інформації та зв’язку встановлених законом. Також Служба надає допомогу всьому українського бізнесу, адже всі мають бути захищені — це і є ознака кіберстійкості держави.

За словами експерта, надсучасні технології, якими ворог атакує у кіберпросторі — це міф. У кібервійні вони використовують саме те, чим світ користується роками. Якби усі держустанови та приватні компанії почали використовувати Sigma з ATT&CK, автоматизували блокування найпоширеніших методів переміщення всередині мережі (Lateral Movement) і почали б обмінюватися даними про інфраструктуру ворога — будь-яку атаку можна було б виявити за секунди й одразу бачити, хто і чим атакує, та ще й автоматично блокувати. Але на сьогодні це лише візія ідеального майбутнього, яке може реалізуватися за три або п’ять років. 

Щоб наблизити це майбутнє, спільноті кіберзахисників треба піклуватися про підготовку та підтримку спеціалістів, які знаються на нових технологіях. Один зі шляхів до цієї мети — баунті-програми.

Як працює програма Threat Bounty і чим відрізняється від Bug Bounty

Протистояння кібератаці починається з її ідентифікації — без цього весь процес боротьби з атаками не має сенсу. Понад 30 років індустрія кіберзахисту загалом пропонувала винагороди (баунті) за те, щоб спеціалісти намагалися знайти слабкі місця (баги) у захисті мереж, сайтів та сервісів. Легалізація Bug Bounty програм в Україні — це важливий та довгоочікуваний крок у підвищенні кібербезпеки держави.

Зараз настає час програм для тих, хто вміє «побачити» і описати атаку. Це просто інший бік монети, як пояснює Безверхий, адже для ефективної боротьби з кібератаками потрібно, щоб тих, хто описує захист, було не менше, аніж тих, хто описує напад. 
За словами Алли Юрченко, координаторки програми Threat Bounty, яку втілює SOC Prime, її відмінності від Bug Bounty: відкритість, відсутність нормативних обмежень, націленість на користь для ком’юніті, а також універсальний підхід.

«Bug  Bounty — це залучення ком’юніті експертів до пошуку та тестування вразливостей у продукті, тоді як Threat Bounty — це краудсорсинг експертизи написання алгоритмів детектування кіберзагроз. Тобто у випадку Bug Bounty фахівці отримують винагороду за знайдені недоліки та вразливості. Натомість у Threat Bounty учасники отримують змогу заробляти на створенні алгоритмів виявлення загроз за допомогою універсальної мови Sigma. При цьому рівень винагороди визначає кіберспільнота, враховуючи світові тренди та актуальні потреби індустрії», — говорить вона.

У випадку Bug Bounty також учасники програми зв’язані NDA та обіцянками вендору: поки він не пропатчить знайдену «діру», розповідати про неї не можна. Знання, отримане в процесі Threat Bounty, доступне у загальній «бібліотеці», і все ком’юніті може користуватися ним, поширювати та збагачувати його. 

Наприклад, загальна кількість учасників спільноти, яка бере участь у програмі SOC Prime, — приблизно 600 людей, і це число тільки зростатиме. За весь час існування програми її учасникам виплатили понад $377 000, причому в окремих випадках виплати досягали $2700 щомісяця — а це вже можна порівняти із фултайм-роботою. До того часу як компанія підняла інвестиції — платила експертам зі своїх прибутків, а згодом інвестор підтримав цю ініціативу. Також SOC Prime веде діалог з Google та Microsoft, щоби вони долучилися як спонсори. 

«Навіть якщо завтра Мордор самознищиться, кібервійна все одно триватиме. І Україні слід уміти захищатися. Тому нам потрібно готувати кадри, які займатимуться цим захистом у майбутньому», — підсумовує Безверхий. 

Збільшення кількості експертів, які знаються на новітніх технологіях, що здатні ідентифікувати та класифікувати будь-яку загрозу за секунди, справді потрібне світу. І зокрема, потрібне Україні, яка перебуває зараз у стані війни і захищається по всіх доменах: від землі й до космосу та кіберпростору. 

• Як зазначається, хакери зі Львова зламали понад 30 млн акаунтів громадян України та ЄС.
• Отримані за допомогою шкідливого ПО персональні дані угруповання продавало через даркнет.
• За такі дії зловмисники одержали «прибуток» у розмірі майже 14 млн грн. Кошти від продажу вони отримували на заборонені в Україні електронні платіжні системи «ЮMoney», Qiwi та WebMoney.

• За інформацією СБУ, «оптовими клієнтами» хакерів були прокремлівські пропагандисти.

«Саме вони використовували одержані установчі дані українських та іноземних громадян для поширення фейкових «новин» з фронту та створення панічних настроїв. Метою таких маніпуляцій була масштабна дестабілізація в країнах. Також встановлено, що зламані акаунти використовували нібито від імені пересічних людей для поширення дезінформації щодо суспільно-політичної ситуації в Україні та ЄС», – зазначили в відомстві.

Організатору протиправних дій повідомлено про підозру за ч. 1 ст. 361-2 (несанкціоновані збут або розповсюдження інформації з обмеженим доступом, яка зберігається в електронно-обчислювальних машинах (комп’ютерах), автоматизованих системах, комп’ютерних мережах або на носіях такої інформації) Кримінального кодексу України. Слідчо-оперативні дії тривають.

Невідома особа, яка взяла на себе відповідальність за злом, надіслала скріншоти електронної пошти, хмарного сховища та сховищ коду дослідникам кібербезпеки та The New York Times.

«Вони мають майже повний доступ до систем Uber», — сказав Сем Каррі, інженер безпеки в Yuga Labs, який листувався з хакером.

В Uber заявили, що компанія розслідує порушення та зв’язується з правоохоронними органами. Співробітники Uber отримали вказівки не використовувати внутрішню службу обміну повідомленнями Slack і виявили, що інші внутрішні системи недоступні. Це підтвердили двоє співробітників компанії.

Незадовго до того, як систему було виведено з ладу, співробітники Uber отримали повідомлення: «Я хакер, Uber зазнала витоку даних». У повідомленні йшлося про кілька внутрішніх баз даних, які, як стверджував хакер, були зламані.

За словами речника Uber, хакер зламав обліковий запис працівника Slack і використав його для відправки повідомлення. Виявилося, що пізніше хакер зміг отримати доступ до інших внутрішніх систем, опублікувавши відверту фотографію на внутрішній інформаційній сторінці для співробітників.

Людина, яка взяла на себе відповідальність за злам, повідомила The New York Times, що надіслала текстове повідомлення працівнику Uber, назвавши себе співробітником корпоративних інформаційних технологій. Працівника переконали передати пароль, який дозволив хакеру отримати доступ до систем Uber. Цей метод називається соціальна інженерія.

«Кількість таких атак з метою потрапити в системи технологічних компаніях зростають», — сказала Рейчел Тобак, виконавчий директор SocialProof Security. Тобак пригадала злом Twitter у 2020 році, коли підлітки використовували соціальну інженерію, щоб проникнути в компанію. Подібні методи використовувалися під час нещодавніх зломів у Microsoft і Okta.

Хакер, який надав скріншоти внутрішніх систем Uber, щоб продемонструвати свій доступ, сказав, що йому 18 років і він кілька років працював над своїми навичками кібербезпеки. Він сказав, що зламав системи Uber через слабку безпеку компанії. У повідомленні Slack, яке оголосило про порушення, він також написав, що водії Uber повинні отримувати вищу платню.

Схоже, що хакер мав доступ до вихідного коду Uber, електронної пошти та інших внутрішніх систем, сказав Сем Каррі. У внутрішньому електронному листі, з яким ознайомилася The New York Times, керівник Uber повідомив співробітникам, що злом розслідується. «На даний момент ми не маємо приблизних даних про те, коли буде відновлено повний доступ до інструментів, тому дякуємо за терпіння», — написав Лата Маріпурі, головний спеціаліст з інформаційної безпеки Uber.

Це не перший випадок крадіжки даних з Uber. У 2016 році хакери вкрали інформацію з 57 мільйонів облікових записів водіїв і пасажирів, а потім звернулися до Uber і вимагали 100 000 доларів за видалення їхньої копії даних. Uber організував платіж, але зберігав порушення в секреті більше року.

Джо Саллівана, який на той час був головним керівником служби безпеки Uber, звільнили за його роль у відповіді компанії на хакерську атаку. Пан Салліван був звинувачений у перешкоджанні правосуддю за те, що він не повідомив про порушення регуляторним органам, і зараз його судять.

Фейковий додаток «Азов»

Це перший відомий випадок, коли Turla розповсюджує шкідливе програмне забезпечення, пов’язане з Android. Програма не розповсюджувалася через Google Play Store, а розміщувалася на приватному домені. Поширенням додатка займались в месенджерах і соціальних мережах

Фейковий додаток «Азову» поширюється під виглядом програми для виконання атак типу «відмова в обслуговуванні» (DoS) проти ряду російських сайтів. Однак «DoS» складається лише з одного запиту GET до цільового сайту, чого недостатньо, щоб бути ефективним. Список цільових сайтів для програми можна побачити в CyberChef за посиланням.

При цьому у Google вважають, що розповсюдження фейкового додатка не мало серйозного впливу на користувачів Android і що кількість встановлень була незначною.

Інші кіберзагрози з боку росії

Крім поширення вищезгаданого додатка в Google виявили й інші спроби російських та білоруських спецслужб (а також підконтрольних їм хакерських груп) завдати шкоди українським користувачам. Ось найсерйозніші з них:

• Вразливість Follina (CVE-2022-30190), вперше оприлюднена наприкінці травня, активно використовувалася групами кіберзлочинців протягом всього червня. Згідно зі звітом CERT-UA, кілька російських агентів ГРУ РФ — APT28 і Sandworm — проводять кампанії, використовуючи цю вразливість. Кампанія Sandworm використовувала скомпрометовані державні облікові записи для надсилання посилань на документи Microsoft Office, розміщені на скомпрометованих доменах, головним чином націлюючись на медіаорганізації в Україні.
• Ghostwriter/UNC1151, загроза, яку приписують Білорусі, продовжує активну діяльність, націлюючись на облікові записи пошти та акаунти соціальних мереж польських користувачів. Для цього вони продовжують використовувати техніку фішингу «Браузер у браузері».
• COLDRIVER, російська хакерська група, продовжує надсилати фішингові електронні листи до цілей, зокрема до урядовців і чиновників оборони, політиків, та аналітичних центрів, а також журналістів. Окрім фішингових посилань безпосередньо в електронному листі, зловмисники також посилаються на PDF-файли та/або DOC, розміщені на Google Drive та Microsoft One Drive, які містять посилання на контрольований зловмисником фішинговий домен. Ці фішингові домени було заблоковано Google Safe Browsing – службою, яка визначає небезпечні веб-сайти в Інтернеті та сповіщає користувачів і власників веб-сайтів про потенційну шкоду.

• Фальшиві вербувальники представлялися співробітниками компанії під назвою Sigma Software Solutions, розташованої в Торонто.
• Вони зверталися до кандидатів на посади frontend- та backend-розробників, а також публікували свої пропозиції роботи на Indeed.
• При цьому вони прикривалися, використовуючи справжніх співробітників.

З кандидатами по телефону співбесіду провела фальшива особа, яка видавала себе за керівника Sigma Software Canada Ханну Абдель Хамід. Після співбесіди кандидати отримували офіційні пропозиції роботи електронною поштою за підписом Максима Почебута, який насправді є Chief Learning Officer у Sigma Software. Кандидатів просили надати офіційні документи, такі як дипломи, посвідчення особи тощо.

Після цього їх попросили зв’язатися з Ханною через фейковий обліковий запис в Telegram, щоб отримати допомогу в організації своїх офісів. Кандидати отримували підроблені чеки на суму до $3 000 для придбання обладнання через свого постачальника.

На жаль, деякі жертви купили підроблене обладнання, чеки повернулися, і вони втратили свої гроші. Шахраї використовували фотографію та ім’я Ханни у підробленому акаунті Telegram та в своїх електронних листах.

«Ми розуміємо, що ця ситуація торкнулася багатьох талановитих і невинних людей. Хочемо повідомити, що органи влади вже повідомлені. Наша компанія погоджується співпрацювати з офіційним слідством для надання всієї необхідної інформації, яка може розкрити правду, знайти шахраїв і відновити справедливість», – кажуть в компанії.

Ні Ханна Абдель Гамід, ні Максим Почебут не працюють у Sigma Software Solutions. Вони працюють у шведсько-українській ІТ-компанії Sigma Software Group, співбесіди з якою завжди проводяться через Microsoft Teams або Zoom, а не телефоном чи Telegram, наголошують в компанії Sigma Software Group.

Матеріал за 10 секунд

Проект створений неіснуючою студією, куди йдуть гроші — невідомо, засновник проекту — росіянин, один з співзасновників — білорус. Все вказує на те, що кошти йдуть не на благодійність, а на рахунки засновників. 

Чому це важливо: повномасштабне вторгнення консолідувало українців, але знайшлись й ті, хто прагне на ній нажитись нажитись. Ми закликаємо надсилати кошти лише перевіреним фондам чи тим, кого знаєте. 

З початком повномасштабного вторгнення українці почали шукати взагалі всі можливі способи залучати кошти, аби передати їх на ЗСУ чи гуманітарні потреби. Одним з форматів стало цифрове мистецтво — NFT-колекції, продаючи які компанії та художники передавали прибуток на потреби місцевих фондів. Питанням часу став момент, коли цим захотіли б скористатись шахраї. 

Ідея проекту ZelenskiyNFT від студії IamUkraine — продаж зображень президента України Зеленського. У колекції — 10 000 NFT, продають їх через найпопулярнішу у світі платформу для продажу/купівлі NFT — OpenSea. Мета проекту — зібрати кошти на потреби благодійних фондів у Україні та Європейському союзі. Більш глибоке дослідження ZelenskiyNFT виникає занепокоєння, що ця легенда не відповідає дійсності. 

IamUkraine

Найперше питання виникає до студії IamUkraine, яка придумала проект. Справа в тому, що поза межами ZelenskiyNFT її просто не існує. Ми шукали у всіх відомих базах компаній, розпитували учасників ринку: IamUkraine ніхто не знає, це студія-привид. Більше того, у неї навіть сайту свого власного немає: лише проект з NFT про Зеленського. 

Фактично студія IamUkraine є лише у пресрелізах про сам NFT-проект. До останніх також чимало питань. 

Рекламний посів

Ми переглянули десятки згадок ZelenskiyNFT на різноманітних сайтах. Всі матеріали — це переважно платна реклама з відповідними позначками, або ж копія пресрелізу без змін, що також натякає на платне розміщення. Усі тексти однакові: унікальність колекції, допомога Україні, коли і як можна буде купити NFT. Нам не вдалось знайти авторської історії про колекцію від зацікавленого журналіста. Підозріло, як для настільки «великого» проекту. 

Окрім того, ZelenskiyNFT закупив рекламу у блогерів. Як і у попередньому випадку, всі пости ідентичні, майже нічим не відрізняються: «мої друзі запустили проект на підтримку України, давайте їх підтримувати разом». Жодної унікальної історії. Натомість — чимало нестиковок. 

Куди йдуть гроші

Риторика проекту змінюється в залежності від того, як і на кого орієнтоване повідомлення. У всіх повідомленнях блогерів вказується, що частину коштів передадуть на потреби української армії. У той же час на сайті та у пресрелізах говориться, що ZelenskiyNFT — спрямований на гуманітарні потреби проект, військові цілі підтримуватись не будуть. При цьому лише 60% заявлені як кошти, що перекажуть до фондів чи благодійних ініціатив, інші 40% забере команда ZelenskiyNFT. 

На момент підготовки матеріалу команда Molfar також помітила, що всі отримані від продажу кошти були виведені на одну адресу, тоді як попередньо проект заявляв про автоматичний розподіл отриманих коштів благодійним організаціям. Команда ZelenskiyNFT заявила, що така відмова продиктована «багатьма причинами» (звичайно, без пояснення кожної з них) і отримані кошти відправлятимуться в ручному режимі. Чи були на цей момент котрійсь з благодійних організацій передані гроші — невідомо. Фактично зараз вони виводяться на персональні гаманці. 

Цим вже обурилась спільнота ZelenskiyNFT, але якихось конкретних пояснень учасникам не вдалось. 

російський слід

Вивчаючи матеріали IamUkraine і ZelenskiyNFT ми помітили ще кілька важливих елементів рекламної кампанії та підтримки спільноти, які не можуть викликати питань. 

• Риторика. ZelenskiyNFT пише, що знаходиться поза політикою, хоча їх символ — президент України. В проплачених постах блогерів використовується наратив «ми проти підливання масла у вогонь» — чисто російська історія про «есть хорошие русские», «воюет не россия, а путин». 
• Мова. У ZelenskiyNFT є канали в Telegram та Discord публікації виходять російською та англійською. Канал для спілкування українською називається «украинский канал», а при цьому апдейти виходять російською. Пости в соцмережах українською зроблено (1, 2) за допомогою автоматичного перекладача або ж людиною, яка не знає української. 

Ці два прості факти можуть вказувати, що засновники проекту — росіяни. Так і трапилось. 

На сайті ZelenskiyNFT кидається в очі, що рубрика «команда» описана так, наче про команду і знати нічого не потрібно. Реальних облич — немає, натомість — цифрові аватари, ще й розроблені безкоштовним сервісом (вказує на небажання зайвий раз витрачатись). Серед контактів — лише телеграм, ніяких соцмереж. Імена — вигадані: Твен, Володимир, Ді & Ліон — підбірка що треба. Хто ці люди — взагалі не відомо і не зрозуміло. Але ми їх знайшли. 

• Єдина людина, що засвітила своє ім’я у офіційних пресрелізах — Володимир Самойленко. На сайті компанії вказано, що він керівник проекту, така ж інформація є і у інших відкритих джерелах. Знайти країну походження Володимира не вдалось, але є підозра, що це ледь не єдиний українець у ZelenskiyNFT. Саме тому його ім’я, на відміну від інших, показали.
• Власник проекту, той самий Твен — Бойко Максим Олександрович, родом з Калінінграду. Якийсь час тому він переїхав до Праги, де й проживає зараз. Нам вдалось знайти його через публікації у сервісах Meta: тільки на його Instagram підписаний акаунт ZelenskiyNFT, а   обліковий запис Max Twain у FB відмічено на фото від 2018 у Празі з трьома іншими людьми під їх реальними іменами; також відзначений на груповому сімейному фото (1, 2, 3) від 2017 року з дружиною Альоною Хлистуновою, братом Едгаром Алояном та його дружиною Петрою Алоян. Едгар Алоян — непростий чоловік: у 1990-х займався криміналом у Новокузнецьку, росія. З 1996 перебуває в розшуку в республіці Вірменія за дезертирство, в 2018 перебував на спецобліку у РФ як екстреміст. Зараз проживає у Чехії, де, за його словами, займається благодійністю, однак звітів щодо наданої допомоги не публікував. 
• Дмитро Ранцевич — родом з Мінська. З тієї інформації, що вдалось знайти про Дмитра, ми можемо припустити, що для команди це вже не перший NFT-проект: заробити на цьому вони намагаються давно. Попередній проект команди — Hamik Game: він присвячений тематиці хом’яків та популярного восени 2021 серіалу «Гра в Кальмара». Однак останні публікації в соцмережах даної NFT були створені в жовтні 2021 року, що може означати, що команда створює проекти під популярні теми, які перестає підтримувати одразу після того, як «хайп» проходить. Про це варто пам’ятати зважаючи на те, що 40% отриманих коштів з продажів ZelenskiyNFT команда забирає собі на «підтримку проекту». У ролі Co-Founder Hamik Game був вказаний Max T – що збігається з нікнеймом згаданого нами раніше Максима Бойко. 

Ми також перевірили інших учасників команди, що дотичні до ZelenskiyNFT: майже всі проживають у Чехії, велика частина – родом з росії. Чому компанія називається IamUkraine — можна лише здогадуватись. 

Використовуючи символ Зеленського, команда ZelenskiyNFT не має для цього жодних офіційних дозволів чи домовленостей з урядом. NFT з Зеленським немає і на сайті «Музею NFT», який був створений за ініціативи Мінцифри. 

Як наслідок, маємо неіснуючу студію, що через платні пости рекламує NFT-колекцію з зображенням зеленського, створену росіянами, для збору коштів на благодійність без будь-яких підтверджень, що кошти дійсно були передані тим, кому їх обіцяли передати. 

Деталі схеми

• Як повідомляється, дев’ятеро кіберзлочинців створили понад 400 фішингових посилань.
• Через сайти українцям пропонували сформувати заявку на виплату грошової допомоги від країн ЄС.
• За посиланнями потерпілі проходили опитування та зазначали реквізити банківських карток.
• У цей час злочинці отримували дані банківських карток громадян та привласнювали гроші з рахунків.

• За даними НБУ, зловмисники ошукали більше 5000 громадян. Загальна сума збитків сягає понад 100 млн грн.
• За місцями проживання фігурантів правоохоронці провели обшуки. Вилучено комп’ютерну техніку, мобільні телефони, банківські картки та гроші, отримані злочинним шляхом. 

• Відкрито кримінальне провадження за ч. 3 ст. 190 (Шахрайство), ч. 5 ст. 361 (Несанкціоноване втручання в роботу інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж) Кримінального кодексу України.
• Зловмисникам може загрожувати до 15 років позбавлення волі. 

Увага! Якщо ви вводили конфіденційні дані за наступними посиланнями, повідомте про це до кіберполіції за посиланням:

newsukraine10.yolasite.com, opros24ua.yolasite.com, tcnnews2022.yolasite.com, euro24dopomoga0.yolasite.com, oga.yolasite.com, ross0.yolasite.com, ais-gos.top, ao-opros.top, awa-opros.top, bees-gos.top, buw-gos.top, eti-opros.top, eu-opros.top, eu-gos.top, ew-gos.top, ew-opros.top, fori-opros.top, gi-opros.top, gio-gos.top, goe-opros.top, gow-opros.top, greas-gos.top, irs-gos.top, its-gos.top, iux-opros.top, izi-opros.top, jar-gos.top, jel-gos.top, jo-opros.top, job-opros.top, ods-gos.top, og-opros.top, ovs-gos.top, pre-opros.top, rea-gos.top, tas-gos.top, tio-gos.top, ua-gos.top, uni-opros.top, uo-gos.top, uq-gos.top, uz-gos.top, wi-opros.top, ukri-gos.top, foundationua.com, ua-compensation.buzz, www.bless12.store, help-compensation.xyz, juon-gos.top, ods-gos.top, ukri-gos.top, foundationua.com, ua-compensation.buzz, www.bless12.store, help-compensation.xyz, juon-gos.top, ods-gos.top, diia-gov.org. 

• У соціальній мережі Facebook CERT-UA виявила шахрайську сторінку, що імітує інформаційний ресурс ТСН.
• На сторінці пропонується взяти участь в опитуванні, перейшовши за посиланням, та отримати «грошову допомогу в рамках соціальної програми ООН». Українцям нібито пропонують 12 700 грн.
• Надалі, користувачеві буде запропоновано надати персональні дані та здійснити додатковий платіж, в результаті чого дані платіжної картки буде скомпрометовано.

Урядова команда рекомендує ніколи не вводити реквізити платіжних карток на незнайомих та підозрілих вебсайтах, а також налаштувати контроль руху коштів. Якщо дані платіжної картки помилково введено на шахрайському вебсайті – слід негайно заблокувати її за допомогою мобільного застосунку, гарячої лінії банку або через інтернет-банкінг.

• Зокрема, RFJ просить надати інформацію про шістьох офіцерів Головного розвідувального управління Генерального штабу збройних сил РФ (ГРУ) через їхню роль у злочинній кібердіяльності проти США.
• Держдепартамент також оприлюднив імена та прізвища підозрюваних: Юрій Андрієнко, Сергій Детістов, Павло Фролов, Анатолій Ковальов, Артем Очіченко і Петро Пліскін.
• Згідно заяві, усі вони працювали в підрозділі 74455 ГУ, також відомому як Sandworm Team (Telebots, Voodoo Bear та Iron Viking).
• Зазначених осіб RFJ підозрює у розповюдженні вірусу NotPetya у США та по всьому світу в червні 2017 року. Кібератака пошкодила комп’ютери лікарень, інших медичних установ Heritage Valley, приватних структур і загалом нанесла американським організаціям майже $1 млрд збитків.
• 15 жовтня 2020 року встановленим росіянам було висунуто звинувачення у змові з метою комп’ютерного шахрайства, шахрайства з використанням засобів зв’язку, проникнення в комп’ютерні мережі та крадіжки особистих даних за обтяжливих обставин.
• Тих, хто володіє інформацією про підозрюваних, в Rewards for Justice просять зв‘язатися через браузер Tor за адресою: he5dybnt7sr6cm32xt77pazmtm65flqy6irivtflruqfc5ep7eiodiad.onion

На сайті an225nft.com збирають гроші на відновлення літака АН-225 («Мрія»), але як стверджує «Антонов» – це не їх проект.

• На платформі продають NFT-зображення літака та обіцяють передати кошти в «Антонов».
• Однак цей сайт створили без погодження з «Антонов». Підприємство не надавало повноважень на збір коштів для відновлення Ан-225.
• За посиланнями на сайті вказують різні напрями спрямування коштів: у першому – на будівництво «Мрії», у другому – «на потреби ЗСУ».
• Зараз команда підприємства працює над розробкою офіційного сайту з реквізитами, де кожен зможе побачити, скільки коштів залучено на відбудову літака. На цьому ж ресурсі буде розміщено звіт про використання надходжень.

«Не довіряйте невідомим компаніям. Слідкуйте за офіційними повідомленнями «Укроборонпрому» та «Антонов» щодо розвитку програми відновлення Ан-225», — кажуть в компанії.

Ан-225 «Мрія» знищили війська РФ під час боїв на території аеропорту в Гостомелі під Києвом. За інформацією «Укроборонпрому» на відновлення знадобиться понад $3 млрд та понад 5 років.

• Шахраї розсилають SMS-повідомлень, де розповідають про виплату матеріальної допомоги вимушеним переселенцям. Вони вказують посилання на ресурс, де нібито можна подати заявку на отримання допомоги. 
• За посиланням громадянам пропонується ввести персональні дані та номер банківської картки для зарахування грошей.

• У таких випадках аферисти використовують фішинг. Громадяни, вказуючи конфіденційні дані на підозрілих ресурсах, автоматично передають їх шахраям. 
• Щоденно до кіберполіції надходить більше десятка звернень з цього приводу.
• Реальні виплати для вимушених переселенців можна отримати в застосунку «Дія». Для цього потрібно оформити статус внутрішньо переміщеної особи. 
• Статус ВПО дозволяє отримати виплату від держави — для себе і своїх дітей. Українці можуть отримувати щомісяця 2 000 грн на себе та 3 000 грн на кожну дитину. Гроші можна отримати на картку «єПідтримка» та витратити на будь-що.

Що сталося

24 лютого, в день повномасштабного вторгнення РФ в Україну, частина модемів Viasat вийшли з ладу. Неполадки зачепили Україну та кілька країн Європи, а причиною назвали масштабну кібератаку. Хакери порушили роботу модемів за допомогою сервісу широкосмугового доступу KA-SAT. Атака спричинила проблем в роботі українських банків і урядових сайтів. Наслідки кібератаки відчула навіть німецька енергетична компанія Enercon, в якої спостерігалися збої в роботі вітрових електростанцій.

Що відомо

Згідно з дослідженням компанії SentinelOne, до кібератаки причетний штам вірусу Wiper під назвою AcidRain. Його виявили 15 березня, завдяки користувачу ukrop з Італії, якого виявили на сервісі VirusTotal. Вірус знищує дані, а після завершення процесу перезавантажує пристрій і робить його непрацездатним.

До чого тут Росія

Особи хакерів, які здійснили атаку не встановили. Однак дослідники звернули увагу на схожість AcidRain і вірусом VPNFilter. Код обох вірусів збігається на 55%. У 2018 році ФБР встановили зв’язок VPNFilter з російським хакерськими групами Fancy Bear та APT28.

Що кажуть Viasat

В Viasat підтвердили більшість висновків SentinelOne, однак поки не розкривають деталі. В компанії триває розслідування інциденту. Також із заяви Viasat відомо, що хакери скористалися неправильно налаштованим VPN-пристроєм, щоб отримати віддалений доступ до сегмента мережі KA-SAT.

• У темі такого листа зазначається «Нова програма для запису в журналі». Текст містить повідомлення МОН щодо «електронних навчальних журналів», а також посилання на «програму» та пароль на архів.
• Якщо користувач відкриє архів та запустить EXE-файл, комп’ютер буде уражено шкідливою програмою-стілером MarsStealer.

MarsStelaer — шкідлива програма-стілер, розроблена з використанням мов програмування C/ASM. Основний функціонал — збір інформації про комп’ютер, викрадення аутентифікаційних даних з інтернет-браузерів, плагінів криптогаманців, програм багатофакторної аутентифікації, викрадення файлів, а також завантаження і запуск виконуваних файлів і виготовлення знімку екрану.

• У CERT-UA зазначають, що MarsStealer продається на тематичних форумах. Її, вірогідно, використовуватимуть як альтернативу стілеру Racoon, продажі якого призупинені.

В листі вимагається перейти за посланням нібито на «план евакуації», а також до 1 березня надіслати інформацію про чисельність співробітників.

«Всі будьте уважні, не відкривайте незнайомі листи, нічого не встановляйте. Зараз ми займемося інформсистемами ФСБ…», – написав Федоров.

Як повідомили в СБУ, таким чином країна-агресор намагається встановити вірусне програмне забезпечення на комп’ютери українців та зібрати конфіденційну інформацію. Не відкривайте подібні листи і не переходьте за вказаними посиланнями.

“СБУ не робила жодних розсилок! Ми інформуємо громадян виключно через офіційні канали комунікації”, – заявили у відомстві.

UPD: Через півгодини після повідомлення про розсилку українські кіберфахівці поклали сайт ФСБ. Про це повідомив Михайло Федоров.

AIN.UA нагадує, підтримати ЗСУ можна за посиланням. Також поширюйте підбірку офіційних фондів серед ваших колег, партнерів та друзів за кордоном.

«УВАГА! Сайт 5 каналу зламано росіянами! Не вірте інформації, яка там публікується з 9:30. Ми повідомимо про відновлення роботи. Наші спеціалісти зараз працюють над відновленням. Дякуємо за підтримку!» — заявили представники редакції «5 каналу».

Деталі арешту

Відповідно до запиту про екстрадицію, поданого через ізраїльську прокуратуру до Єрусалимського окружного суду, Рохлін начебто очолив організацію з інвестування в бінарні опціони та контракти на різницю (контракт, який передбачає, що покупець заплатить продавцю різницю між поточною вартістю активу та його вартістью на момент укладення договору).

Стверджується, що члени організації начебто ідентифікували себе під фальшивими іменами та стверджували, що вони спеціалізуються на інвестиційних консультаціях, і переконували клієнтів вкладати все більше і більше грошей у покупку бінарних опціонів або складання диференційних контрактів, обіцяючи при цьому високу віддачу.

Станом на літо 2019 року влада Німеччини отримала скарги від сотень громадян щодо шахрайства організації, до якої начебто причетний Рохлін. Загальна оцінка втрат постраждалих громадян Німеччини становить близько 8 млн євро. Загалом від громадян Німеччини надійшло понад 360 скарг, деякі з яких інвестували десятки й сотні тисяч доларів.

Зв’язок з бізнесом в Україні

Зважаючи на величезні обсяги прибутків, як стверджується, Рохлін нібито створив цілу організаційну структуру з метою відмивання грошей, яка була виявлена ​​в результаті розслідування німецької влади. Рохлін нібито відмивав шахрайські прибутки, створюючи фіктивні компанії та банківські рахунки. Інвестиційні кошти перераховувалися через різні банківські рахунки по всій Європі, поки нарешті не потрапили на особисті рахунки Рохліна або рахунки підконтрольних йому компаній.

Згідно з запитом про екстрадицію, Рохлін — громадянин Ізраїлю та України — володів британською компанією, яка володіла акціями семи українських компаній. Мільйони євро від шахрайства пішли компаніям в Україні, Румунії, Швейцарії, Чехії та Гонконгу, які нібито належать Рохліну або його батькові.

У тому ж грудні в Rocket почались скорочення

У грудні 2021 – січні 2022 року в українській компанії Rocket, яка розвиває сервіс доставки їжі, пройшла хвиля скорочень. 

У пресслужбі Rocket повідомили, що у зв’язку зі змінами ринку та зменшенням фінансування виникла потреба змінити фінансові плани та шукати додаткові інвестиції. Довелося звільнити близько 50 людей. Скорочення торкнулось команд бек- і фронт-офісу, tech-команди. 40% від загальної кількості звільнених — технічні спеціалісти.

Проте, як повідомляв AIN.UA, головна і основна причина скорочення — інвестор Rocket Ігор Рохлін, що викупив 80% компанії за $5 млн. За інформацією AIN.UA, Рохлін дофінансовував компанію, щоб та активно розвивалась в Україні і також виходила на нові ринки. Проте під кінець 2021 року неочікувано для самих фаундерів Rocket, їхній партнер зменшив фінансування.

Позиція компанії: акціонером Rocket є не Тимур Рохлін, а його батько — Ігор Рохлін

Як повідомили представники Rocket в коментарі Forbes Ukraine, Тімур Рохлін немає жодного стосунку до бізнесу, а акціонером Rocket є його батько — Ігор Рохлін.

«Тімур Рохлін до нас жодного стосунку немає, у нас акціонер Ігор Рохлін. Але такі новини в інформаційному просторі можуть негативно вплинути на спілкування з фондами. Від наших партнерів немає негативної реакції. Ресторани не припиняють співпрацю», — зазначив співзасновник Rocket Станіслав Дмитрик.

За даними Opendatabot, Рохліна-молодшого видалили зі списку бенефіціарів української юридичної особи Rocket у квітні 2020 року. Після цього єдиним контролюючим власником через кіпрську компанію став його батько. Двоє засновників проекту Олексій Юхімчук, 35 та Станіслав Дмитрик, 32, мають по 7% акцій компанії.

Псевдозамінованими стали Харківська держадміністрація, апеляційний суд і аеропорт

Співробітники СБУ встановили, що 39-річний харків’янин протягом грудня минулого року здійснив щонайменше чотирнадцять анонімних повідомлень про мінування різних об’єктів. Зокрема, він «замінував» Харківську обласну державну адміністрацію, Харківський апеляційний суд, Міжнародний аеропорт «Харків», залізничні та автомобільні вокзали, а також торговельно-розважальні центри міста.

При надсиланні анонімних електронних листів ІТ-спеціаліст використовував спеціальні комп’ютерні програми для приховування свого місцеперебування, проте правоохоронці все одно затримали зловмисника за місцем його проживання після чергового повідомлення про мінування.

Мотивами своїх злочинних дій харків’янин назвав особисту неприязнь до української влади, а також до правоохоронних та судових органів.

За псевдомінування злочинець може отримати до 8 років ув’язнення

Наразі вирішується питання щодо повідомлення затриманому про підозру у вчиненні злочинів, передбачених ч. 1 та ч. 2 ст. 259 (завідомо неправдиве повідомлення про підготовку вибуху, підпалу або інших дій, які загрожують загибеллю людей чи іншими тяжкими наслідками, вчинене повторно) Кримінального кодексу України.

За вчинення таких злочинів передбачено покарання у вигляді позбавлення волі на строк до восьми років. Також зловмиснику доведеться компенсувати десятки тисяч гривень державним та комерційним установам, що зазнали збитків від його протиправних дій.

Перевіряється можлива причетність зловмисника до співробітництва з іноземними спецслужбами. Оскільки останнім часом до поширення хвилі псевдомінувань залучають громадян України, які діють з хуліганських мотивів чи заради розваги, не усвідомлюючи до кінця всі можливі наслідки.

• Раніше клієнти біржі скаржилися, що зловмисники отримали доступ до їх облікових записів та викрадали з них кошти. До сьогодні компанія не коментувала ці факти, а тепер Маршалек підтвердив інформацію.
• Гендиректор не надав подробиць, як саме шахраї проникали в чужі акаунти, однак повідомив, що кошти постраждалим повернули. В момент злому Crypto.com призупинила вивід грошей на 13 годин, після кількох звернень про підозрілу активність.
• У Crypto.com визнали, що було викрадено більше $33 млн (4 836 ETH та 443 BTC), хоча раніше фігурувала цифра в $15 млн.

Чому це важливо

Crypto.com — четверта за об’ємом торгів криптобіржа. Останні роки компанія росте швидкими темпами і вкладає у власний бренд, для прикладу в рекламу з американським актором Метом Деймоном. Сьогодні у Crypto.com понад 10 млн користувачів і 3 000 співробітників. Злами настільки великих компаній вказують на те, що потрібно не забувати про захист своїх криптоактивів та використовувати для цього всі можливості та інструменти.