Hackerské elity: Jak operují nejnebezpečnější APT skupiny

Klíčová prostředí kybernetických operací

Útoky se neodehrávají ve vzduchoprázdnu. Hackerská skupina si pečlivě vybírá prostředí, ve kterém operuje – a každé z těchto prostředí klade jiné nároky, skrývá jiné slabiny a přináší jiný druh rizika. Jinak se útočí na datové centrum, jinak na elektrárnu. Čím citlivější je cíl, tím promyšlenější bývá útok.

Cíle APT skupin

Jejich záměrem může být tajný dokument, technologie s vojenským potenciálem nebo strategické rozhodování nepřítele. Jejich mise nejsou chaotické ani náhodné. Jde o strategicky řízené operace, které mají dlouhodobé cíle:

STONE PANDA s přímým napojením na čínský stát. Jejím cílem není sabotáž, ale tiché získávání dat. Smyslem jejich existence je zajistit přístup k technologickým inovacím a průmyslovým datům, které mají pro Čínu strategický význam. Největší pozornost na sebe strhla operací Cloud Hopper (2017), kdy přes poskytovatele IT služeb infiltrovala stovky firem a institucí po celém světě. Získaný přístup jí umožnil sbírat data nejen z komerční sféry, ale i z vládních a vojenských struktur. Cílem byla cloudová infrastruktura, datová centra i strategická technologická odvětví. Stone Panda se však zaměřila i na zdravotnictví – během let 2016 a 2017 podnikla řadu útoků na farmaceutické firmy a výzkumná centra, kde kradla data o vývoji léků a biotechnologiích. Používala při tom malware RedLeaves, navržený k tomu, aby zůstal neodhalený i několik let. Její operace probíhají nenápadně a s minimálním šumem – právě proto je Stone Panda tak účinná.

TURLA, pod velením Ruska, je známá svou filozofií vytrvalosti. Každá její operace je součástí širšího strategického plánu zaměřeného na politickou a vojenskou špionáž. Skupina se specializuje na infiltraci vládních úřadů, obranných organizací a ambasád, přičemž své cíle vyhledává zejména v Evropě a na Blízkém východě. V roce 2014 úspěšně napadla sítě NATO a několik evropských vládních agentur. TURLA se vyznačuje sofistikovaným používáním custom malware, jako jsou Snake (Uroburos), Gazer a Kazuar, které jí umožňují dlouhodobý přístup k napadeným systémům s minimálním rizikem odhalení. Tato dlouhodobá infiltrace je klíčová pro její strategii, která je inspirována symbolem Uroboros – hadem, jenž požírá vlastní ocas. Operace Turla Watering Hole z roku 2014, kdy TURLA využila kompromitované webové stránky zaměřené na africké diplomaty, aby infiltrovala jejich sítě a získala citlivé informace. Dalším útokem byla operace Agent BTZ, která se zaměřila na americkou armádu a přístup do jejích vnitřních systémů, což vedlo k odhalení citlivých vojenských dokumentů. TURLA také využívala techniku „web shell“ k infiltraci a šíření malwaru prostřednictvím kompromitovaných webových serverů. Skupina neútočí kvůli okamžitému zisku, ale kvůli dosažení širších geopolitických cílů a vojenské dominanci.

FANCY BEAR je šelma, která neřve – ale šlape rovnou přes státní hranice. Stojí za ní ruská vojenská rozvědka GRU a její lovecké území tvoří politické instituce, volební systémy a armádní servery Západu. Fancy Bear nekrade peníze – krade důvěru, stabilitu a někdy i výsledky voleb. Nejviditelnější stopu zanechala v roce 2016, kdy během amerických prezidentských voleb pronikla do e-mailových schránek Demokratického národního výboru a zveřejnila citlivou komunikaci. Ale to byl jen začátek. Zasahovala do francouzských voleb, infiltrovala německý Bundestag a cíleně pronikala do struktur NATO. Její styl? Tichý průnik – vojenská disciplína v digitálním provedení. Nepotřebuje dělat hluk, když může sbírat data měsíce nepozorovaně. Používá phishingové kampaně šité na míru a nástroje jako X-Agent, které jí umožňují zůstat v systému tak dlouho, dokud to potřebuje – nebo dokud to nevybuchne. Fancy Bear je víc než hackerská skupina. Je to geopolitický nástroj. Pokud se někde hroutí důvěra ve volby, rozpadá politická jednání nebo unikají tajné dokumenty – podívejte se do stínů. Možná tam najdete medvědí stopu.

LAZARUS je jako hlubinná chobotnice – klidná, ale všude. Chapadla této skupiny sahají od bank v Bangladéši až po kryptoburzy v Japonsku. Funguje jako kybernetická bankovní pokladna režimu v Severní Koreji: krade, ničí a sponzoruje jaderný program. V roce 2016 málem vybrala Bangladéšské centrální bance celý účet u americké Federální rezervy – jen překlep v jednom slově zabránil ztrátě miliardy dolarů. V roce 2017 rozšířila ničivý ransomware WannaCry, který ochromil nemocnice, firmy i dopravní systémy ve více než 150 zemích. Lazarus útočí jako celek, ale každé chapadlo má svou specializaci: špionáž, ransomware, hackerské průniky, zneužívání dodavatelských řetězců. Cílí na kryptoburzy, banky, vývojáře – kdekoliv, kde tečou peníze nebo citlivá data. Na rozdíl od jiných APT skupin Lazarus nemaskuje své motivace. Potřebuje peníze – pro stát, pro armádu, pro přežití režimu. Proto se nebojí ničit systémy ani vykrádat kritickou infrastrukturu či útočit na jaderné programy.

CHARMING KITTEN je skupina, která místo silových průniků sází na klam a manipulaci. Místo malwaru používá falešné identity, důvěru a psychologii – jako kočka, která si nejprve získá pozornost, než vytasí drápy. Skupina se často vydává za novináře, akademiky nebo bezpečnostní výzkumníky, aby nalákala své cíle – disidenty, novináře, výzkumníky či vládní pracovníky – k otevření phishingových e-mailů nebo falešných přihlašovacích stránek. Jejím cílem je dlouhodobý přístup k e-mailům, kalendářům a komunikaci, kterou může režim využít k potlačování opozice nebo sledování zahraničních vztahů. V roce 2018 kompromitovala účty členů think-tanku Chatham House a amerických univerzit. Stejně tak cílila na americké vládní zaměstnance pomocí věrohodných phishingových stránek napodobujících Google či Microsoft. Nechyběl ani pokus o útok na e-maily prezidentských kandidátů v USA (2020), nebo falešná pozvání na konference OSN. Charming Kitten není technicky nejsofistikovanější, ale její schopnost dostat se k citlivým datům pomocí důvěry a iluze z ní činí jednoho z nejnebezpečnějších hráčů íránské kyberšpionáže.