Російські хакери з групи Armagedon базуються в Криму і користуються прикриттям російського уряду, який захопив регіон у 2014 році. Протягом років невелика українська команда, до складу якої входили ІТ-фахівці, розвідувальники та прокурори, вивчала цих зловмисників здалеку. Вони перехоплювали їхні телефонні розмови, аналізували кіберзброю та викривали передбачуваних лідерів групи.
Armagedon — не найвитонченіша хакерська група, пов'язана з російським урядом, але одна з найактивніших. За даними західних та українських офіційних осіб, група здійснила 5000 різних спроб атак на українські державні органи, використовуючи шкідливе програмне забезпечення, приховане в майстерно створених електронних листах. Однак після російського вторгнення у лютому 2022 року останні атаки групи були паровані — багато в чому завдяки тому, що Україна добре знала характерні методи Armagedon.
Захід визнав цю стратегію. «У який час найкраще вивчати свого ворога? Задовго до бою», — сказав західний чиновник, який попросив не називати його імені. Ця довгострокова підготовка дозволила Україні відобразити значну кількість кібератак у останні тижні, продемонструвавши таку ж стійкість у мережі, як і її військові сили на місцях.
Підготовка тривала роками. У 2015 році російські хакери відключили електропостачання деяких передмість Києва. Через рік відставний адмірал ВМС США Майкл Роджерс, який керував Кіберкомандуванням США і був колишнім главою Агентства національної безпеки, направив перші групи американських солдатів для зміцнення українського кіберзахисту. Роджерс згодом сказав, що ці місії дозволили американцям вивчити російські комерційні методи, російське шкідливе програмне забезпечення та особливості роботи російських кіберструктур.
Ця підготовка дала результати. На початку квітня українські чиновники за сприяння західних компаній, що займаються кібербезпекою, виявили висококласне шкідливе програмне забезпечення від іншої хакерської групи Sandworm, яка пов'язана з ГРУ, російською військовою розвідкою. Програма була прихована всередині комп'ютерів на електростанції, що обслуговує мільйони людей, і була запрограмована на видалення файлів 8 квітня — повторення успішних зломів українських електромереж у 2015 та 2016 роках.
«Це була важлива віха, коли Sandworm нарешті підняв голову», — сказав Макс Хайнемейєр, колишній хакер, який зараз працює в Darktrace, фірмі з кібербезпеки.
Проти Armagedon українці застосували таку саму тактику: спостерігай, вивчай і готуйся. «Вам потрібно знати своїх ворогів роками, щоб ви могли передбачити їхні дії», — сказав Шмуель Гіхон, дослідник безпеки в ізраїльській компанії CyberInt. За його словами, Armagedon — серйозний противник з найталановитіших.
У якийсь момент українська команда перехопила телефонні розмови між двома чоловіками, яких вона пізніше ідентифікувала як офіцерів внутрішньої безпеки Росії. Розмови були опубліковані на YouTube. У них офіцери скаржилися на річні премії, на те, що не отримували медалі, та обговорювали конкретний злом, який дозволив їм отримати дані із зашифрованого USB-накопичувача за кілька секунд, поки він був підключений до комп'ютера. Два західні чиновники підтвердили справжність цих дзвінків.
Тактика Armagedon полягала в об'єднанні старого трюку — заманити когось у урядовій мережі, щоб клацнути вкладення електронної пошти — з витонченими версіями шкідливого програмного забезпечення. Мета групи полягала не в знищенні, а в тому, щоб ховатися всередину організацій та збирати інформацію. За минулі роки Armagedon націлився на 1500 українських установ. Київські чиновники не розкривають, скільки атак були успішними.
За словами українських офіційних осіб, за останні кілька тижнів електронні листи, імовірно відправлені з Armagedon, імітували офіційні комюніке про кораблі, що заходять у кримські порти; списки військової техніки, яку запитує Україна; та список російських військових злочинців, виявлених українською владою. В одному підозрілому випадку, який все ще розслідується, додаток обіцяв відкрити завісу над однією з державних таємниць України та заспокоїти всіх, хто має сім'ю, яка бере участь у військових діях. Додаток був під назвою «Відомості про втрати української армії», повідомив голова Державної служби спеціального зв'язку та захисту інформації України Юрій Щеголь. «Це інформація, яку сьогодні читатимуть практично всі, хто бере участь у бойових діях», — сказав він.
Відповідно до аналізу шкідливого програмного забезпечення, проведеного для Financial Times, при натисканні на ці електронні листи раніше невидиме шкідливе програмне забезпечення на прізвисько Pseudosteel таємно захоплювало текст, PDF-файли, PowerPoint та інші файли та надсилало копії на віддалений сервер. Це встановив Дік О'Брайєн, головний аналітик розвідувальної інформації американської команди Symantec Threat Hunter.
Symantec виявила, що творець шкідливого програмного забезпечення був ретельним сміттярем. Зловмисник знав, наприклад, що деякі заражені комп'ютери могли розбити свої жорсткі диски на розділи і таким чином навчити програму шукати файли в цих обгороджених областях. Однак Pseudosteel має явні вади. Його творці забули, що на кожному зараженому комп'ютері є конкретний файл, необхідний для успішного запуску програми. За словами О'Брайена, лише деякі з них зроблять це, що зробило програмне забезпечення менш ефективним, ніж планувалося. Крім того, реверс-інжиніринг Symantec Pseudosteel означає, що програма з меншою ймовірністю вдасться обійти антивірусне програмне забезпечення.
Недавно Armagedon став винахідливішим. Хакери написали 100 різних версій «троянського бекдору» — шкідливого програмного забезпечення, призначеного для надання небажаного доступу для запуску віддаленої атаки. Схоже, що вони також намагалися заразити той самий комп'ютер різними програмами, щоб їх не виявили. «Це кібер-еквівалент спроби знищити оборону за допомогою однієї лише чисельної сили», — сказав О'Брайєн.
Але оборона України продемонструвала здатність протистояти швидкострільним методам угруповання, подібного до Armagedon. «Ви бачили, що українці згодом набувають більше досвіду, можливостей, знань та досвіду», — сказав Роджерс, колишній глава Кіберкомандування США. «І ви бачите, що це відбувається зараз. Ви повинні віддати їм належне: вони витримали велику активність Росії проти них».