فانسي بير

تقارير الاكتشاف والأمان

علاوةً على ذلك، قامت شركة برمجيات الأمن السيبراني الأمريكية اليابانية " تريند مايكرو Trend Micro" بتصنيف الجهات الفاعلة وراء برنامج "سوفاسي Sofacy" الخبيث باسم عملية "عاصفة البيدق Pawn Storm"، وذلك في 22 أكتوبر 2014م. ويعود الاسم إلى استخدام المجموعة "لاثنين أو أكثر من الأدوات/التكتيكات المتصلة لمهاجمة هدف محدد على غرار استراتيجية الشطرنج"، والمعروفة باسم عاصفة البيادق.

كذلك، ويشتق اسم "فانسي بير" من نظام الترميز الذي تستعمله شركة كراودسترايك CrowdStrike التابعة لـ دميتري ألبيروفيتش لمجموعات القراصنة. يشير "الدب" إلى أن القراصنة من روسيا. تشير كلمة "فانسي" إلى "سوفاسي"، وهي كلمة في البرنامج الخبيث الذي ذكّر المحلل الذي وجده بأغنية " فانسي " لـمغنية الراب الأسترالية ايجي ازيليا Iggy Azalea.

وفي هذا السياق، أصدرت شركة أمن الشبكات "فاير آي FireEye" والمعروفة في الوقت الحالي باسم تريليكس Trellix، تقريرًا مفصلاً عن فانسي بير، وذلك في أكتوبر 2014م. وقد صنف التقرير المجموعة على أنها "التهديد المستمر المتقدم 28" (APT28) ووصف كيف استعملت مجموعة القرصنة ثغرات اليوم صفر لنظام التشغيل مايكروسوفت ويندوز و أدوبي فلاش. وتوصل التقرير إلى تفاصيل عملياتية تشير إلى أن المصدر هو "جهة راعية حكومية مقرها موسكو". تشير الأدلة التي جمعتها شركة FireEye إلى أن برنامج فانسي بير الخبيث تم تجميعه في المقام الأول في بيئة بناء باللغة الروسية وحدث بشكل أساسي أثناء ساعات العمل الموازية للمنطقة الزمنية لموسكو. وأشارت مديرة استخبارات التهديدات في شركة FireEye، لورا جالانتي، إلى أنشطة المجموعة باعتبارها "تجسسًا على الدولة" وقالت إن الأهداف تشمل كذلك "وسائل الإعلام أو المؤثرين".

تعليم

إضافةً إلى ذلك، وقد شاركت الوحدة 26165 في تصميم المناهج الدراسية في الكثير من المدارس العامة في موسكو، بما في ذلك المدرسة 1101.

مجلس السلامة الهولندي وبيلينجكات

إضافةً إلى ذلك، وفي 14 يونيو، أصدرت كروادسترايك CrowdStrike تقريرًا يكشف عن عملية اختراق اللجنة الوطنية الديمقراطية ويحدد هوية مجموعة "فانسي بير" كمرتكبي هذه العملية. ثم ظهرت شخصية عبر الإنترنت تدعى Guccifer 2.0، مدعية أنها وحدها المسؤولة عن الاختراق.

علاوةً على ذلك، وكانت هناك مجموعة قرصنة متطورة أخرى تنسب إلى الاتحاد الروسي، والمعروفة باسم "كوزي بيرCozy Bear "، موجودة كذلك في خوادم اللجنة الوطنية الديمقراطية في الوقت نفسه. ومع ذلك، يبدو أن المجموعتين لم تكونا على علم ببعضهما البعض، حيث قامت كل منهما بسرقة نفس كلمات المرور بشكل مستقل، ثم قامت بمضاعفة جهودها بطرق أخرى. ويبدو أن كوزي بيرCozy Bear هي وكالة مختلفة، مهتمة أكثر بالتجسس التقليدي طويل الأمد. وقد حدد فريق الطب الشرعي التابع لشركة كراودسترايك CrowdStrike أنه في حين كان كوزي بيرCozy Bear موجودًا على شبكة DNC لأكثر من عام، فإن فانسي بير لم يكن موجودًا هناك إلا لبضعة أسابيع.

اللجنة الوطنية الديمقراطية (2016)

من جهة ثانية، نفذت شركة "فانسي بير" هجمات تصيد بالرمح على عناوين البريد الإلكتروني المرتبطة باللجنة الوطنية الديمقراطية الأمريكية، وذلك في الربع الأول من عام 2016م. وفي العاشر من مارس، بدأت رسائل التصيد الاحتيالي في الوصول، والتي كانت موجهة بشكل رئيس إلى عناوين البريد الإلكتروني القديمة لموظفي الحملة الديمقراطية لعام 2008م. ربما يكون أحد هذه الحسابات قد قدم قوائم جهات اتصال محدثة. وفي اليوم التالي، اتسع نطاق هجمات التصيد الاحتيالي إلى عناوين البريد الإلكتروني غير العامة لمسؤولين رفيعي المستوى في الحزب الديمقراطي. تم مهاجمة عناوين Hillaryclinton.com، لكنها تطلبت مصادقة ثنائية العوامل للوصول إليها. تم إعادة توجيه الهجوم نحو حسابات Gmail في 19 مارس. تم اختراق حساب Gmail الخاص بـ Podesta في نفس اليوم، وتم سرقة 50 ألف رسالة بريد إلكتروني. وقد اشتدت هجمات التصيد الاحتيالي في شهر أبريل، على الرغم من أن المتسللين لاح وكأنهم أصبحوا غير نشطين فجأة في يوم 15 أبريل، والذي كان في روسيا عطلة تكريماً لخدمات الحرب الإلكترونية العسكرية. وقد أرسل البرنامج الخبيث المستعمل في الهجوم بيانات مسروقة إلى نفس الخوادم التي استعملتها المجموعة في هجومها على البرلمان الألماني (بوندستاغ) عام 2015م.

كذلك، كان إليوت هيغينز وصحفيون آخرون مرتبطون بمجموعة بيلينجكات ، وهي مجموعة تبحث في إسقاط طائرة الخطوط الجوية الماليزية الرحلة 17 فوق أوكرانيا، هدفًا للعديد من رسائل التصيد الاحتيالي عبر البريد الإلكتروني. كانت الرسائل عبارة عن إشعارات أمان مزيفة لـ Gmail مع عناوين URL مختصرة لـ Bit.ly و TinyCC. وبحسب ـشركة الأمن السيبراني ثريت كونكت ThreatConnect، فإن بعض رسائل التصيد الاحتيالي كانت تأتي من خوادم استعملتها "فانسي بير" في هجمات سابقة في أماكن أخرى. تشتهر بيلينجكات بإثباتها أن روسيا مسؤولة عن إسقاط الطائرة الماليزية MH17، وكثيراً ما تسخر منها وسائل الإعلام الروسية.

من جهة ثانية، كما استهدفت المجموعة مجلس السلامة الهولندي، وهو الهيئة التي تجري التحقيق الرسمي في الحادث، قبل وبعد إصدار التقرير النهائي للمجلس. قاموا بإنشاء خوادم SFTP وVPN وهمية لتقليد خوادم اللوحة نفسها، على الأرجح ، من أجل التصيد الاحتيالي لأسماء المستعملين وكلمات المرور. وقال متحدث باسم جهاز الأمن الداخلي إن الهجمات لم تكن ناجحة.

هجوم البرلمان النرويجي 2020

وعلى صعيد آخر، في أغسطس 2020م، أبلغ البرلمان النرويجي عن "هجوم إلكتروني كبير" على نظام البريد الإلكتروني الخاص به. وفي سبتمبر من نفس العام، اتهمت وزيرة الخارجية النرويجية، إيني ماري إريكسن سوريدي، روسيا بالهجوم. وخلصت دائرة أمن الشرطة النرويجية في ديسمبر 2020م إلى أن "التحليلات تُظهر أنه من المحتمل أن تكون العملية قد نفذها الفاعل السيبراني المشار إليه في المصادر المفتوحة باسم APT28 وفانسي بير"، وأن "محتوى حساس تم استخراجه من بعض حسابات البريد الإلكتروني المتأثرة".

الاتحاد الرياضي السويدي

البطريركية المسكونية ورجال الدين الآخرين (أغسطس 2018)

الجماعات المحافظة في الولايات المتحدة (2018)

ومن ناحية أخرى، ذكرت شركة البرمجيات مايكروسوفت في أغسطس 2018م أن المجموعة حاولت سرقة بيانات من منظمات سياسية مثل المعهد الجمهوري الدولي، ومراكز الأبحاث التابعة لمعهد هدسون. وقد تم إحباط الهجمات عندما تمكن موظفو الأمن في شركة مايكروسوفت من السيطرة على ستة نطاقات على الشبكة. أشارت شركة مايكروسوفت في إعلانها إلى أنه "ليس لدينا في الوقت الحالي أي دليل على استخدام هذه المجالات في أي هجمات ناجحة قبل أن تنقل وحدة التحكم في البيانات السيطرة عليها، كما لا نملك أي دليل يشير إلى هوية الأهداف النهائية لأي هجوم مخطط يتضمن هذه المجالات".

في هذا الإطار، كما أفاد الاتحاد الرياضي السويدي أن شركة "فانسي بير" كانت مسؤولة عن الهجوم على أجهزة الكمبيوتر الخاصة به، مستهدفة سجلات اختبارات المنشطات للرياضيين.

وعلى صعيد آخر، بحسب تقرير أغسطس 2018م الصادر عن وكالة أسوشيتد برس، كانت مجموعة "فانسي بير" تستهدف لسنوات المراسلات الإلكترونية لمسؤولي بطريركية القسطنطينية المسكونية برئاسة البطريرك المسكوني برثلماوس الأول. وظهر المنشور في وقت من التوترات المتزايدة بين البطريركية المسكونية، الأقدم بين جميع الكنائس الأرثوذكسية الشرقية، والكنيسة الروسية الأرثوذكسية (بطريركية موسكو) بشأن قضية الاستقلال الكنسي الكامل (الاستقلال الذاتي) للكنيسة الأرثوذكسية في أوكرانيا، والتي تسعى إليها الحكومة الأوكرانية. وقد نقلت الصحيفة عن خبراء قولهم إن منح الاستقلال الذاتي للكنيسة في أوكرانيا من شأنه أن يؤدي إلى تآكل سلطة وهيبة بطريركية موسكو ويقوض مطالباتها بالاختصاص العابر للحدود الوطنية. كما استهدفت الهجمات الإلكترونية المسيحيين الأرثوذكس في بلدان أخرى، فضلاً عن المسلمين واليهود والكاثوليك في الولايات المتحدة، ومنظمة "أمة"، وهي مجموعة شاملة للمسلمين الأوكرانيين، والسفير البابوي في كييف، ويوسيب زيسيلس، الذي يدير جمعية المنظمات والمجتمعات اليهودية في أوكرانيا.

فريق اختراق فانسي بير

وفي هذا الصدد، تم إنشاء موقع ويب لتسريب الوثائق المأخوذة في هجمات الوكالة العالمية لمكافحة المنشطات والاتحاد الدولي لألعاب القوى، وكان مقدمته بيانًا موجزًا بتاريخ 13 سبتمبر 2016م، معلنًا أن الموقع مملوك لـ "فريق اختراق فانسي بير"، والذي قيل إنه "فريق اختراق دولي" "يدافع عن اللعب النظيف والرياضة النظيفة". وقد أعلن الموقع مسؤوليته عن اختراق الوكالة العالمية لمكافحة المنشطات ووعد بتقديم "دليل مثير على تعاطي رياضيين مشهورين لمواد منشطة"، بداية من الفريق الأوليمبي الأمريكي، الذي قال إنه "شوه اسمه بانتصارات ملوثة". وقالت الوكالة العالمية لمكافحة المنشطات إن بعض الوثائق المسربة تحت هذا الاسم مزورة، وأن البيانات قد تم تغييرها.

الشخصيات ذات الصلة

وعلى صعيد آخر، في بعض الأحيان، تقوم "فانسي بير" بإنشاء شخصيات عبر الإنترنت، من أجل نشر معلومات مضللة، وصرف اللوم، وخلق إنكار معقول لأنشطتها.

الخصائص والتقنيات

في هذا الإطار، تستعمل شركة "فانسي بير" أساليب متقدمة تتوافق مع قدرات الجهات الفاعلة في الدولة. فهم يستعملون رسائل البريد الإلكتروني الاحتيالية، ومواقع الويب التي تحتوي على البرامج الضارة والتي تتخفى في شكل مصادر إخبارية، وثغرات اليوم صفر. وقد أشارت إحدى مجموعات أبحاث الأمن السيبراني إلى استخدامها لستة ثغرات أمنية مختلفة في عام 2015م، وهو إنجاز تقني يتطلب أعدادًا كبيرة من المبرمجين الذين يبحثون عن نقاط ضعف غير معروفة سابقًا في البرامج التجارية المتطورة. ويُعتبر هذا بمثابة علامة على أن "فانسي بير" هو برنامج تديره الدولة وليس عصابة أو مخترقًا منفردًا.

علاوةً على ذلك، ولعل أحد الأهداف المفضلة لشركة "فانسي بير" هي خدمات البريد الإلكتروني المستندة إلى الويب. حيث يتكون أحد الاختراقات النموذجية من تلقي مستعملي البريد الإلكتروني عبر الويب رسالة بريد إلكتروني تطلب منهم بشكل عاجل تغيير كلمات المرور الخاصة بهم لتجنب التعرض للاختراق. وسيحتوي البريد الإلكتروني على رابط لموقع ويب مزيف مصمم لمحاكاة واجهة بريد ويب حقيقية، وسيحاول المستعملون تسجيل الدخول وسيتم سرقة بيانات اعتمادهم. غالبًا ما يتم إخفاء عنوان URL كرابط bit.ly مختصر من أجل تجاوز مرشحات البريد العشوائي. ويرسل "فانسي بير" رسائل التصيد الاحتيالية هذه بشكل أساسي يومي الاثنين والجمعة. كما يقومون بإرسال رسائل بريد إلكتروني تحتوي على روابط لعناصر إخبارية، ولكن بدلاً من ذلك يتم ربطها بمواقع إسقاط البرامج الضارة التي تقوم بتثبيت مجموعات الأدوات على جهاز الكمبيوتر المستهدف. كما تقوم "فانسي بير" كذلك بتسجيل المجالات التي تشبه مواقع الويب المشروعة، ثم تقوم بإنشاء نسخة مزيفة من الموقع لسرقة بيانات الاعتماد من ضحاياها. ومن المعروف أن "فانسي بير" تنقل حركة أوامرها عبر شبكات الوكلاء للضحايا الذين تم اختراقهم مسبقًا.

من جهة ثانية، وبحسب الائحة الاتهام التي قدمها المستشار الخاص للولايات المتحدة، تم "تطوير العميل X، وتخصيصه ومراقبته" من قبل الملازم الكابتن نيكولاي يوريفيتش كوزاتشيك من جهاز المخابرات الروسي الرئيسي.

من جهة ثانية، ومن المعروف أن شركة "فانسي بير" قادرة على تصميم عمليات زرع مخصصة للبيئات المستهدفة، مثلًا إعادة تكوينها لاستخدام خوادم البريد الإلكتروني المحلية. وفي أغسطس 2015م، اكتشفت شركة كاسبرسكي لاب وحظرت نسخة من برنامج ADVSTORESHELL المزروع والذي تم استخدامه لاستهداف المتعاقدين مع الدفاع. وبعد ساعة ونصف من انتهاء الحظر، قام ممثلو "فانسي بير" بتجميع وتسليم عنصر تستر جديد للزرع.

كذلك، وتشمل البرامج التي تستعملها مجموعة "فانسي بير" كلاً من ADVSTORESHELL، وCHOPSTICK، وJHUHUGIT، وXTunnel. كما تستعمل "فانسي بير" عددًا من الغرسات، بما في ذلك Foozer، وWinIDS، و X-Agent ، وX-Tunnel، وSofacy، وDownRange droppers. واستنادًا إلى أوقات التجميع، خلصت شركة FireEye إلى أن "فانسي بير" قامت بتحديث برامجها الضارة بشكل مستمر منذ عام 2007م. لتجنب الاكتشاف، تعود "فانسي بير" إلى البيئة لتبديل غرساتها، وتغير قنوات القيادة والتحكم الخاصة بها، وتعدل أساليبها المستمرة. وتطبق مجموعة التهديد تقنيات التحليل المضاد لإخفاء الكود الخاص بها. إنهم يضيفون بيانات غير مرغوب فيها إلى السلاسل المشفرة، مما يجعل فك التشفير صعبًا بدون خوارزمية إزالة البيانات غير المرغوب فيها. وتتخذ "فانسي بير" تدابير لمنع التحليل الجنائي لعمليات الاختراق الخاصة بها، وإعادة تعيين الطوابع الزمنية على الملفات ومسح سجلات الأحداث بشكل دوري.

بولندا المجهولة

وعلى صعيد آخر، أعلن حساب على موقع تويتر يُدعى "بولندا المجهولة" مسؤوليته عن الهجوم على الوكالة العالمية لمكافحة المنشطات ونشر بيانات مسروقة من محكمة التحكيم الرياضي، وهي هدف ثانوي. ويدعم موقع ثريت كونكت ThreatConnect الرأي القائل بأن مجموعة Anonymous Poland هي مجرد دمية جورب في يد "فانسي بير"، مع ملاحظة التغيير من التركيز التاريخي على السياسة الداخلية. ويُظهر مقطع فيديو لقطة شاشة تم تحميله بواسطة Anonymous Poland حسابًا بإعدادات اللغة البولندية، لكن سجل المتصفح الخاص بهم أظهر أنهم أجروا عمليات بحث في Google.ru (روسيا) وGoogle.com (الولايات المتحدة)، ولكن ليس في Google.pl (بولندا).

• انظر كذلك
• التجسس الروسي في الولايات المتحدة
• ترولز من أولجينو
• مراجع

الهجمات

كذلك، ويبدو أن "فانسي بير" تحاول كذلك التأثير على الأحداث السياسية، وذلك من أجل تمكين أصدقاء أو حلفاء الحكومة الروسية من الوصول إلى السلطة.

علاوةً على ذلك، في الفترة ما بين 2011-2012م، كان البرنامج الخبيث في المرحلة الأولى لمجموعة فانسي بير هو زرع "سوفاسي" أو سورفيس. وخلال عام 2013م، أضافت فانسي بير المزيد من الأدوات وعتاصر التستر، بما في ذلك CHOPSTICK وCORESHELL وJHUHUGIT وADVSTORESHELL.

في هذا الإطار، وقد شملت أهداف شركة "فانسي بير" حكومات وجيوش أوروبا الشرقية، ودولة جورجيا والقوقاز، وأوكرانيا، والمنظمات المرتبطة بالأمن مثل حلف شمال الأطلسي، فضلاً عن شركات الدفاع الأمريكية Academi (المعروفة سابقًا باسم Blackwater وXe Services)، وشركة تطبيقات العلوم الدولية Science Applications International Corporation (SAIC)، وشركة Boeing، وشركة Lockheed Martin، وشركة Raytheon. كما هاجمت فرقة فانسي بير مواطنين من الاتحاد الروسي من الأعداء السياسيين للكرملين، بما في ذلك قطب النفط السابق ميخائيل خودوركوفسكي، وماريا أليوخينا من فرقة بوسي ريوت. وخلصت شركة سيكيور ووركس، وهي شركة للأمن السيبراني مقرها في الولايات المتحدة، إلى أن قائمة أهداف "فانسي بير" في الفترة من مارس 2015م إلى مايو 2016م لم تشمل اللجنة الوطنية الديمقراطية للولايات المتحدة واللجنة الوطنية الجمهورية فحسب، بل وعشرات الآلاف من أعداء بوتن والكرملين في الولايات المتحدة وأوكرانيا وروسيا وجورجيا وسوريا. ومع ذلك، لم يتم استهداف سوى عدد قليل من الجمهوريين. توصل تحليل أجرته وكالة أسوشيتد برس لـ 4700 حساب بريد إلكتروني تعرضت لهجوم من قبل فانسي بير إلى أنه لا توجد دولة أخرى غير روسيا ستكون مهتمة باختراق الكثير من الأهداف المختلفة للغاية والتي يبدو أنها لا تشترك في أي شيء آخر سوى كونها موضع اهتمام الحكومة الروسية.

لوائح الاتهام في عام 2018

كذلك، في أكتوبر 2018م، تم الكشف عن لائحة الاتهام التي وجهتها هيئة محلفين اتحادية أمريكية لسبعة رجال، جميعهم ضباط في جهاز المخابرات الرئيسي، فيما يتعلق بالهجمات. وتنص لائحة الاتهام على أنه في الفترة من ديسمبر 2014م حتى مايو 2018م على الأقل، تآمر ضباط المخابرات الرئيسية الروسية لإجراء "اختراقات حاسوبية مستمرة ومتطورة تؤثر على أشخاص أمريكيين وكيانات مؤسسية ومنظمات دولية وموظفيهم المعنيين الموجودين في جميع أنحاء العالم، بناءً على مصلحتهم الاستراتيجية للحكومة الروسية". وقد صرحت وزارة العدل الأمريكية أن المؤامرة، من بين أهداف أخرى، تهدف إلى "نشر معلومات مسروقة كجزء من حملة تأثير وتضليل تهدف إلى تقويض جهود الوكالة العالمية لمكافحة المنشطات، والانتقام منها، ونزع الشرعية عنها بطريقة أخرى"، وهي منظمة دولية لمكافحة المنشطات نشرت تقرير ماكلارين، وهو تقرير كشف عن تعاطي المنشطات على نطاق واسع للرياضيين الروس برعاية الحكومة الروسية. وقد جهت إلى المتهمين تهم القرصنة الإلكترونية، والاحتيال الإلكتروني، وسرقة الهوية المشددة، وغسيل الأموال.

هجمات مراكز الأبحاث في عام 2019

ومن جهة أخرى، في فبراير 2019م، أعلنت شركة مايكروسوفت أنها اكتشفت هجمات التصيد الاحتيالي من APT28، والتي استهدفت موظفي صندوق مارشال الألماني، ومعهد أسبن ألمانيا، والمجلس الألماني للعلاقات الخارجية. يُزعم أن قراصنة من المجموعة أرسلوا رسائل تصيد عبر البريد الإلكتروني إلى 104 عنوان بريد إلكتروني في جميع أنحاء أوروبا في محاولة للوصول إلى بيانات اعتماد صاحب العمل وإصابة المواقع بالبرامج الضارة.

جوتشيفر 2.0

وعلى صعيد آخر، شخصية عبر الإنترنت ظهرت لأول مرة، وأعلنت مسؤوليتها عن اختراقات اللجنة الوطنية الديمقراطية في نفس اليوم الذي انتشرت فيه القصة التي تفيد بأن "فانسي بير" كانت مسؤولة عنها. ويزعم جوتشيفر 2.0 أنه مخترق روماني، ولكن عندما أجرت مجلة Motherboard مقابلة معه، طُرحت عليه أسئلة باللغة الرومانية وبدا أنه غير قادر على التحدث باللغة. ويبدو أن بعض الوثائق التي أصدروها مزورة، تم تجميعها من مواد من عمليات اختراق سابقة ومعلومات متاحة للعامة، ثم تم إضافة معلومات مضللة إليها.

الاعتداءات على الصحفيين

ومن ناحية أخرى، في 10 فبراير 2015م، تلقت خمس زوجات لأفراد من الجيش الأمريكي تهديدات بالقتل من قبل مجموعة من القراصنة تطلق على نفسها اسم "الخلافة الإلكترونية"، وتزعم أنها تابعة لتنظيم الدولة الإسلامية. تم اكتشاف لاحقًا أن هذا كان هجومًا زائفًا من قبل فانسي بير، عندما تم العثور على عناوين البريد الإلكتروني للضحايا في قائمة أهداف التصيد الاحتيالي الخاصة بـ "فانسي بير". ومن المعروف كذلك أن المتصيدين الروس على وسائل التواصل الاجتماعي يبالغون في الترويج للشائعات حول التهديد المحتمل لهجمات تنظيم الدولة الإسلامية الإرهابية على الأراضي الأمريكية من أجل بث الخوف والتوتر السياسي.

وفي السياق ذاته، تهديدات بالقتل من زوجات العسكريين الأميركيين (10 فبراير 2015)

ومن جهة أخرى، في أغسطس 2015م، استعملت مجموعة "فانسي بير" ثغرة أمنية في لغة البرمجة جافا Java، وانتحلت هوية مؤسسة الحدود الإلكترونية، وشنت هجمات على البيت الأبيض وحلف شمال الأطلسي. وقد استعمل المتسللون هجوم تصيد بالرمح، حيث قاموا بتوجيه رسائل البريد الإلكتروني إلى عنوان URL المزيف electronicfrontierfoundation.org.

إضافةً إلى ذلك، أصدرت شركة الأمن root9B تقريرًا عن فانسي بير، وذلك في مايو 2015م، وأعلنت من خلاله اكتشافها لهجوم تصيد يستهدف المؤسسات المالية. وتضمن التقرير قائمة بالمؤسسات المصرفية الدولية المستهدفة، بما في ذلك بنك يونايتد أفريقيا، وبنك أوف أميركا، وبنك تورنتو دومينيون، وبنك الإمارات العربية المتحدة. وبحسب ـ root9B، بدأت الاستعدادات للهجمات في يونيو 2014م، وكان البرنامج الخبيث المستعمل "يحمل توقيعات محددة كانت في السابق فريدة من نوعها لمنظمة واحدة فقط، وهي سوفاسي". وقد شكك الصحفي الأمني برايان كريبز في دقة ادعاءات root9B، مفترضًا أن الهجمات نشأت في الواقع من قبل قراصنة نيجيريين. وفي يونيو 2015م، نشر باحث الأمن المحترم كلاوديو جوارنيري تقريرًا يعتمد على تحقيقه الخاص حول استغلال سوفاسي المتزامن ضد البوندستاغ الألماني ونسب إلى root9B الفضل في الإبلاغ عن "نفس عنوان IP المستعمل كخادم Command & Control في الهجوم على البوندستاغ (176.31.112.10)"، وتابع قائلاً إنه بناءً على فحصه لهجوم البوندستاغ، فإن "بعض" المؤشرات الموجودة في تقرير root9B بدت دقيقة، بما في ذلك مقارنة تجزئة عينة البرامج الضارة من كلا الحادثين. وقد نشرت root9B لاحقًا تقريرًا فنيًا يقارن تحليل كلاوديو للبرامج الضارة المنسوبة إلى سوفاسي بعينة خاصة بهم، مما أضاف إلى صحة تقريرهم الأصلي.

إضافةً إلى ذلك، ونتيجة لوجود أدلة على تعاطي المنشطات على نطاق واسع بين الرياضيين الروس، أوصت الوكالة العالمية لمكافحة المنشطات بمنع الرياضيين الروس من المشاركة في دورة الألعاب الأولمبية والبارالمبية ريو 2016م. وقال المحللون إنهم يعتقدون أن الاختراق كان في جزء منه عملاً انتقامياً ضد الرياضية الروسية يوليا ستيبانوفا، التي تم الكشف عن معلوماتها الشخصية في الاختراق. وفي أغسطس 2016م، كشفت الوكالة العالمية لمكافحة المنشطات أن أنظمتها تعرضت للاختراق، موضحة أن قراصنة من شركة "فانسي بير" استعملوا حسابًا أنشأته اللجنة الأولمبية الدولية (IOC) للوصول إلى قاعدة بيانات نظام إدارة مكافحة المنشطات (ADAMS). ثم استعمل المتسللون موقع fancybear.net لنشر ما قالوا إنه ملفات اختبار المخدرات الأولمبية للعديد من الرياضيين الذين حصلوا على إعفاءات للاستخدام العلاجي، بما في ذلك لاعبة الجمباز الأمريكية سيمون بايلز، ولاعبتي التنس الأمريكيتين فينوس وسيرينا ويليامز، ولاعبة كرة السلة إيلينا ديلي دونه . واستهدف المتسللون الرياضيين الذين حصلوا على إعفاءات قانونية من قبل الوكالة العالمية لمكافحة المنشطات لأسباب طبية مختلفة. حيث تم الوصول إلى الملفات الطبية لنحو 250 رياضيًا من دول أخرى غير روسيا وتم تسريبها.

كذلك، وقال المدير العام لشركة تي في 5 موند TV5Monde، إيف بيجو، في وقت لاحق إن الهجوم كاد أن يدمر الشركة؛ ولو استغرق الأمر وقتا أطول لاستعادة البث، لكان من المرجح أن تلغي قنوات توزيع الأقمار الصناعية عقودها. وقد كان الهجوم مصممًا لتدمير المعدات والشركة نفسها، وليس للدعاية أو التجسس، كما كان الحال بالنسبة لأغلب الهجمات الإلكترونية الأخرى. وقد تم التخطيط للهجوم بعناية؛ وكان أول اختراق معروف للشبكة في 23 يناير 2015م. ولاحقًا، قام المهاجمون باستطلاع قناة تي في 5 موند TV5Monde لفهم كيفية بث إشاراتها، وقاموا بإنشاء برمجيات خبيثة مخصصة لإفساد وتدمير الأجهزة المتصلة بالإنترنت والتي تتحكم في عمليات المحطة التلفزيونية، مثل أنظمة التشفير. وقد استعملوا سبع نقاط دخول مختلفة، ولم تكن جميعها جزءًا من تي في 5 موند TV5Monde أو حتى في فرنسا - حيث كانت إحداها شركة مقرها في هولندا كانت تزود الكاميرات التي يتم التحكم فيها عن بعد والتي تستعمل في استوديوهات TV5. وفي الفترة ما بين 16 فبراير و25 مارس، جمع المهاجمون بيانات على منصات TV5 الداخلية، بما في ذلك ويكي Wiki الداخلية لتكنولوجيا المعلومات، وتحققوا من أن بيانات اعتماد تسجيل الدخول لا تزال صالحة. أثناء الهجوم، قام المتسللون بتشغيل سلسلة من الأوامر المستخرجة من سجلات تاكاكس TACACS لمسح البرامج الثابتة من المفاتيح وأجهزة التوجيه.

من جهة ثانية، وعلى الرغم من أن الهجوم زُعم أنه من تنظيم الدولة الإسلامية، فإن وكالة الأمن السيبراني الفرنسية طلبت من بيجو أن يقول فقط إن الرسائل زعمت أنها من تنظيم الدولة الإسلامية. وأُبلغ لاحقًا أنه تم العثور على أدلة تشير إلى أن المهاجمين هم مجموعة APT 28 من القراصنة الروس. ولم يتم العثور على سبب لاستهداف قناة تي في 5 موند TV5Monde، كما أن مصدر الأمر بالهجوم والتمويل له غير معروف. وقد قيل إن هذه العملية ربما كانت محاولة لاختبار أشكال من الأسلحة السيبرانية. وقد تم تقدير التكلفة بنحو 5 ملايين يورو (أي ما يعادل 5.6 مليون دولار أميركي؛ أو 4.5 مليون جنيه إسترليني) وذلك في السنة الأولى، تليها تكلفة سنوية متكررة تزيد على 3 ملايين يورو (اي ما يعادل 3.4 مليون دولار أميركي؛ أو 2.7 مليون جنيه إسترليني) للحماية الجديدة. وقد كان لزاماً على الشركة أن تتغير طريقة عملها، مع المصادقة على البريد الإلكتروني، وكذلك التحقق من محركات الأقراص المحمولة قبل الإدخال، وما إلى ذلك، الأمر الذي أدى إلى الإضرار إلى حدّ كبير بكفاءة شركة إعلامية إخبارية يجب أن تنقل المعلومات.

الوكالة العالمية لمكافحة المنشطات (أغسطس 2016)

علاوةً على ذلك، وقد اخترق المتسللون الأنظمة الداخلية للشبكة، وربما ساعدهم في ذلك كلمات المرور التي بثتها قناة TV5 علنًا، مما أدى إلى تجاوز برمجة البث لقنوات الشركة الـ12 لأكثر من ثلاث ساعات. تم استعادة الخدمة جزئيًا فقط في الساعات الأولى من صباح اليوم التالي، وتعطلت خدمات البث العادية حتى وقت متأخر من يوم 9 أبريل. كما تم إغلاق الكثير من أنظمة الإدارة والدعم الداخلية المحوسبة، بما في ذلك البريد الإلكتروني أو أصبح من غير الممكن الوصول إليها بسبب هذا الهجوم. كما قام القراصنة بسرقة صفحات قناة تي في 5 موند TV5Monde على الفيسبوك وتويتر لنشر معلومات شخصية لأقارب الجنود الفرنسيين المشاركين في العمليات ضد داعش، إلى جانب رسائل تنتقد الرئيس فرانسوا أولاند، بحجة أن الهجمات الإرهابية في يناير 2015م كانت "هدايا" لـ"خطئه الذي لا يغتفر" بالمشاركة في صراعات "لا تخدم أي غرض".

علاوةً على ذلك، يُعتقد أن فانسي بير كانت مسؤولة عن الهجوم الإلكتروني الذي استمر ستة أشهر على البرلمان الألماني (بوندستاغ) والذي بدأ في ديسمبر 2014م. وفي 5 مايو 2020م، أصدر المدعون الفيدراليون الألمان مذكرة اعتقال بحق ديمتري بادين فيما يتعلق بالهجمات. وقد أدى الهجوم إلى شلل البنية التحتية لتكنولوجيا المعلومات في البوندستاغ بشكل كامل في مايو 2015م. ولحل هذا الوضع، كان لا بد من إيقاف عمل البرلمان بأكمله لعدة أيام. ويقدر خبراء تكنولوجيا المعلومات أن إجمالي البيانات التي تم تنزيلها من البرلمان كجزء من الهجوم بلغ 16 جيجابايت.

تقرير root9B (مايو 2015)

وفي السياق ذاته، في 8 أبريل 2015م، تعرضت شبكة التلفزيون الفرنسية تي في 5 موند TV5Monde لهجوم إلكتروني شنته مجموعة من القراصنة تطلق على نفسها اسم "الخلافة الإلكترونية"، وتزعم أن لها علاقات بتنظيم الدولة الإسلامية في العراق والشام (داعش). وفي وقت لاحق، رفض المحققون الفرنسيون النظرية القائلة بأن الإسلاميين المتشددين كانوا وراء هذا الهجوم الإلكتروني، وبدلاً من ذلك اشتبهوا في تورط مجموعة فانسي بير في عملية الهجوم.

إضافةً إلى ذلك، في أغسطس 2016م، أعلنت الوكالة العالمية لمكافحة المنشطات عن تلقيها رسائل بريد إلكتروني احتيالية تم إرسالها إلى مستعملي قاعدة بياناتها تدعي أنها اتصالات رسمية من الوكالة العالمية لمكافحة المنشطات تطلب تفاصيل تسجيل الدخول الخاصة بهم. بعد مراجعة النطاقين اللذين قدمتهما الوكالة العالمية لمكافحة المنشطات، وجد أن معلومات التسجيل والاستضافة الخاصة بالموقعين الإلكترونيين كانت متوافقة مع مجموعة القرصنة الروسية "فانسي بير". وبحسب الوكالة العالمية لمكافحة المنشطات، فإن بعض البيانات التي قام المتسللون بنشرها كانت مزورة.

اختراق التلفزيون الفرنسي (أبريل 2015)

الهجمات الألمانية (منذ عام 2014)

وفي هذا السياق، خدعة منظمة الحدود الإلكترونية، هجوم البيت الأبيض وحلف شمال الأطلسي (أغسطس 2015)

علاوةً على ذلك، وفي الفترة من منتصف عام 2014م، وحتى خريف عام 2017م، استهدفت شركة فانسي بير الكثير من الصحفيين في الولايات المتحدة، وأوكرانيا، وروسيا، ومولدوفا، ودول البلطيق، ودول أخرى من الذين كتبوا مقالات عن فلاديمير بوتن والكرملين. وبحسب وكالة أسوشيتد برس وسيكيوروركس SecureWorks، فإن هذه المجموعة من الصحفيين هي ثالث أكبر مجموعة مستهدفة من قبل فانسي بير، وذلك بعد الموظفين الدبلوماسيين والديمقراطيين الأميركيين. وتشمل قائمة أهداف فانسي بير كل من: الصحفي الأمريكي أدريان تشن، والصحفية الأرمنية ماريا تيتيزيان، والصحفي البريطاني إليوت هيغينز في منظمة بيلنجكات، والصحفية الأمريكية إيلين باري، وما لا يقل عن 50 مراسلًا آخرين من نيويورك تايمز، وما لا يقل عن 50 مراسلًا أجنبيًا مقيمين في موسكو من الذين عملوا لصالح منافذ إخبارية مستقلة، وجوش روجين، كاتب عمود في واشنطن بوست، والصحفي الأمريكي شاين هاريس، كاتب في ذا ديلي بيست والذي غطى قضايا الاستخبارات في سنة 2015م، ومايكل وايس، محلل أمني في سي إن إن، وجيمي كيرشيك من مؤسسة بروكينغز، و30 هدفًا إعلاميًا في أوكرانيا، والعديد منهم في كييف بوست، والمراسلين الذين غطوا الحرب التي تدعمها روسيا في شرق أوكرانيا، وكذلك في روسيا حيث عمل غالبية الصحفيين المستهدفين من قبل القراصنة لصالح أخبار مستقلة (مثل نوفايا جازيتا أو فيدوموستي) مثل إيكاترينا فينوكوروفا في Znak.com والصحفيين الروس الرئيسيين تينا كانديلاكي، وكسينيا سوبتشاك، ومذيع التلفزيون الروسي بافيل لوبكوف، والذين عملوا جميعًا لصالح TV Rain. .

إضافةً إلى ذلك، ويُشتبه كذلك في أن المجموعة تقف وراء هجوم أغسطس 2016م على أعضاء البوندستاغ والكثير من الأحزاب السياسية مثل زعيمة فصيل لينكين ، سارة فاجينكنيشت، وحزب الاتحاد الشبابي، وحزب الاتحاد الديمقراطي المسيحي في ولاية سارلاند. وقد خشيت السلطات من أن يتمكن المتسللون من جمع معلومات حساسة للتلاعب بالجمهور في وقت لاحق قبل الانتخابات مثل الانتخابات الفيدرالية المقبلة في ألمانيا والتي كان من المقرر إجراؤها في سبتمبر 2017م.

مؤسسة تشيكية استراتيجية لعام 2019

وفي هذا السياق، في سنة 2020م، في التشيك، تمت الإفادة بوقوع حادثة تجسس إلكتروني في مؤسسة استراتيجية لم يتم ذكر اسمها، ربما وزارة الخارجية، وعلى الأرجح أن شركة "غانسي بير" هي التي نفذت هذه الحادثة.

المدفعية الأوكرانية

علاوةً على ذلك، وبحسب شركة كراودسترايك CrowdStrike، فإن المجموعة استعملت برامج ضارة تعمل على نظام أندرويد في الفترة من عام 2014م إلى عام 2016م لاستهداف قوات الصواريخ والمدفعية التابعة للجيش الأوكراني. حيث قاموا بتوزيع نسخة مصابة من تطبيق أندرويد كان الغرض الأصلي منها التحكم في بيانات الاستهداف لمدفعية الهاوتزر D-30. وكان التطبيق الذي يستعمله الضباط الأوكرانيون محملاً ببرنامج التجسس X-Agent وتم نشره عبر الإنترنت على المنتديات العسكرية. وزعمت شركة كراودسترايك CrowdStrike في البداية أن أكثر من 80% من مدافع الهاوتزر الأوكرانية من طراز D-30 قد دمرت في الحرب، وهي أعلى نسبة خسارة لأي قطعة مدفعية في الجيش (وهي نسبة لم يتم الإبلاغ عنها من قبل، والتي تعني خسارة ترسانة كاملة على وجه التقريب من أكبر قطعة مدفعية في القوات المسلحة الأوكرانية ). وبحسب الجيش الأوكراني، كانت أرقام كراود سترايك CrowdStrike غير صحيحة وأن الخسائر في أسلحة المدفعية "كانت أقل بكثير من تلك المبلغ عنها" وأن هذه الخسائر "لا علاقة لها بالسبب المذكور". وقد قامت شركة كراود سترايك CrowdStrike منذ ذلك الحين بمراجعة هذا التقرير بعد أن تنصل المعهد الدولي للدراسات الاستراتيجية (IISS) من تقريره الأصلي، مدعيًا أن عمليات اختراق البرامج الضارة أسفرت عن خسائر تتراوح بين 15% و20% بدلاً من الرقم الأصلي البالغ 80%.

ومن ناحية أخرى، في 10 يناير 2018م، سرب فريق اختراق "فانسي بير" على الإنترنت ما بدا أنه رسائل بريد إلكتروني مسروقة من اللجنة الأولمبية الدولية، واللجنة الأولمبية الأمريكية، والتي يعود تاريخها إلى أواخر عام 2016م وأوائل عام 2017م، وذلك رداً واضحاً على حظر اللجنة الأولمبية الدولية للرياضيين الروس من دورة الألعاب الأولمبية الشتوية لعام 2018م كعقوبة على برنامج المنشطات المنهجي في روسيا. ويشبه الهجوم تسريبات سابقة للوكالة العالمية لمكافحة المنشطات (WADA). ومن غير المعروف ما إذا كانت رسائل البريد الإلكتروني أصلية بالكامل، وذلك بسبب تاريخ "فانسي بير" في خلط رسائل البريد الإلكتروني المسروقة بمعلومات مضللة. ولم تكن طريقة الهجوم معروفة كذلك، ولكن من المحتمل أنها كانت عملية تصيد احتيالي.

في هذا الإطار، في عام 2017م، أصدر باحثون من شركة تريند مايكرو Trend Micro تقريرًا يوضح محاولات "فانسي بير" لاستهداف مجموعات مرتبطة بالحملات الانتخابية لإيمانويل ماكرون وأنجيلا ميركل. وبحسب التقرير، فقد استهدفت المجموعة حملة ماكرون بالتصيد الاحتيالي ومحاولة تثبيت برامج ضارة على موقعهم. وأكدت وكالة الأمن السيبراني الفرنسية ANSSI وقوع هذه الهجمات، لكنها لم تتمكن من تأكيد مسؤولية APT28. ولا يبدو أن حملة مارين لوبان كانت مستهدفة من قبل APT28، مما قد يشير إلى تفضيل روسيا لحملتها. وكان بوتن قد أشاد في السابق بالفوائد التي ستعود على روسيا إذا تم انتخاب مارين لوبان.

وعلى صعيد آخر، في فبراير2017م، كشف جهاز المخابرات والأمن العام في هولندا أن عصابتي "فانسي بير" و"كوزي بير" قامتا بعدة محاولات لاختراق الوزارات الهولندية، بما في ذلك وزارة الشؤون العامة، على مدى الأشهر الستة السابقة. وقال روب بيرثولي، رئيس جهاز المخابرات الأسترالي، على موقع EenVandaag أن المتسللين كانوا روسًا وحاولوا الوصول إلى وثائق حكومية سرية.

في هذا الإطار، وفي إحاطة أمام البرلمان، أعلن وزير الداخلية والعلاقات مع المملكة الهولندي رونالد بلاستيرك أن الأصوات في الانتخابات التشريعية الهولندية في مارس 2017م سوف يتم فرزها يدويًا.

الوزارات الهولندية (فبراير 2017)

في هذا الإطار، ويقول التقرير إن المجموعة استهدفت فيما بعد مؤسسة كونراد أديناور الألمانية ومؤسسة فريدريش إيبرت، وهما مجموعتان مرتبطتان بحزب الاتحاد الديمقراطي المسيحي بزعامة أنجيلا ميركل والحزب الديمقراطي الاجتماعي الألماني المعارض على التوالي. حيث قامت "فانسي بير" بإعداد خوادم بريد إلكتروني وهمية في أواخر عام 2016م لإرسال رسائل تصيدية تحتوي على روابط للبرامج الضارة.

ثغرة يوم الصفر في ويندوز (أكتوبر 2016)

علاوةً على ذلك، أعلن مسؤولون في الاتحاد الدولي لألعاب القوى في أبريل 2017م أن خوادمه تعرضت للاختراق من قبل مجموعة "فانسي بير". وقد تم اكتشاف الهجوم من قبل شركة الأمن السيبراني Context Information Security والتي حددت أن الوصول عن بعد غير المصرح به إلى خوادم الاتحاد الدولي لألعاب القوى حدث في 21 فبراير. وقد صرح الاتحاد الدولي لألعاب القوى أن المتسللين تمكنوا من الوصول إلى تطبيقات الإعفاء من الاستخدام العلاجي، اللازمة لاستخدام الأدوية المحظورة من قبل الوكالة العالمية لمكافحة المنشطات.

الانتخابات الألمانية والفرنسية (2016-2017)

وفي هذا الصدد، في 31 أكتوبر 2016م، كشفت مجموعة تحليل التهديدات التابعة لشركة جوجل Google عن ثغرة أمنية في أغلب إصدارات مايكروسوفت ويندوز Microsoft Windows والتي تعد موضوعًا لهجمات البرامج الضارة النشطة. وفي الأول من نوفمبر 2016م، نشر تيري مايرسون، نائب الرئيس التنفيذي لمجموعة ويندوز والأجهزة في مايكروسوفت، على مدونة مايكروسوفت لأبحاث التهديدات والاستجابة لها، مُقرًا بالثغرة الأمنية، وموضحًا أن "حملة تصيد احتيالي محدودة النطاق" استهدفت مستعملين محددين، وقد استغلت "ثغرتين أمنيتين جديدتين في أدوبي فلاش ونواة ويندوز من المستوى الأدنى". وأشارت مايكروسوفت إلى مجموعة فانسي بير باعتبارها الجهة المسؤولة عن التهديد، مستعملةً الاسم الرمزي الخاص بها STRONTIUM.

اختراق الاتحاد الدولي لألعاب القوى (فبراير 2017)

اللجنة الأولمبية الدولية (2018)

من جهة ثانية، وقد زعم خبراء الأمن السيبراني كذلك أن الهجمات كانت تستهدف كذلك شركة تعبئة اختبارات المنشطات الرياضية الاحترافية المعروفة باسم Berlinger Group.