فانسي بير

فانسي بير Fancy Bear- هي مجموعة تجسس إلكترونية روسية. ( ويمكن أن تسمى في العربية بــ"الدب الفاخر" أو "الدببة الفاخرة") وقد صرحت شركة الأمن السيبراني الأمريكية كراودسترايك بأنها مرتبطة بوكالة الاستخبارات العسكرية الروسية GRU.   كما صرحت وزارة الخارجية وشؤون الكومنولث في المملكة المتحدة  وكذلك بعض شركات الأمن السيبراني مثل: سيكيوروركس SecureWorks،  ثريت كونيكت ThreatConnect،  و مانديانت Mandiant،  أن مجموعة غانسي بير ترعاها الحكومة الروسية. وفي عام 2018م، حددت لائحة الاتهام التي قدمها المستشار الخاص للولايات المتحدة شركة "فانسي بير" باعتبارها وحدة GRU رقم 26165.   ويشير ذلك إلى رقم الوحدة العسكرية الموحدة لأفواج الجيش الروسي.

وقد تم تصنيف فانسي بير بواسطة فاير آي FireEye باعتبارها تهديدًا مستمرًا متقدمًا.  ومن بين أمور أخرى، فإنها تستخدم ثغرات اليوم صفر، والتصيد الاحتيالي والبرامج الضارة لاختراق الأهداف. وتعمل المجموعة على تعزيز المصالح السياسية للحكومة الروسية، وهي معروفة باختراق رسائل البريد الإلكتروني للجنة الوطنية الديمقراطية لمحاولة التأثير على نتائج الانتخابات الرئاسية الأمريكية لعام 2016م.

يأتي اسم "فانسي بير" من نظام الترميز الذي يستخدمه الباحث في مجال أمن الكمبيوتر دميتري ألبيروفيتش لتحديد هوية المتسللين. 

ومن المرجح أن تكون أساليب شركة فانسي بير تعمل منذ منتصف العقد الأول من القرن العشرين، وهي متوافقة مع قدرات الجهات الفاعلة في الدولة. وتستهدف المجموعة الحكومات والجيش والوكالات الأمنية والأشخاص في العديد من البلدان، والتي تتمثل غالبًا في دول القوقاز والدول المتحالفة مع حلف شمال الأطلسي، ومع ذلك فهي تستهدف أيضًا منظمات دولية مثل الوكالة العالمية لمكافحة المنشطات. ويُعتقد أن فانسي بير هي المسؤولة عن الهجمات الإلكترونية على البرلمان الألماني (بوندستاغ) والبرلمان النرويجي ومحطة التلفزيون الفرنسية تي في 5 موند TV5Monde وكذلك البيت الأبيض، وحلف شمال الأطلسي، واللجنة الوطنية الديمقراطية، ومنظمة الأمن والتعاون في أوروبا، وحملة المرشح الرئاسي الفرنسي إيمانويل ماكرون. 

 تقارير الاكتشاف والأمان 
قامت شركة برمجيات الأمن السيبراني الأمريكية اليابانية " تريند مايكرو Trend Micro" بتصنيف الجهات الفاعلة وراء برنامج "سوفاسي Sofacy" الخبيث باسم عملية "عاصفة البيدق Pawn Storm"، وذلك في 22 أكتوبر 2014م.  ويعود الاسم إلى استخدام المجموعة "لاثنين أو أكثر من الأدوات/التكتيكات المتصلة لمهاجمة هدف محدد على غرار استراتيجية الشطرنج"،  والمعروفة باسم عاصفة البيادق.

أصدرت شركة أمن الشبكات "فاير آي FireEye" والمعروفة حاليًا باسم تريليكس Trellix، تقريرًا مفصلاً عن فانسي بير، وذلك في أكتوبر 2014م. وقد صنف التقرير المجموعة على أنها "التهديد المستمر المتقدم 28" (APT28) ووصف كيف استخدمت مجموعة القرصنة ثغرات اليوم صفر لنظام التشغيل  مايكروسوفت ويندوز  و أدوبي فلاش.  وتوصل التقرير إلى تفاصيل عملياتية تشير إلى أن المصدر هو "جهة راعية حكومية مقرها موسكو". تشير الأدلة التي جمعتها شركة FireEye إلى أن برنامج فانسي بير الخبيث تم تجميعه في المقام الأول في بيئة بناء باللغة الروسية وحدث بشكل أساسي أثناء ساعات العمل الموازية للمنطقة الزمنية لموسكو.  وأشارت مديرة استخبارات التهديدات في شركة FireEye، لورا جالانتي، إلى أنشطة المجموعة باعتبارها "تجسسًا على الدولة"  وقالت إن الأهداف تشمل أيضًا "وسائل الإعلام أو المؤثرين".  

ويشتق اسم "فانسي بير" من نظام الترميز الذي تستخدمه شركة كراودسترايك CrowdStrike التابعة لـ دميتري ألبيروفيتش لمجموعات القراصنة. يشير "الدب" إلى أن القراصنة من روسيا. تشير كلمة "فانسي" إلى "سوفاسي"، وهي كلمة في البرنامج الخبيث الذي ذكّر المحلل الذي وجده بأغنية " فانسي " لـمغنية الراب الأسترالية  ايجي ازيليا Iggy Azalea. 

 الهجمات 
وقد شملت أهداف شركة "فانسي بير" حكومات وجيوش أوروبا الشرقية، ودولة جورجيا والقوقاز، وأوكرانيا،  والمنظمات المرتبطة بالأمن مثل حلف شمال الأطلسي، فضلاً عن شركات الدفاع الأمريكية Academi (المعروفة سابقًا باسم Blackwater وXe Services)، وشركة تطبيقات العلوم الدولية Science Applications International Corporation (SAIC)،  وشركة Boeing، وشركة Lockheed Martin، وشركة Raytheon.  كما هاجمت فرقة فانسي بير مواطنين من الاتحاد الروسي من الأعداء السياسيين للكرملين، بما في ذلك قطب النفط السابق ميخائيل خودوركوفسكي، وماريا أليوخينا من فرقة بوسي ريوت.  وخلصت شركة سيكيور ووركس، وهي شركة للأمن السيبراني مقرها في الولايات المتحدة، إلى أن قائمة أهداف "فانسي بير" في الفترة من مارس 2015م إلى مايو 2016م لم تشمل اللجنة الوطنية الديمقراطية للولايات المتحدة واللجنة الوطنية الجمهورية فحسب،  بل وعشرات الآلاف من أعداء بوتن والكرملين في الولايات المتحدة وأوكرانيا وروسيا وجورجيا وسوريا. ومع ذلك، لم يتم استهداف سوى عدد قليل من الجمهوريين.  توصل تحليل أجرته وكالة أسوشيتد برس لـ 4700 حساب بريد إلكتروني تعرضت لهجوم من قبل فانسي بير إلى أنه لا توجد دولة أخرى غير روسيا ستكون مهتمة باختراق العديد من الأهداف المختلفة للغاية والتي يبدو أنها لا تشترك في أي شيء آخر سوى كونها موضع اهتمام الحكومة الروسية. 

ويبدو أن "فانسي بير" تحاول أيضًا التأثير على الأحداث السياسية، وذلك من أجل تمكين أصدقاء أو حلفاء الحكومة الروسية من الوصول إلى السلطة.

في الفترة ما بين 2011-2012م، كان البرنامج الخبيث في المرحلة الأولى لمجموعة فانسي بير هو زرع "سوفاسي" أو سورفيس. وخلال عام 2013م، أضافت فانسي بير المزيد من الأدوات وعتاصر التستر، بما في ذلك CHOPSTICK وCORESHELL وJHUHUGIT وADVSTORESHELL. 

 الاعتداءات على الصحفيين 
وفي الفترة من منتصف عام 2014م، وحتى خريف عام 2017م، استهدفت شركة فانسي بير العديد من الصحفيين في الولايات المتحدة، وأوكرانيا، وروسيا، ومولدوفا، ودول البلطيق، ودول أخرى من الذين كتبوا مقالات عن فلاديمير بوتن والكرملين. وبحسب وكالة أسوشيتد برس وسيكيوروركس SecureWorks، فإن هذه المجموعة من الصحفيين هي ثالث أكبر مجموعة مستهدفة من قبل فانسي بير، وذلك بعد الموظفين الدبلوماسيين والديمقراطيين الأميركيين. وتشمل قائمة أهداف فانسي بير كل من: الصحفي الأمريكي أدريان تشن، والصحفية الأرمنية ماريا تيتيزيان، والصحفي البريطاني إليوت هيغينز في منظمة بيلنجكات، والصحفية الأمريكية إيلين باري، وما لا يقل عن 50 مراسلًا آخرين من نيويورك تايمز، وما لا يقل عن 50 مراسلًا أجنبيًا مقيمين في موسكو من الذين عملوا لصالح منافذ إخبارية مستقلة، وجوش روجين، كاتب عمود في واشنطن بوست، والصحفي الأمريكي شاين هاريس، كاتب في ذا ديلي بيست والذي غطى قضايا الاستخبارات في عام 2015م، ومايكل وايس، محلل أمني في سي إن إن، وجيمي كيرشيك من مؤسسة بروكينغز، و30 هدفًا إعلاميًا في أوكرانيا، والعديد منهم في كييف بوست، والمراسلين الذين غطوا الحرب التي تدعمها روسيا في شرق أوكرانيا، وكذلك في روسيا حيث عمل غالبية الصحفيين المستهدفين من قبل القراصنة لصالح أخبار مستقلة (مثل نوفايا جازيتا أو فيدوموستي) مثل إيكاترينا فينوكوروفا في Znak.com والصحفيين الروس الرئيسيين تينا كانديلاكي، وكسينيا سوبتشاك، ومذيع التلفزيون الروسي بافيل لوبكوف، والذين عملوا جميعًا لصالح TV Rain. . 

 الهجمات الألمانية (منذ عام 2014) 
يُعتقد أن فانسي بير كانت مسؤولة عن الهجوم الإلكتروني الذي استمر ستة أشهر على البرلمان الألماني (بوندستاغ) والذي بدأ في ديسمبر 2014م.  وفي 5 مايو 2020م، أصدر المدعون الفيدراليون الألمان مذكرة اعتقال بحق ديمتري بادين فيما يتعلق بالهجمات.  وقد أدى الهجوم إلى شلل البنية التحتية لتكنولوجيا المعلومات في البوندستاغ بشكل كامل في مايو 2015م. ولحل هذا الوضع، كان لا بد من إيقاف عمل البرلمان بأكمله لعدة أيام. ويقدر خبراء تكنولوجيا المعلومات أن إجمالي البيانات التي تم تنزيلها من البرلمان كجزء من الهجوم بلغ 16 جيجابايت. 

ويُشتبه أيضًا في أن المجموعة تقف وراء هجوم أغسطس 2016م على أعضاء البوندستاغ والعديد من الأحزاب السياسية مثل زعيمة فصيل لينكين ، سارة فاجينكنيشت، وحزب الاتحاد الشبابي، وحزب الاتحاد الديمقراطي المسيحي في ولاية سارلاند.     وقد خشيت السلطات من أن يتمكن المتسللون من جمع معلومات حساسة للتلاعب بالجمهور في وقت لاحق قبل الانتخابات مثل الانتخابات الفيدرالية المقبلة في ألمانيا والتي كان من المقرر إجراؤها في سبتمبر 2017م. 

 تهديدات بالقتل من زوجات العسكريين الأميركيين (10 فبراير 2015) 
في 10 فبراير 2015م، تلقت خمس زوجات لأفراد من الجيش الأمريكي تهديدات بالقتل من قبل مجموعة من القراصنة تطلق على نفسها اسم "الخلافة الإلكترونية"، وتزعم أنها تابعة لتنظيم الدولة الإسلامية.     تم اكتشاف لاحقًا أن هذا كان هجومًا زائفًا من قبل فانسي بير، عندما تم العثور على عناوين البريد الإلكتروني للضحايا في قائمة أهداف التصيد الاحتيالي الخاصة بـ "فانسي بير".  ومن المعروف أيضًا أن المتصيدين الروس على وسائل التواصل الاجتماعي يبالغون في الترويج للشائعات حول التهديد المحتمل لهجمات تنظيم الدولة الإسلامية الإرهابية على الأراضي الأمريكية من أجل بث الخوف والتوتر السياسي. 

 اختراق التلفزيون الفرنسي (أبريل 2015) 
في 8 أبريل 2015م، تعرضت شبكة التلفزيون الفرنسية تي في 5 موند TV5Monde لهجوم إلكتروني شنته مجموعة من القراصنة تطلق على نفسها اسم "الخلافة الإلكترونية"، وتزعم أن لها علاقات بتنظيم الدولة الإسلامية في العراق والشام (داعش). وفي وقت لاحق، رفض المحققون الفرنسيون النظرية القائلة بأن الإسلاميين المتشددين كانوا وراء هذا الهجوم الإلكتروني، وبدلاً من ذلك اشتبهوا في تورط مجموعة فانسي بير في عملية الهجوم. 

وقد اخترق المتسللون الأنظمة الداخلية للشبكة، وربما ساعدهم في ذلك كلمات المرور التي بثتها قناة TV5 علنًا، Hacked French network exposed its own passwords during TV interview  - arstechnica مما أدى إلى تجاوز برمجة البث لقنوات الشركة الـ12 لأكثر من ثلاث ساعات.  تم استعادة الخدمة جزئيًا فقط في الساعات الأولى من صباح اليوم التالي، وتعطلت خدمات البث العادية حتى وقت متأخر من يوم 9 أبريل.  كما تم إغلاق العديد من أنظمة الإدارة والدعم الداخلية المحوسبة، بما في ذلك البريد الإلكتروني أو أصبح من غير الممكن الوصول إليها بسبب هذا الهجوم.   كما قام القراصنة بسرقة صفحات قناة تي في 5 موند TV5Monde على الفيسبوك وتويتر لنشر معلومات شخصية لأقارب الجنود الفرنسيين المشاركين في العمليات ضد داعش، إلى جانب رسائل تنتقد الرئيس فرانسوا أولاند، بحجة أن الهجمات الإرهابية في يناير 2015م كانت "هدايا" لـ"خطئه الذي لا يغتفر" بالمشاركة في صراعات "لا تخدم أي غرض".  

وقال المدير العام لشركة تي في 5 موند TV5Monde، إيف بيجو، في وقت لاحق إن الهجوم كاد أن يدمر الشركة؛ ولو استغرق الأمر وقتا أطول لاستعادة البث، لكان من المرجح أن تلغي قنوات توزيع الأقمار الصناعية عقودها. وقد كان الهجوم مصممًا لتدمير المعدات والشركة نفسها، وليس للدعاية أو التجسس، كما كان الحال بالنسبة لمعظم الهجمات الإلكترونية الأخرى. وقد تم التخطيط للهجوم بعناية؛ وكان أول اختراق معروف للشبكة في 23 يناير 2015م.  وبعد ذلك، قام المهاجمون باستطلاع قناة تي في 5 موند TV5Monde لفهم كيفية بث إشاراتها، وقاموا بإنشاء برمجيات خبيثة مخصصة لإفساد وتدمير الأجهزة المتصلة بالإنترنت والتي تتحكم في عمليات المحطة التلفزيونية، مثل أنظمة التشفير. وقد استخدموا سبع نقاط دخول مختلفة، ولم تكن جميعها جزءًا من تي في 5 موند TV5Monde أو حتى في فرنسا - حيث كانت إحداها شركة مقرها في هولندا كانت تزود الكاميرات التي يتم التحكم فيها عن بعد والتي تستخدم في استوديوهات TV5.   وفي الفترة ما بين 16 فبراير و25 مارس، جمع المهاجمون بيانات على منصات TV5 الداخلية، بما في ذلك  ويكي Wiki الداخلية لتكنولوجيا المعلومات، وتحققوا من أن بيانات اعتماد تسجيل الدخول لا تزال صالحة.  أثناء الهجوم، قام المتسللون بتشغيل سلسلة من الأوامر المستخرجة من سجلات تاكاكس TACACS لمسح البرامج الثابتة من المفاتيح وأجهزة التوجيه. 

وعلى الرغم من أن الهجوم زُعم أنه من تنظيم الدولة الإسلامية، فإن وكالة الأمن السيبراني الفرنسية طلبت من بيجو أن يقول فقط إن الرسائل زعمت أنها من تنظيم الدولة الإسلامية. وأُبلغ لاحقًا أنه تم العثور على أدلة تشير إلى أن المهاجمين هم مجموعة APT 28 من القراصنة الروس. ولم يتم العثور على سبب لاستهداف قناة تي في 5 موند TV5Monde، كما أن مصدر الأمر بالهجوم والتمويل له غير معروف. وقد قيل إن هذه العملية ربما كانت محاولة لاختبار أشكال من الأسلحة السيبرانية. وقد تم تقدير التكلفة بنحو 5 ملايين يورو (أي ما يعادل 5.6 مليون دولار أميركي؛ أو 4.5 مليون جنيه إسترليني) وذلك في السنة الأولى، تليها تكلفة سنوية متكررة تزيد على 3 ملايين يورو (اي ما يعادل 3.4 مليون دولار أميركي؛ أو 2.7 مليون جنيه إسترليني) للحماية الجديدة. وقد كان لزاماً على الشركة أن تتغير طريقة عملها، مع المصادقة على البريد الإلكتروني، وكذلك التحقق من محركات الأقراص المحمولة قبل الإدخال، وما إلى ذلك، الأمر الذي أدى إلى الإضرار بشكل كبير بكفاءة شركة إعلامية إخبارية يجب أن تنقل المعلومات. 

 تقرير root9B (مايو 2015) 
أصدرت شركة الأمن root9B تقريرًا عن فانسي بير، وذلك في مايو 2015م، وأعلنت من خلاله اكتشافها لهجوم تصيد  يستهدف المؤسسات المالية. وتضمن التقرير قائمة بالمؤسسات المصرفية الدولية المستهدفة، بما في ذلك بنك يونايتد أفريقيا، وبنك أوف أميركا، وبنك تورنتو دومينيون، وبنك الإمارات العربية المتحدة. ووفقًا لـ root9B، بدأت الاستعدادات للهجمات في يونيو 2014م، وكان البرنامج الخبيث المستخدم "يحمل توقيعات محددة كانت في السابق فريدة من نوعها لمنظمة واحدة فقط، وهي سوفاسي".  وقد شكك الصحفي الأمني برايان كريبز في دقة ادعاءات root9B، مفترضًا أن الهجمات نشأت في الواقع من قبل قراصنة نيجيريين.  وفي يونيو 2015م، نشر باحث الأمن المحترم كلاوديو جوارنيري تقريرًا يعتمد على تحقيقه الخاص حول استغلال سوفاسي المتزامن ضد البوندستاغ الألماني  ونسب إلى root9B الفضل في الإبلاغ عن "نفس عنوان IP المستخدم كخادم Command & Control في الهجوم على البوندستاغ (176.31.112.10)"، وتابع قائلاً إنه بناءً على فحصه لهجوم البوندستاغ، فإن "بعض" المؤشرات الموجودة في تقرير root9B بدت دقيقة، بما في ذلك مقارنة تجزئة عينة البرامج الضارة من كلا الحادثين. وقد نشرت root9B لاحقًا تقريرًا فنيًا يقارن تحليل كلاوديو للبرامج الضارة المنسوبة إلى سوفاسي بعينة خاصة بهم، مما أضاف إلى صحة تقريرهم الأصلي. 

 خدعة منظمة الحدود الإلكترونية، هجوم البيت الأبيض وحلف شمال الأطلسي (أغسطس 2015) 
في أغسطس 2015م، استخدمت مجموعة "فانسي بير"  ثغرة أمنية في لغة البرمجة جافا Java، وانتحلت هوية مؤسسة الحدود الإلكترونية، وشنت هجمات على البيت الأبيض وحلف شمال الأطلسي. وقد استخدم المتسللون هجوم تصيد بالرمح، حيث قاموا بتوجيه رسائل البريد الإلكتروني إلى عنوان URL المزيف electronicfrontierfoundation.org.  

 الوكالة العالمية لمكافحة المنشطات (أغسطس 2016) 
في أغسطس 2016م، أعلنت الوكالة العالمية لمكافحة المنشطات عن تلقيها رسائل بريد إلكتروني احتيالية تم إرسالها إلى مستخدمي قاعدة بياناتها تدعي أنها اتصالات رسمية من الوكالة العالمية لمكافحة المنشطات تطلب تفاصيل تسجيل الدخول الخاصة بهم. بعد مراجعة النطاقين اللذين قدمتهما الوكالة العالمية لمكافحة المنشطات، وجد أن معلومات التسجيل والاستضافة الخاصة بالموقعين الإلكترونيين كانت متوافقة مع مجموعة القرصنة الروسية "فانسي بير".   ووفقًا للوكالة العالمية لمكافحة المنشطات، فإن بعض البيانات التي قام المتسللون بنشرها كانت مزورة. 

ونتيجة لوجود أدلة على تعاطي المنشطات على نطاق واسع بين الرياضيين الروس، أوصت الوكالة العالمية لمكافحة المنشطات بمنع الرياضيين الروس من المشاركة في دورة الألعاب الأولمبية والبارالمبية ريو 2016م. وقال المحللون إنهم يعتقدون أن الاختراق كان في جزء منه عملاً انتقامياً ضد الرياضية الروسية يوليا ستيبانوفا، التي تم الكشف عن معلوماتها الشخصية في الاختراق.  وفي أغسطس 2016م، كشفت الوكالة العالمية لمكافحة المنشطات أن أنظمتها تعرضت للاختراق، موضحة أن قراصنة من شركة "فانسي بير"  استخدموا حسابًا أنشأته اللجنة الأولمبية الدولية (IOC) للوصول إلى قاعدة بيانات نظام إدارة مكافحة المنشطات (ADAMS).  ثم استخدم المتسللون موقع fancybear.net لنشر ما قالوا إنه ملفات اختبار المخدرات الأولمبية للعديد من الرياضيين الذين حصلوا على إعفاءات للاستخدام العلاجي، بما في ذلك لاعبة الجمباز الأمريكية سيمون بايلز، ولاعبتي التنس الأمريكيتين فينوس وسيرينا ويليامز، ولاعبة كرة السلة إيلينا ديلي دونه .  واستهدف المتسللون الرياضيين الذين حصلوا على إعفاءات قانونية من قبل الوكالة العالمية لمكافحة المنشطات لأسباب طبية مختلفة. حيث تم الوصول إلى الملفات الطبية لنحو 250 رياضيًا من دول أخرى غير روسيا وتم تسريبها. 

 مجلس السلامة الهولندي وبيلينجكات 
كان إليوت هيغينز وصحفيون آخرون مرتبطون بمجموعة بيلينجكات ، وهي مجموعة تبحث في إسقاط طائرة الخطوط الجوية الماليزية الرحلة 17 فوق أوكرانيا، هدفًا للعديد من رسائل التصيد الاحتيالي عبر البريد الإلكتروني. كانت الرسائل عبارة عن إشعارات أمان مزيفة لـ Gmail مع عناوين URL مختصرة لـ Bit.ly و TinyCC. ووفقًا لـشركة الأمن السيبراني ثريت كونكت ThreatConnect، فإن بعض رسائل التصيد الاحتيالي كانت تأتي من خوادم استخدمتها "فانسي بير" في هجمات سابقة في أماكن أخرى. تشتهر بيلينجكات بإثباتها أن روسيا مسؤولة عن إسقاط الطائرة الماليزية MH17، وكثيراً ما تسخر منها وسائل الإعلام الروسية.  

كما استهدفت المجموعة مجلس السلامة الهولندي، وهو الهيئة التي تجري التحقيق الرسمي في الحادث، قبل وبعد إصدار التقرير النهائي للمجلس. قاموا بإنشاء خوادم SFTP وVPN وهمية لتقليد خوادم اللوحة نفسها، على الأرجح ، من أجل التصيد الاحتيالي لأسماء المستخدمين وكلمات المرور.  وقال متحدث باسم جهاز الأمن الداخلي إن الهجمات لم تكن ناجحة. 

 اللجنة الوطنية الديمقراطية (2016) 
نفذت شركة "فانسي بير" هجمات تصيد بالرمح على عناوين البريد الإلكتروني المرتبطة باللجنة الوطنية الديمقراطية الأمريكية، وذلك في الربع الأول من عام 2016م.   وفي العاشر من مارس، بدأت رسائل التصيد الاحتيالي في الوصول، والتي كانت موجهة بشكل رئيس إلى عناوين البريد الإلكتروني القديمة لموظفي الحملة الديمقراطية لعام 2008م. ربما يكون أحد هذه الحسابات قد قدم قوائم جهات اتصال محدثة. وفي اليوم التالي، اتسع نطاق هجمات التصيد الاحتيالي إلى عناوين البريد الإلكتروني غير العامة لمسؤولين رفيعي المستوى في الحزب الديمقراطي. تم مهاجمة عناوين Hillaryclinton.com، لكنها تطلبت مصادقة ثنائية العوامل للوصول إليها. تم إعادة توجيه الهجوم نحو حسابات Gmail في 19 مارس. تم اختراق حساب Gmail الخاص بـ Podesta في نفس اليوم، وتم سرقة 50 ألف رسالة بريد إلكتروني. وقد اشتدت هجمات التصيد الاحتيالي في شهر أبريل،  على الرغم من أن المتسللين لاح وكأنهم أصبحوا غير نشطين فجأة في يوم 15 أبريل، والذي كان في روسيا عطلة تكريماً لخدمات الحرب الإلكترونية العسكرية.  وقد  أرسل البرنامج الخبيث المستخدم في الهجوم بيانات مسروقة إلى نفس الخوادم التي استخدمتها المجموعة في هجومها على البرلمان الألماني (بوندستاغ) عام 2015م. 

وفي 14 يونيو، أصدرت كروادسترايك CrowdStrike تقريرًا يكشف عن عملية اختراق اللجنة الوطنية الديمقراطية ويحدد هوية مجموعة "فانسي بير" كمرتكبي هذه العملية. ثم ظهرت شخصية عبر الإنترنت تدعى Guccifer 2.0، مدعية أنها وحدها المسؤولة عن الاختراق. 

وكانت هناك مجموعة قرصنة متطورة أخرى تنسب إلى الاتحاد الروسي، والمعروفة باسم "كوزي بيرCozy Bear "، موجودة أيضًا في خوادم اللجنة الوطنية الديمقراطية في الوقت نفسه. ومع ذلك، يبدو أن المجموعتين لم تكونا على علم ببعضهما البعض، حيث قامت كل منهما بسرقة نفس كلمات المرور بشكل مستقل، ثم قامت بمضاعفة جهودها بطرق أخرى. ويبدو أن كوزي بيرCozy Bear هي وكالة مختلفة، مهتمة أكثر بالتجسس التقليدي طويل الأمد.  وقد حدد فريق الطب الشرعي التابع لشركة كراودسترايك CrowdStrike أنه في حين كان كوزي بيرCozy Bear موجودًا على شبكة DNC لأكثر من عام، فإن فانسي بير لم يكن موجودًا هناك إلا لبضعة أسابيع. 

 المدفعية الأوكرانية 
تصغير| تم توزيع نسخة مصابة من تطبيق للتحكم في مدفع الهاوتزر D-30 على المدفعية الأوكرانية
وبحسب شركة كراودسترايك CrowdStrike، فإن المجموعة استخدمت برامج ضارة تعمل على نظام أندرويد في الفترة من عام 2014م إلى عام 2016م لاستهداف قوات الصواريخ والمدفعية التابعة للجيش الأوكراني. حيث قاموا بتوزيع نسخة مصابة من تطبيق أندرويد كان الغرض الأصلي منها التحكم في بيانات الاستهداف لمدفعية الهاوتزر D-30. وكان التطبيق الذي يستخدمه الضباط الأوكرانيون محملاً ببرنامج التجسس X-Agent وتم نشره عبر الإنترنت على المنتديات العسكرية. وزعمت شركة كراودسترايك CrowdStrike في البداية أن أكثر من 80% من مدافع الهاوتزر الأوكرانية من طراز D-30 قد دمرت في الحرب، وهي أعلى نسبة خسارة لأي قطعة مدفعية في الجيش (وهي نسبة لم يتم الإبلاغ عنها من قبل، والتي تعني خسارة ترسانة كاملة تقريبًا من أكبر قطعة مدفعية في القوات المسلحة الأوكرانية  ).  ووفقًا للجيش الأوكراني، كانت أرقام كراود سترايك CrowdStrike غير صحيحة وأن الخسائر في أسلحة المدفعية "كانت أقل بكثير من تلك المبلغ عنها" وأن هذه الخسائر "لا علاقة لها بالسبب المذكور".  وقد قامت شركة كراود سترايك CrowdStrike منذ ذلك الحين بمراجعة هذا التقرير بعد أن تنصل المعهد الدولي للدراسات الاستراتيجية (IISS) من تقريره الأصلي، مدعيًا أن عمليات اختراق البرامج الضارة أسفرت عن خسائر تتراوح بين 15% و20% بدلاً من الرقم الأصلي البالغ 80%. 

 ثغرة يوم الصفر في ويندوز (أكتوبر 2016) 
في 31 أكتوبر 2016م، كشفت مجموعة تحليل التهديدات التابعة لشركة جوجل Google عن ثغرة أمنية في معظم إصدارات مايكروسوفت ويندوز Microsoft Windows والتي تعد موضوعًا لهجمات البرامج الضارة النشطة. وفي الأول من نوفمبر 2016م، نشر تيري مايرسون، نائب الرئيس التنفيذي لمجموعة ويندوز والأجهزة في مايكروسوفت، على مدونة مايكروسوفت لأبحاث التهديدات والاستجابة لها، مُقرًا بالثغرة الأمنية، وموضحًا أن "حملة تصيد احتيالي محدودة النطاق" استهدفت مستخدمين محددين، وقد استغلت "ثغرتين أمنيتين جديدتين في أدوبي فلاش ونواة ويندوز من المستوى الأدنى". وأشارت مايكروسوفت إلى مجموعة فانسي بير باعتبارها الجهة المسؤولة عن التهديد، مستخدمةً الاسم الرمزي الخاص بها STRONTIUM. 

 الوزارات الهولندية (فبراير 2017) 
في فبراير2017م، كشف جهاز المخابرات والأمن العام في هولندا أن عصابتي "فانسي بير" و"كوزي بير" قامتا بعدة محاولات لاختراق الوزارات الهولندية، بما في ذلك وزارة الشؤون العامة، على مدى الأشهر الستة السابقة. وقال روب بيرثولي، رئيس جهاز المخابرات الأسترالي، على موقع EenVandaag أن المتسللين كانوا روسًا وحاولوا الوصول إلى وثائق حكومية سرية. 

وفي إحاطة أمام البرلمان، أعلن وزير الداخلية والعلاقات مع المملكة الهولندي رونالد بلاستيرك أن الأصوات في الانتخابات التشريعية الهولندية في مارس 2017م سوف يتم فرزها يدويًا. 

 اختراق الاتحاد الدولي لألعاب القوى (فبراير 2017) 
أعلن مسؤولون في الاتحاد الدولي لألعاب القوى في أبريل 2017م أن خوادمه تعرضت للاختراق من قبل مجموعة "فانسي بير". وقد تم اكتشاف الهجوم من قبل شركة الأمن السيبراني Context Information Security والتي حددت أن الوصول عن بعد غير المصرح به إلى خوادم الاتحاد الدولي لألعاب القوى حدث في 21 فبراير. وقد صرح الاتحاد الدولي لألعاب القوى أن المتسللين تمكنوا من الوصول إلى تطبيقات الإعفاء من الاستخدام العلاجي، اللازمة لاستخدام الأدوية المحظورة من قبل الوكالة العالمية لمكافحة المنشطات.  

 الانتخابات الألمانية والفرنسية (2016-2017) 
في عام 2017م، أصدر باحثون من شركة تريند مايكرو Trend Micro تقريرًا يوضح محاولات "فانسي بير" لاستهداف مجموعات مرتبطة بالحملات الانتخابية لإيمانويل ماكرون وأنجيلا ميركل. وبحسب التقرير، فقد استهدفت المجموعة حملة ماكرون بالتصيد الاحتيالي ومحاولة تثبيت برامج ضارة على موقعهم. وأكدت وكالة الأمن السيبراني الفرنسية ANSSI وقوع هذه الهجمات، لكنها لم تتمكن من تأكيد مسؤولية APT28.  ولا يبدو أن حملة مارين لوبان كانت مستهدفة من قبل APT28، مما قد يشير إلى تفضيل روسيا لحملتها. وكان بوتن قد أشاد في السابق بالفوائد التي ستعود على روسيا إذا تم انتخاب مارين لوبان. 

ويقول التقرير إن المجموعة استهدفت بعد ذلك مؤسسة كونراد أديناور الألمانية ومؤسسة فريدريش إيبرت، وهما مجموعتان مرتبطتان بحزب الاتحاد الديمقراطي المسيحي بزعامة أنجيلا ميركل والحزب الديمقراطي الاجتماعي الألماني المعارض على التوالي. حيث قامت "فانسي بير" بإعداد خوادم بريد إلكتروني وهمية في أواخر عام 2016م لإرسال رسائل تصيدية تحتوي على روابط للبرامج الضارة. 

 اللجنة الأولمبية الدولية (2018) 
في 10 يناير 2018م، سرب فريق اختراق "فانسي بير" على الإنترنت ما بدا أنه رسائل بريد إلكتروني مسروقة من اللجنة الأولمبية الدولية، واللجنة الأولمبية الأمريكية، والتي يعود تاريخها إلى أواخر عام 2016م وأوائل عام 2017م، وذلك رداً واضحاً على حظر اللجنة الأولمبية الدولية للرياضيين الروس من دورة الألعاب الأولمبية الشتوية لعام 2018م كعقوبة على برنامج المنشطات المنهجي في روسيا. ويشبه الهجوم تسريبات سابقة للوكالة العالمية لمكافحة المنشطات (WADA). ومن غير المعروف ما إذا كانت رسائل البريد الإلكتروني أصلية بالكامل، وذلك بسبب تاريخ "فانسي بير" في خلط رسائل البريد الإلكتروني المسروقة بمعلومات مضللة. ولم تكن طريقة الهجوم معروفة أيضًا، ولكن من المحتمل أنها كانت عملية تصيد احتيالي.  Rebecca R. Ruiz, Rebecca Russian Hackers Release Stolen Emails in New Effort to Undermine Doping Investigators , The New York Times (January 10, 2018).

وقد زعم خبراء الأمن السيبراني أيضًا أن الهجمات كانت تستهدف أيضًا شركة تعبئة اختبارات المنشطات الرياضية الاحترافية المعروفة باسم Berlinger Group. Nick Griffin, Performanta,  (January 26, 2018).

 الاتحاد الرياضي السويدي 
كما أفاد الاتحاد الرياضي السويدي أن شركة "فانسي بير" كانت مسؤولة عن الهجوم على أجهزة الكمبيوتر الخاصة به، مستهدفة سجلات اختبارات المنشطات للرياضيين. 

 الجماعات المحافظة في الولايات المتحدة (2018) 
ذكرت شركة البرمجيات مايكروسوفت في أغسطس 2018م أن المجموعة حاولت سرقة بيانات من منظمات سياسية مثل المعهد الجمهوري الدولي، ومراكز الأبحاث التابعة لمعهد هدسون. وقد تم إحباط الهجمات عندما تمكن موظفو الأمن في شركة مايكروسوفت من السيطرة على ستة نطاقات على الشبكة.  أشارت شركة مايكروسوفت في إعلانها إلى أنه "ليس لدينا حاليًا أي دليل على استخدام هذه المجالات في أي هجمات ناجحة قبل أن تنقل وحدة التحكم في البيانات السيطرة عليها، كما لا نملك أي دليل يشير إلى هوية الأهداف النهائية لأي هجوم مخطط يتضمن هذه المجالات". 

 البطريركية المسكونية ورجال الدين الآخرين (أغسطس 2018) 
وفقًا لتقرير أغسطس 2018م الصادر عن وكالة أسوشيتد برس، كانت مجموعة "فانسي بير" تستهدف لسنوات المراسلات الإلكترونية لمسؤولي بطريركية القسطنطينية المسكونية برئاسة البطريرك المسكوني برثلماوس الأول.  وظهر المنشور في وقت من التوترات المتزايدة بين البطريركية المسكونية، الأقدم بين جميع الكنائس الأرثوذكسية الشرقية، والكنيسة  الروسية الأرثوذكسية (بطريركية موسكو) بشأن قضية الاستقلال الكنسي الكامل (الاستقلال الذاتي) للكنيسة الأرثوذكسية في أوكرانيا، والتي تسعى إليها الحكومة الأوكرانية. وقد نقلت الصحيفة عن خبراء قولهم إن منح الاستقلال الذاتي للكنيسة في أوكرانيا من شأنه أن يؤدي إلى تآكل سلطة وهيبة بطريركية موسكو ويقوض مطالباتها بالاختصاص العابر للحدود الوطنية.  كما استهدفت الهجمات الإلكترونية المسيحيين الأرثوذكس في بلدان أخرى، فضلاً عن المسلمين واليهود والكاثوليك في الولايات المتحدة، ومنظمة "أمة"، وهي مجموعة شاملة للمسلمين الأوكرانيين، والسفير البابوي في كييف، ويوسيب زيسيلس، الذي يدير جمعية المنظمات والمجتمعات اليهودية في أوكرانيا. 

 لوائح الاتهام في عام 2018 
تصغير| ملصق مطلوب لمكتب التحقيقات الفيدرالي للضباط المتهمين فيما يتعلق بـ Fancy Bear
في أكتوبر 2018م، تم الكشف عن لائحة الاتهام التي وجهتها هيئة محلفين اتحادية أمريكية لسبعة رجال، جميعهم ضباط في جهاز المخابرات الرئيسي، فيما يتعلق بالهجمات. وتنص لائحة الاتهام على أنه في الفترة من ديسمبر 2014م حتى مايو 2018م على الأقل، تآمر ضباط المخابرات الرئيسية الروسية لإجراء "اختراقات حاسوبية مستمرة ومتطورة تؤثر على أشخاص أمريكيين وكيانات مؤسسية ومنظمات دولية وموظفيهم المعنيين الموجودين في جميع أنحاء العالم، بناءً على مصلحتهم الاستراتيجية للحكومة الروسية".   وقد صرحت وزارة العدل الأمريكية أن المؤامرة، من بين أهداف أخرى، تهدف إلى "نشر معلومات مسروقة كجزء من حملة تأثير وتضليل تهدف إلى تقويض جهود الوكالة العالمية لمكافحة المنشطات، والانتقام منها، ونزع الشرعية عنها بطريقة أخرى"، وهي منظمة دولية لمكافحة المنشطات نشرت تقرير ماكلارين، وهو تقرير كشف عن تعاطي المنشطات على نطاق واسع للرياضيين الروس برعاية الحكومة الروسية.  وقد جهت إلى المتهمين تهم القرصنة الإلكترونية، والاحتيال الإلكتروني، وسرقة الهوية المشددة، وغسيل الأموال. 

 هجمات مراكز الأبحاث في عام 2019 
في فبراير 2019م، أعلنت شركة مايكروسوفت أنها اكتشفت هجمات التصيد الاحتيالي من APT28، والتي استهدفت موظفي صندوق مارشال الألماني، ومعهد أسبن ألمانيا، والمجلس الألماني للعلاقات الخارجية.   يُزعم أن قراصنة من المجموعة أرسلوا رسائل تصيد عبر البريد الإلكتروني إلى 104 عنوان بريد إلكتروني في جميع أنحاء أوروبا في محاولة للوصول إلى بيانات اعتماد صاحب العمل وإصابة المواقع بالبرامج الضارة.  

 مؤسسة تشيكية استراتيجية لعام 2019 
في عام 2020م، في التشيك، تمت الإفادة بوقوع حادثة تجسس إلكتروني في مؤسسة استراتيجية لم يتم ذكر اسمها، ربما وزارة الخارجية،  وعلى الأرجح أن شركة "غانسي بير" هي التي نفذت هذه الحادثة. 

 هجوم البرلمان النرويجي 2020 
في أغسطس 2020م، أبلغ البرلمان النرويجي عن "هجوم إلكتروني كبير" على نظام البريد الإلكتروني الخاص به. وفي سبتمبر من نفس العام، اتهمت وزيرة الخارجية النرويجية، إيني ماري إريكسن سوريدي، روسيا بالهجوم. وخلصت دائرة أمن الشرطة النرويجية في ديسمبر 2020م إلى أن "التحليلات تُظهر أنه من المحتمل أن تكون العملية قد نفذها الفاعل السيبراني المشار إليه في المصادر المفتوحة باسم APT28 وفانسي بير"، وأن "محتوى حساس تم استخراجه من بعض حسابات البريد الإلكتروني المتأثرة". 

 الخصائص والتقنيات 
تصغير| رسم تخطيطي يوضح عملية استخدام التصيد الاحتيالي بالرمح من قبل Grizzly Steppe (Fancy Bear و Cozy Bear )
تستخدم شركة "فانسي بير" أساليب متقدمة تتوافق مع قدرات الجهات الفاعلة في الدولة.  فهم يستخدمون رسائل البريد الإلكتروني الاحتيالية، ومواقع الويب التي تحتوي على البرامج الضارة والتي تتخفى في شكل مصادر إخبارية، وثغرات اليوم صفر. وقد أشارت إحدى مجموعات أبحاث الأمن السيبراني إلى استخدامها لستة ثغرات أمنية مختلفة في عام 2015م، وهو إنجاز تقني يتطلب أعدادًا كبيرة من المبرمجين الذين يبحثون عن نقاط ضعف غير معروفة سابقًا في البرامج التجارية المتطورة. ويُعتبر هذا بمثابة علامة على أن "فانسي بير" هو برنامج تديره الدولة وليس عصابة أو مخترقًا منفردًا.  

ولعل أحد الأهداف المفضلة لشركة "فانسي بير" هي خدمات البريد الإلكتروني المستندة إلى الويب. حيث يتكون أحد الاختراقات النموذجية من تلقي مستخدمي البريد الإلكتروني عبر الويب رسالة بريد إلكتروني تطلب منهم بشكل عاجل تغيير كلمات المرور الخاصة بهم لتجنب التعرض للاختراق. وسيحتوي البريد الإلكتروني على رابط لموقع ويب مزيف مصمم لمحاكاة واجهة بريد ويب حقيقية، وسيحاول المستخدمون تسجيل الدخول وسيتم سرقة بيانات اعتمادهم. غالبًا ما يتم إخفاء عنوان URL كرابط bit.ly مختصر  من أجل تجاوز مرشحات البريد العشوائي. ويرسل "فانسي بير" رسائل التصيد الاحتيالية هذه بشكل أساسي يومي الاثنين والجمعة. كما يقومون بإرسال رسائل بريد إلكتروني تحتوي على روابط لعناصر إخبارية، ولكن بدلاً من ذلك يتم ربطها بمواقع إسقاط البرامج الضارة التي تقوم بتثبيت مجموعات الأدوات على جهاز الكمبيوتر المستهدف.  كما تقوم "فانسي بير" أيضًا بتسجيل المجالات التي تشبه مواقع الويب المشروعة، ثم تقوم بإنشاء نسخة مزيفة من الموقع لسرقة بيانات الاعتماد من ضحاياها.  ومن المعروف أن "فانسي بير" تنقل حركة أوامرها عبر شبكات الوكلاء للضحايا الذين تم اختراقهم مسبقًا. 

وتشمل البرامج التي تستخدمها مجموعة "فانسي بير" كلاً من ADVSTORESHELL، وCHOPSTICK، وJHUHUGIT، وXTunnel. كما تستخدم "فانسي بير" عددًا من الغرسات، بما في ذلك Foozer، وWinIDS، و X-Agent ، وX-Tunnel، وSofacy، وDownRange droppers.  واستنادًا إلى أوقات التجميع، خلصت شركة FireEye إلى أن "فانسي بير" قامت بتحديث برامجها الضارة بشكل مستمر منذ عام 2007م.  لتجنب الاكتشاف، تعود "فانسي بير" إلى البيئة لتبديل غرساتها، وتغير قنوات القيادة والتحكم الخاصة بها، وتعدل أساليبها المستمرة.  وتطبق مجموعة التهديد تقنيات التحليل المضاد لإخفاء الكود الخاص بها. إنهم يضيفون بيانات غير مرغوب فيها إلى السلاسل المشفرة، مما يجعل فك التشفير صعبًا بدون خوارزمية إزالة البيانات غير المرغوب فيها.  وتتخذ "فانسي بير" تدابير لمنع التحليل الجنائي لعمليات الاختراق الخاصة بها، وإعادة تعيين الطوابع الزمنية على الملفات ومسح سجلات الأحداث بشكل دوري. 

ووفقًا للائحة الاتهام التي قدمها المستشار الخاص للولايات المتحدة، تم "تطوير العميل X، وتخصيصه ومراقبته" من قبل الملازم الكابتن نيكولاي يوريفيتش كوزاتشيك من جهاز المخابرات الروسي الرئيسي. 

ومن المعروف أن شركة "فانسي بير" قادرة على تصميم عمليات زرع مخصصة للبيئات المستهدفة، على سبيل المثال إعادة تكوينها لاستخدام خوادم البريد الإلكتروني المحلية.  وفي أغسطس 2015م، اكتشفت شركة كاسبرسكي لاب وحظرت نسخة من برنامج ADVSTORESHELL المزروع والذي تم استخدامه لاستهداف المتعاقدين مع الدفاع. وبعد ساعة ونصف من انتهاء الحظر، قام ممثلو "فانسي بير" بتجميع وتسليم عنصر تستر جديد للزرع. 

 تعليم 
وقد شاركت الوحدة 26165 في تصميم المناهج الدراسية في العديد من المدارس العامة في موسكو، بما في ذلك المدرسة 1101. 

 الشخصيات ذات الصلة 
في بعض الأحيان، تقوم "فانسي بير" بإنشاء شخصيات عبر الإنترنت، من أجل نشر معلومات مضللة، وصرف اللوم، وخلق إنكار معقول لأنشطتها. 

 جوتشيفر 2.0 
شخصية عبر الإنترنت ظهرت لأول مرة، وأعلنت مسؤوليتها عن اختراقات اللجنة الوطنية الديمقراطية في نفس اليوم الذي انتشرت فيه القصة التي تفيد بأن "فانسي بير" كانت مسؤولة عنها.  ويزعم جوتشيفر 2.0 أنه مخترق روماني، ولكن عندما أجرت مجلة Motherboard مقابلة معه، طُرحت عليه أسئلة باللغة الرومانية وبدا أنه غير قادر على التحدث باللغة.  ويبدو أن بعض الوثائق التي أصدروها مزورة، تم تجميعها من مواد من عمليات اختراق سابقة ومعلومات متاحة للعامة، ثم تم إضافة معلومات مضللة إليها. 

 فريق اختراق فانسي بير 
تم إنشاء موقع ويب لتسريب الوثائق المأخوذة في هجمات الوكالة العالمية لمكافحة المنشطات والاتحاد الدولي لألعاب القوى، وكان مقدمته بيانًا موجزًا بتاريخ 13 سبتمبر 2016م، معلنًا أن الموقع مملوك لـ "فريق اختراق فانسي بير"، والذي قيل إنه "فريق اختراق دولي" "يدافع عن اللعب النظيف والرياضة النظيفة".  وقد أعلن الموقع مسؤوليته عن اختراق الوكالة العالمية لمكافحة المنشطات ووعد بتقديم "دليل مثير على تعاطي رياضيين مشهورين لمواد منشطة"، بداية من الفريق الأوليمبي الأمريكي، الذي قال إنه "شوه اسمه بانتصارات ملوثة".  وقالت الوكالة العالمية لمكافحة المنشطات إن بعض الوثائق المسربة تحت هذا الاسم مزورة، وأن البيانات قد تم تغييرها.  

 بولندا المجهولة 
أعلن حساب على موقع تويتر يُدعى "بولندا المجهولة"( ) مسؤوليته عن الهجوم على الوكالة العالمية لمكافحة المنشطات  ونشر بيانات مسروقة من محكمة التحكيم الرياضي، وهي هدف ثانوي.   ويدعم موقع ثريت كونكت ThreatConnect الرأي القائل بأن مجموعة Anonymous Poland هي مجرد دمية جورب في يد "فانسي بير"، مع ملاحظة التغيير من التركيز التاريخي على السياسة الداخلية. ويُظهر مقطع فيديو لقطة شاشة تم تحميله بواسطة Anonymous Poland حسابًا بإعدادات اللغة البولندية، لكن سجل المتصفح الخاص بهم أظهر أنهم أجروا عمليات بحث في Google.ru (روسيا) وGoogle.com (الولايات المتحدة)، ولكن ليس في Google.pl (بولندا). 

 انظر أيضًا 

 التجسس الروسي في الولايات المتحدة
 ترولز من أولجينو

 مراجع 

 روابط خارجية 



تصنيف:تقانة المعلومات في روسيا
تصنيف:وحدات وتشكيلات عسكرية أسست عقد 2000
تصنيف:الاختراق في عقد 2010
تصنيف:الاختراق في عقد 2000
تصنيف:حرب سيبرانية