Руската кибер мрежа „NoName“ е организирала палежи срещу британския премиер.

🇷🇺⚔️🇬🇧 Руска мрежа за онлайн саботаж е организирала серия от палежи, насочени към недвижими имоти, свързани с британския премиер Киър Стармър, твърди разследване на Financial Times, публикувано на 15 юни.

Разкритието идва след като Роман Лавринович – 22-годишен строителен работник с украинско гражданство, живеещ в Лондон, беше признат за виновен след 6-седмичен процес в Централния наказателен съд на Англия и Уелс.

Според Financial Times прокурорите са разкрили, че Лавринович е бил ръководен от руски оператор, използвал псевдоним „El Money“ в Telegram. Кръстосан анализ на архиви от чат платформата, портфейли с криптовалута и съдебни записи, извършен от изданието, свързва оператора с NoName057(16) – проруска хакерска група, която се появи за първи път през март 2022 г. с поемане на отговорност за кибератаки срещу украински, европейски и американски правителствени агенции, медии и частни компании. Смята се, че е неорганизирана и свободна група активисти, която се стреми да привлече вниманието в западните страни. В същото време обаче Службата за киберсигурност и инфраструктурна сигурност на САЩ (CISA) класифицира NoName като таен проект, който е създаден под шапката на ИТ организация, одобрена от руската държава.

Мрежата действа с набиране на местни посредници, за да прокарва геополитическите интереси на Кремъл и да провокира вътрешна нестабилност в цяла Европа, разкрива Financial Times. В Обединеното кралство основната цел на мрежата е била да експлоатира социалния разлом с генериране на различна пропаганда, която включва крайнодясна, антимигрантска и антиислямска.

За да наемат изпълнители на терен, руските оператори създават англоезично екстремистко онлайн движение, наречено „Direct Action“, след безредиците в Обединеното кралство през лятото на 2024 г. Въпреки че групата се представя за автентично британско движение, основано от местни активисти, Financial Times установява, че тя се управлява от администратори, които се намират на територията на Руската федерация. Те са използвали VPN мрежи, за да маскират своята самоличност, но понякога неволно разкриват своето местоположение, като публикуват съдържание, което съдържа кирилски знаци или руски часови зони.

Преди да премине към палежи, операторът е прекарал 7 месеца в обработване на Лавринович чрез престъпни дейности на по-ниско ниво, съобщава Financial Times. Първоначално получава финансови облаги, за да разлепя крайнодесни пропагандни плакати и да осквернява джамии с антиислямски графити в Южен Лондон в началото на 2025 г. Кампанията ескалира бързо през май 2025 г. – операторът спуска заповед на Лавринович да извърши целенасочени атаки срещу три отделни локации, свързани с британския премиер, въпреки че доказателствата в съда показват, че лицето не е било наясно с политическата значимост на имотите.

Кампанията с палежи започва в ранните часове на 8 май 2025 г. Тогава Лавринович подпалва автомобил Toyota RAV4 в Северен Лондон, който в миналото е принадлежал на Стармър, показва разследването на Financial Times. Три дни по-късно е извършен втори палеж пред апартамент в Ислингтън, където премиерът е живял през 90-те години на миналия век. Операцията кулминира малко след полунощ на 12 май, когато е запален пожар директно в семейния дом на Стармър в Кентиш Таун, докато снаха му и 9-годишната му племенница се намират в имота.

След последната атака операторът е инструктирал Лавринович да изхвърли дрехите и да се подготви да избяга от Лондон, обещавайки му изплащане на сума в криптовалута Tether, според прехваната чат хронология, която е прегледана от екип на Financial Times. Операторът го алармира, че е атакувал дома на много висша политическа фигура в Обединеното кралство, съветвайки го да се покрие и да използва тайната кодова дума „Геран“, с която да получи правна помощ, ако бъде задържан.

„Виж, ти атакува дома на много високопоставено лице в Обединеното кралство. Ще ти изпратя пари, трябва да напуснеш града. Ако полицията те задържи, изпрати тайно съобщение „Геран“ и аз ще ти изпратя адвокат“, се посочва в съобщение от „El Money“ до Лавринович, изпратено в Telegram.

„Геран“ е руското обозначение за проектираните в Иран дронове-камикадзе, които руската армия ежедневно използва за да обстрелва украинските градове, по-специално „Геран-2“ (базиран на Шахед-136).

Блокчейн анализ, извършен от екип на Financial Times, сочи, че дигитален портфейл на Лавринович е получавал трансакции, произхождащи от Garantex – борса за криптовалута със седалище в Москва, която е подложена на санкции от Министерство на финансите на САЩ за улесняване на киберпрестъпността. Британската полиция задържа Лавринович в дома му броени часове след последната писмена кореспонденция, преди плащането за палежите да бъде финализирано.

Той е признат за виновен в заговор за нанасяне на щети с палеж и по две обвинения за увреждане на имущество с палеж, извършено с проява на безразсъдство относно това дали е застрашен човешки живот, съобщи Financial Times. Неговият съобвиняем, 27-годишният Станислав Карпиук, също беше осъден за съучастие в операциите, а на трето лице беше оправдано.

Последното разкритие на тактиките за физически саботаж на групата беше предшествано от мащабна акция на правоприлагащите органи във връзка с нейната дигитална инфраструктура. Преди това властите в Нидерландия разпуснаха уеб мрежи, масово използвани от NoName057(16), изземвайки 800 сървъра от хостинг компании, действащи на територията на страната, по подозрение в нарушаване на международните санкции.

Операцията изкара наяве скъпоструващата европейска кампания на групата, включваща парализиращи атаки по сайтове на датското правителство и френските пощенски служби, и илюстрира как подкрепяна от Кремъл група разчита на оборудване, базирано в Западна Европа, за да ръководи зловредните си операции.

Руски хакери атакуваха уеб сайтове, свързани с италианското правителство.

🇷🇺⚔️🇮🇹 Руската хакерска група с името “NoName57“ продължава кампанията си срещу италианското правителство, извършвайки DDoS атаки към редица сайтове, сред които тези на летищата Малпенса и Линате, външното министерство (Farnesina) и Turin Transport Group (GTT).

Националният център за киберпрестъпления и защита на критичната инфраструктура заяви, че започва разследване по случая и помага на засегнатите за смекчаване на негативните последствия.

Първите DDoS атаки към летищата Милано-Линате и Малпенса са регистрирани вчера сутринта. Въпреки че сайтовете им бяха изправени пред проблеми в продължение на часове, операциите на самите летища не бяха пряко засегнати.

„Италианските русофоби получават заслужен кибер отговор“, гласи изявление от хакерската група, публикувано на нейния канал в Telegram.

„Днешната атака със сигурност има руски произход и е насочена към уебсайта на Министерство на външните работи. Вече инструктирах генералния секретар на министерството да подготви реформа за създаването на генерална дирекция за киберсигурност и изкуствен интелект“, заяви външният министър Антонио Таяни, говорейки пред журналисти в Сената. „Работим за твърд отговор на кибератаките, идващи от чужбина. Отблъснати са успешно, но все пак ще вдигнем допълнително прага на сигурност за всички италиански офиси по света“, добави той.

Ивано Габриели, директор на Полицейската служба за пощи и комуникации посочи, че атаката е извършена от „идеологически мотивирани киберпрестъпници, търсещи предимно видимост, а не да причиняват действителни щети“.

„В продължение на три дни записваме такива атаки към различна инфраструктура и уебсайтове. Това са циклични атаки, извършвани от групи, които подкрепят и се присъединяват към руската война срещу Украйна, насочени към страни, които заемат международна позиция в подкрепа на Украйна. С подновената подкрепа за Украйна от страна на италианското правителство, групата възобнови атаките си срещу конкретни италиански уебсайтове“, обясни той.

NoName57 е активна от март 2022 г. и съсредоточава усилията си към правителствени и критични инфраструктурни организации по целия свят. На своя канал в Telegram тя е поместила списък с мишени, включващ правителствени и институционални уебсайтове.

Групата използва множество инструменти за извършване на своите атаки. През септември 2022 г. изследователите на Avast забелязаха групата да използва ботнет Bobik за предприемане на DDoS атаки. Тя действа на приливи и отливи, ескалирайки атаките си в периоди на геополитическо напрежение, например засилена военно-дипломатическа подкрепа за Киев от други страни.

Съвпадението между момента на последните атаки и коледно-новогодишните празници далеч не е случайност. Подобни хакерски групи често планират своите операции около периоди, в които е по-вероятно атакуваните организации да разполагат с намален работен персонал и по-бавно време за реакция, каквито са празниците и официалните почивни дни. В подобни моменти критичните екипи като ИТ поддръжка, киберсигурност и реакция на инциденти може да работят с минимален капацитет, което затруднява незабавното откриване, смекчаване и възстановяване от атаката.