Як одна фішингова кампанія вплинула на хід війни в Сирії: висновки для України

Як бойові дії у новому домені - кіберпросторі - дозволили отримати перевагу і перемогу на традиційному полі бою

У грудні 2024 року світ став свідком несподіваного колапсу збройних сил режиму Башара Асада. Багато аналітиків пов'язали це падіння з військовим наступом опозиційних сил, економічними труднощами або внутрішніми суперечностями. Однак нове журналістське розслідування, опубліковане в авторитетному виданні New Lines Magazine, вказує на ще один маловідомий, але можливий вирішальний фактор - кібероперацію, що використовувала шпигунський мобільний додаток, замаскований під благодійний проект дружини президента Сирії.

Давайте проаналізуємо цю історію, яка демонструє як бойові дії у новому домені - кіберпросторі - дозволили отримати перевагу і перемогу на традиційному полі бою.

ОПЕРАЦІЯ STFD-686 - АТАКА ЧЕРЕЗ ДОВІРУ ТА "ПРЯНИК"

Все почалося влітку 2024 року, коли серед сирійських військовослужбовців почав активно поширюватися застосунок з назвою STFD-686. Абревіатура походила нібито від назви фонду Асми Асад Syria Trust for Development. В умовах катастрофічного рівня життя і злиднів, обіцянка отримати грошову допомогу з цього фонду виглядала для військових дуже цікавою. Це був класичний "honeypot" (цифрова пастка), в який потрапили сірійські військові.

Після інсталяції програми, військовослужбовці виявили веб-інтерфейс без адресного рядка. Насправді це була віртуальна оболонка для справжнього додатку. Їм запропонували заповнити анкету, в якій потрібно було вказати ім'я, звання, місце служби, номер телефону та інші потреби. Додатково, у програмі була прихована функція, схожа на SpyMax. Це мобільний троян, здатний надавати розширений доступ до збору інформації. Заражений пристрій відкривав зловмисникам доступ до телефонних дзвінків, геолокацій, текстових повідомлень, фотографій, а також мікрофона та камери.

Відповідно до розслідування, проведеного журналістом видання New Lines Magazine, Telegram-канал "фонду" регулярно публікував інформацію про кількість "виплат", які насправді відображали рівень зараження. У липні 2024 року мова йшла про 1500 таких транзакцій. Таким чином, можна припустити, що саме стільки додатків було встановлено, принаймні, серед офіцерського складу. Свідчення колишніх сирійських військових свідчать, що поширення цього застосунку відбувалося напівофіційно: чутки про нього активно обговорювалися в внутрішніх чатах, іноді навіть від командирів, які самі не усвідомлювали всієї небезпеки.

Ураження мобільних пристроїв мало кілька рівнів впливу. По-перше, це прямий витік інформації про розташування частин, їхній склад, техніку, логістику. По-друге, існувала реальна загроза навмисної дезінформації - наприклад, через підміну повідомлень, перехоплення команд, викрадення паролів. По-третє, атака підірвала моральний стан: коли військові почали підозрювати зраду всередині своїх лав, це сприяло втраті довіри до керівництва та дезорганізації. В умовах бойових дій це могло виявитися фатальним.

У грудні 2024 року, коли кілька підрозділів Сирії несподівано здалися або залишили свої позиції, деякі аналітики однозначно вказали на те, що це було наслідком тривалого цифрового моніторингу їх діяльності.

За інформацією китайських дослідників з компанії QiAnXin, ця кампанія стартувала ще у вересні 2023 року, що означає, що вона триває більше року. Всі ознаки компрометації — домени, інтерфейс і тактика атаки — залишалися практично незмінними. Незважаючи на це, сирійські служби не змогли адекватно реагувати, що вказує на недостатню інституційну спроможність у галузі кібербезпеки.

На практиці, STFD-686 виявився першим задокументованим випадком, коли фішингова кампанія, що не була своєчасно нейтралізована, могла спричинити крах цілої армії.

ЯК ФУНКЦІОНУЄ ФІШИНГ І ЧОМУ ВІН Є КРИЧУЩО Небезпечним ПІД ЧАС ВІЙНИ?

Фішинг - це метод соціальної інженерії, що використовується для обману користувача з метою отримання конфіденційної інформації або встановлення шкідливого ПЗ. Зазвичай фішингові атаки реалізуються через електронну пошту, соцмережі або месенджери. У випадку STFD-686 носієм стала Telegram-група, яка імітувала канал державної структури.

Оригінальність цієї атаки полягала в синергії психологічного аспекту (достовірність Асми Асад), соціального впливу (пропозиція фінансової винагороди) та технологічної досконалості (прихований SpyMax, підроблені веб-ресурси, інтерфейс, що не викликав підозр).

У умовах війни фішинг стає не лише засобом для збору інформації, а й чинником, що може суттєво вплинути на результати бойових дій. Він дозволяє відстежувати переміщення військових підрозділів, перехоплювати оперативні плани, координувати дії артилерії чи авіації, а також здійснювати саботаж у командних структурах. При цьому мішенню є не тільки військові, але й працівники критичної інфраструктури, фінансових установ і органів державного управління. Зловмисники застосовують різноманітні методи, включаючи фальшиві програми, електронні листи, веб-форми, підроблені офіційні сайти та копії інтерфейсів популярних сервісів, щоб обманом здобути доступ до систем або ввести шкідливе програмне забезпечення на пристрої.

КЕЙС STFD-686 - НАВЧАННЯ ДЛЯ УКРАЇНИ

Кейс STFD-686 не є унікальним явищем. Подібні ситуації вже були зафіксовані в інших країнах. Наприклад, в Україні у 2022 році серед військовослужбовців поширювався фальшивий мобільний додаток "Резерв+", що містив шкідливе програмне забезпечення. Цей додаток встановлювали добровольці та військові, внаслідок чого з їх пристроїв вилучалися конфіденційні дані. У Росії також відзначалося використання модифікованих версій різних навігаційних програм, які дозволяли в режимі реального часу стежити за переміщенням військових підрозділів. У 2020 році Ізраїль завдав удару по сирійському зенітному комплексу "Панцир-С1", ймовірно, завдяки відстеженню координат через мобільний пристрій, залишений військовим на позиції. У всіх цих випадках мобільні гаджети стали джерелом розвідданих, які перетворилися на серйозну загрозу для армії.

Історія зі шпигунським додатком STFD-686 показала, що кібергігієна - це не абстрактне поняття, а конкретний набір навичок і політик, які можуть вирішувати долю цілих військових кампаній. У передових арміях світу це вже давно розуміють. Наприклад, у США з 2018 року діє програма Cyber Awareness Challenge, яка є обов'язковою для всього військового персоналу. У Збройних силах Великої Британії працює Defence Cyber School, де навчають цифровій самодисципліні з перших днів служби. У НАТО питання кібергігієни інтегровані у стандарти оперативного планування, і кожна операція супроводжується кібербезпековим аудитом.

Для Збройних Сил України це означає необхідність постійного вдосконалення цифрової безпеки. Передусім ідеться про тотальну кібергігієну, де кожен військовослужбовець має розуміти, що будь-який додаток, навіть той, що здається офіційним або соціально важливим, може бути ворожим інструментом.

Україна вже зробила перші кроки у цьому напрямі. Зокрема, у застосунку "Армія+" вже доступний спеціальний курс з основ кібергігієни, що охоплює типові цифрові загрози, правила безпечного користування пристроями, а також модулі з протидії фішингу.

Проте цього недостатньо. Кібербезпека повинна стати невід'ємною частиною військової освіти, починаючи з навчання солдатів і молодших сержантів. Програма підготовки повинна включати тренінги з розпізнавання фішингових листів, підозрілих мобільних застосунків, а також навички реагування на цифрові інциденти.

Також необхідно встановити чіткі правила щодо використання особистих смартфонів у зонах конфлікту – або ж обмежити їх застосування, або розробити спеціалізовані захищені пристрої для комунікаційних потреб. Важливим аспектом є постійний моніторинг загроз, пов'язаних із виявленням фальшивих додатків, псевдосоціальних проектів і телеграм-каналів, які можуть становити небезпеку.

Отже, кібергігієна в Силах оборони та на об'єктах критичної інфраструктури повинна перетворитися з окремих тренінгів на інтегральний елемент повсякденної практики.