15.07.2018

Действие первое: взлом

С марта 2016 года Лукашев,Бадин,Антонов и Ермаков рассылали письма,в которых содержался вредоносных код,300 людям,связанным с кампанией Клинтон и структурами Демократической партии.Так,19 марта 2016 Алексей Лукашев отправил Джону Подесте, руководителю избирательного штаба Клинтон,электронное письмо.

Правообладатель иллюстрации REUTERS Image caption

Главной целью ГРУ была переписка руководства демократов и штаба Хиллари Клинтон

Он зарегистрировался под ником john356gh на сервисе,который превращал длинные названия веб-ресурсов в короткие ссылки.Он использовал свой профиль на этом ресурсе в качестве маскировки для ссылки,содержавшейся в фишинг-письме.Нажав на нее,Подеста автоматически попадал на контролируемый ГРУ веб-сайт.

Лукашев составил письмо так,чтобы оно выглядело как извещение от отдела безопасности почтового сервиса (специалисты в области IT называют подобную технику «спуфинг»). Попросту говоря,Подеста получил сообщение о том,что ему нужно изменить пароль к своему почтовому ящику и ссылку,по которой нужно было пройти.

Руководитель избирательного штаба Клинтон именно так и поступил и,как следствие, Лукашев и Ермаков получили доступ к его электронной почте,в которой содержались более 50 тысяч писем.

Затем они стали рассылать подобные фишинг-письма и другим сотрудникам штаба,в том числе и Джейку Салливану,старшему советнику по международной политике кампании Клинтон.Все подобные электронные письма посланы с почтового сервиса Yahoo пользователем hi.mymail,находящимся в России.Его ящик был замаскирован под Google.

К концу марта были взломаны ящики сотрудников штаба Клинтон,чьи имена злоумышленники нашли в соцсетях.Переписка,найденная там,была впоследствии опубликована на сайте DCLeaks.com.

Лукашев и Ермаков также создали электронный ящик от имени сотрудника кампании — имя пользователя отличалось от настоящего на одну букву.С него они разослали письма 30 сотрудникам штаба Клинтон,включив в него файл Hillary-clinton-favorable-rating.xlsx — он также вел на контролируемый ГРУ сайт.

27 июля 2016 года они впервые попытались атаковать электронный ящик,используемый в личном офисе Клинтон,а также более 50 электронных ящиков других сотрудников ее штаба.

Действие второе: кража

Одновременно со взломами почты старший лейтенант Ермаков запустил специальный интернет-протокол,который идентифицировал компьютеры,планшеты и смартфоны, подключенные к сети Национального демократического комитета,затем с помощью открытых источников выяснил имена сотрудников.Через несколько дней внутренняя сеть была взломана,и разведчики,действуя по этой же схеме,взломали сеть Комитета по выборам в конгресс Демократической партии.

Правообладатель иллюстрации AFP Image caption

Затем сотрудники ГРУ установили на 10 компьютерах вирус X-agent,с помощью которого впоследствии украли документы,а также контролировали действия сотрудников комитетов,получив доступ к их профилям.Эти действия также позволили расширить доступ ГРУ к сетям демократов.

X-agent переправлял все полученные данные на арендованный ГРУ сервер,расположенный в Аризоне.За получение информации с него отвечали Козачек и Малышев.К этому моменту у них уже была личные данные сотрудников Комитета по выборам в конгресс Демократической партии и их банковские реквизиты,а также данные о финансовом состоянии самого Комитета.У Ершова и Ермакова также был доступ к компьютеру, расположенному в неназванной стране,который они использовали как прокси-сервер для связи с сервером в Аризоне и компьютерной системой Комитета по выборам в конгресс Демократической партии.

Для того,чтобы сжать огромный массив данных,полученный в обоих комитетах,российские военные использовали публично доступный сервис,а затем применили специально написанную ГРУ программу X-tunnel,которая позволила им передать информацию на арендованный разведкой компьютер в американском штате Иллинойс.

В мае 2016 года присутствие злоумышленников было обнаружено компанией,отвечавшей за компьютерную безопасность комитетов,и разведчики начали заметать следы.Несмотря на все усилия служб безопасности,ГРУ сумело сохранить своё присутствие в компьютерной сети демократов вплоть до октября 2016 года.

Действие третье: публикация документов

Старший лейтенант Алексей Лукашов и его коллеги-разведчики зарегистрировали домен DCLeaks.com в апреле 2016 года,заплатив за него криптовалютой.В июне сайт начал работу. Впоследствии на нем были опубликованы украденные документы и демократов,и республиканцев (их разведчики получили в результате взлома еще в 2015 году).

Сайт функционировал до марта 2017 года,с его содержанием успели ознакомиться более миллиона человек.Сотрудники ГРУ,руководившие сайтом,называли себя группой американских хакеров-активистов.Они также успели открыть официальную страницу в «Фейсбуке» — она была зарегистрирована на вымышленного персонажа по имени Элис Донован.Джейсон Скотт и Ричард Джинджерли (тоже фальшивые аккаунты) стали администраторами ресурса.

Руководил операцией Алексей Потемкин.Он и его подельники,по данным следствия,также зарегистрировали пользователя @dcleaks_ в «Твиттере».Примечательно,что он,согласно документам следствия,писал посты и комментарии с компьютера,который использовался и для других хакерских атак ГРУ.

В июне 2016 года был создан вымышленный хакер-активист по имени Guccifier 2.0 — разведчики,создавшие его для отвода глаз,настаивали на его румынском происхождении.Он стал получать отдельные заказы на информацию о конкретных конгрессменах.

В августе 2016-го Guccifier 2.0 переслал зарегистрированному лоббисту и онлайн-агентству политических новостей информацию об интересовавшем их политическом оппоненте (название компании и имя лоббиста в документах следствия не указывается).Они же получили информацию о более чем 2000 донорах Демократической партии.

В это же время сотрудники ГРУ Лукашев и Ермаков,используя Guccifier 2.0,связались с неназванным журналистом,предложив ему взглянуть на украденные документы.Он получил доступ к непубличной версии dcleaks.com.

15 августа и 9 сентября 2016 года Guccifier 2.0 связывался с человеком,регулярно контактировавшим с руководством штаба Трампа,и спрашивал,нашел ли он что-то полезное в уже обнародованных документах.Тот ответил,что находит их «крайне стандартными».Что это за человек,в расследовании не упоминается,но еще в марте прошлого года близкий советник Трампа Роджер Стоун признавался,что контактировал с Guccifier 2.0 и не нашел ничего интересного в материалах,на которые хакер дал ему ссылки.

Правообладатель иллюстрации GETTY IMAGES Image caption Роджер Стоун

Действие четвертое: «организация 1»

Еще один ресурс для публикации украденных ГРУ данных — так называемая «Организация 1″. В расследовании Мюллера не говорится,что это за организация,но можно предположить, что речь идет о проекте WikiLeaks,неоднократно публиковавшем переписку демократов.

Представители «Организации 1″ связались с Guccifier 2.0 22 июня 2016 года,написав разведчикам сообщение: «пришлите нам для ознакомления любые новые материалы (украденные в Национальном демократическом комитете),и тогда это будет иметь гораздо больший эффект,чем то,что вы сейчас делаете».

В начале июля они также писали Guccifier 2.0,интересуясь новыми документами демократов в преддверии их съезда,на котором партия традиционно выдвигает единого кандидата. Представители организации также отмечали,что «у Трампа только 25% шансов победить Хиллари,таким образом конфликт между ней и Берни (Берни Сандерс — бывший кандидат в президенты США,чья кандидатура не нашла поддержки у демократов — Русская служба Би-би-си) становится все более интересным».

14 июля после нескольких неудачных попыток передать украденные документы,разведчики отправили «Организации 1″ подробные инструкции о доступе к данным Национального демократического комитета.18 июля был передан 1 гигабайт информации,и представитель «Организации 1″ сообщил,что документы будут опубликованы в течении недели.

22 июля «Организация 1″ обнародовала 20 тысяч электронных писем.Это произошло за считанные дни до съезда демократов.В октябре организация также опубликовала документы,украденные Алексеем Лукашевым из компьютера руководителя штаба Клинтон Джона Подесты.