Door Adam Shepherd
Het verhaal van hoe 12 hackers de machtigste democratie ter wereld zouden hebben gecorrumpeerd om Donald Trump bovenaan te zetten
Na meer dan twee jaar van beschuldigingen, verwijten, ontkenningen en speculaties, heeft het onderzoek van speciaal aanklager Robert Mueller naar mogelijke inmenging in de Amerikaanse presidentsverkiezingen van 2016 hem naar Rusland geleid. Als onderdeel van een uitgebreid onderzoek naar de invloed van Russische statelijke actoren op de verkiezingen, heeft het ministerie van Justitie 12 leden van de Russische militaire inlichtingendienst formeel aangeklaagd voor verschillende hackmisdrijven.
President Vladimir Poetin heeft namens Rusland en zijn agenten alle wandaden ontkend en wordt publiekelijk gesteund door president Trump. Ondanks veroordeling van de voorzitter van het Amerikaanse Huis van Afgevaardigden Paul Ryan, talrijke publieke en politieke figuren en zelfs zijn eigen directeur van de nationale inlichtingendienst, zei Trump dat hij geen enkele reden ziet waarom Rusland zou proberen de verkiezingen te beïnvloeden.
Vervolgens kwam hij terug op die bewering en verklaarde hij dat hij de conclusies van de inlichtingendiensten aanvaardt dat Rusland zich met de verkiezingen van 2016 heeft bemoeid, maar zei ook dat het ook andere mensen zouden kunnen zijn, en herhaalde zijn bewering dat er helemaal geen sprake was van samenzwering.
De beschuldigingen komen tegen een achtergrond van toenemende Russische agressie op het wereldtoneel; het land controleert nog steeds het Krim-schiereiland dat het in 2014 met geweld heeft ingenomen, er zijn beweringen dat het een rol heeft gespeeld bij het orkestreren van de overwinning van Vote Leave in het Brexit-referendum, en het VK heeft Rusland beschuldigd van het vergiftigen van mensen op Britse bodem met dodelijke zenuwmiddelen.
Zie gerelateerd De tien beste technieken om wachtwoorden te kraken die door hackers worden gebruikt
Ondanks de protesten van Trump zijn de cyberbeveiligings- en inlichtingengemeenschappen er bijna unaniem over eens dat Rusland de verkiezingen van 2016 heeft gestolen, met behulp van een campagne van geavanceerde cyber- en informatieoorlogvoering om de gewenste uitkomst te garanderen.
Maar zo ja, hoe hebben ze dat gedaan?
Dankzij de aanklacht tegen de Russische agenten hebben we nu een redelijk goed beeld van hoe de hack zou zijn uitgevoerd. Mueller's dossier bevat details zoals data, methoden en aanvalsvectoren, waardoor we een gedetailleerde tijdlijn kunnen bouwen van hoe precies 12 Russische mannen 's werelds machtigste democratie hebben ontspoord. Dit artikel onderzoekt hoe dat had kunnen gebeuren, op basis van de beschuldigingen die in de aanklacht van Mueller worden geschetst.
LEES VOLGENDE: Russische accounts hebben £ 76k uitgegeven aan verkiezingsadvertenties van 2016
de doelen
Het doel van de Russische regering tijdens de verkiezingen van 2016 lijkt duidelijk: de verheffing van Donald J Trump tot het ambt van president van de Verenigde Staten, met alle mogelijke middelen, vergemakkelijken.
Om dat te doen, moesten de Russen een manier vinden om zijn rivaliserende kandidaat van het bord te krijgen, wat ertoe leidde dat ze zich op vier hoofdpartijen richtten met een geavanceerde en langdurige hackcampagne.
DCCC
Het Democratic Congressional Campaign Committee (of 'D-trip', zoals het in de volksmond wordt genoemd) is verantwoordelijk voor het verkrijgen van zoveel mogelijk democraten in het Amerikaanse Huis van Afgevaardigden, en biedt ondersteuning, begeleiding en financiering aan potentiële kandidaten in congresraces.
DNC
Het bestuursorgaan van de Democratische Partij van de Verenigde Staten, het Democratisch Nationaal Comité, is verantwoordelijk voor het organiseren van de algemene strategie van de Democraten en het organiseren van de benoeming en bevestiging van de presidentskandidaat van de partij bij elke verkiezing.
Hillary Clinton
Hillary Clinton, de voormalige minister van Buitenlandse Zaken onder Obama, versloeg Bernie Sanders en werd de presidentskandidaat van de Democraten bij de verkiezingen van 2016, waardoor ze in het vizier van Donald Trump en de Russische regering kwam.
John Podesta
John Podesta, een oude veteraan in de politiek van DC, heeft gediend onder de vorige twee Democratische presidenten, voordat hij optrad als voorzitter van de presidentiële campagne van Hillary Clinton in 2016.
De GRU Twaalf
Alle twaalf vermoedelijke hackers werken voor de GRU - de elite buitenlandse inlichtingenorganisatie van de Russische regering. Allen zijn militaire officieren van verschillende rangen, en ze maakten allemaal deel uit van eenheden die specifiek belast waren met het verdraaien van het verloop van de verkiezingen.
Volgens de aanklacht van Mueller was Unit 26165 verantwoordelijk voor het hacken van de DNC, DCCC en personen die betrokken waren bij de campagne van Clinton. Eenheid 74455 was blijkbaar belast met het optreden als geheime propagandisten, het lekken van gestolen documenten en het publiceren van anti-Clinton en anti-democratische inhoud via verschillende online kanalen.
Beveiligingsprofessionals zijn misschien meer bekend met de codenamen die aan deze twee eenheden werden gegeven toen ze voor het eerst werden ontdekt in 2016: Cosy Bear en Fancy Bear.
De 12 betrokken hackers zouden zijn:
| Naam | Rol | Rang |
| Viktor Borisovitsj Netyksho | Commandant van eenheid 26165, verantwoordelijk voor het hacken van DNC en andere doelen | Onbekend |
| Boris Aleksejevitsj Antonov | Toezicht op spearphishing-campagnes voor Unit 26165 | majoor |
| Dmitry Sergejevitsj Badin | Assistent afdelingshoofd van Antonov | Onbekend |
| Ivan Sergejevitsj Jermakov | Uitgevoerd hackoperaties voor Unit 26165 | Onbekend |
| Aleksey Viktorovich Loekashev | Spearphishing-aanvallen uitgevoerd voor eenheid 26165 | 2e luitenant |
| Sergey Aleksandrovitsj Morgachev | Toezicht op de ontwikkeling en het beheer van malware voor Unit 26165 | luitenant Kolonel |
| Nikolay Yuryevich Kozachekche | Malware ontwikkeld voor Unit 26165 | Luitenant Kapitein |
| Pavel Vjatsjeslavovitsj Yershov | Geteste malware voor Unit 26165 | Onbekend |
| Artem Andrejevitsj Malyshev | Gecontroleerde malware voor Unit 26165 | 2e luitenant |
| Aleksandr Vladimirovitsj Osadchuk | Commandant van eenheid 74455, verantwoordelijk voor het lekken van gestolen documenten | Kolonel |
| Aleksej Aleksandrovitsj Potemkin | Beheer van de IT-infrastructuur | Onbekend |
| Anatoliy Sergejevitsj Kovalev | Uitgevoerd hackoperaties voor Unit 74455 | Onbekend |
LEES VOLGENDE: De technologiebedrijven die uw gegevens aan de overheid verstrekken
Hoe de hack was gepland
De sleutel tot een succesvolle cyberaanval is planning en verkenning, dus de eerste taak voor de agenten van Unit 26165 was om de zwakke punten in de infrastructuur van de Clinton-campagne te identificeren - zwakke punten die vervolgens kunnen worden uitgebuit.
15 maart:
Ivan Yermakov begint de infrastructuur van de DNC te scannen om aangesloten apparaten te identificeren. Ook begint hij onderzoek te doen naar het netwerk van de DNC en onderzoek naar Clinton en de Democraten in het algemeen.
19 maart:
John Podesta valt voor een spearphishing-e-mail die naar verluidt is gemaakt door Aleksey Lukashev en vermomd als een Google-beveiligingswaarschuwing, waardoor de Russen toegang krijgen tot zijn persoonlijke e-mailaccount. Diezelfde dag gebruikt Loekashev spearphishing-aanvallen om andere hoge campagnefunctionarissen aan te vallen, waaronder campagnemanager Robby Mook.
21 maart:
Podesta's persoonlijke e-mailaccount wordt opgeschoond door Loekashev en Yermakov; ze gaan er vandoor met in totaal meer dan 50.000 berichten.
28 maart:
De succesvolle spearphishing-campagne van Loekashev leidt tot de diefstal van inloggegevens voor e-mail en duizenden berichten van verschillende mensen die verband houden met de campagne van Clinton.
6 april:
De Russen creëren een nep-e-mailadres voor een bekende figuur in het Clinton-kamp, met slechts één letter verschil van de naam van de persoon. Dit e-mailadres wordt vervolgens door Lukashev gebruikt om ten minste 30 verschillende campagnemedewerkers te spear-phishing, en een DCCC-medewerker wordt misleid om haar inloggegevens te overhandigen.
LEES VOLGENDE: Hoe Google bewijs heeft gevonden van Russische inmenging in de Amerikaanse verkiezingen
Hoe de DNC werd geschonden
Nu het eerste voorbereidende werk is voltooid, hadden de Russen een sterke positie in het netwerk van de Democraten dankzij een zeer effectieve spearphishing-campagne. De volgende stap was om die voet aan de grond te krijgen om verdere toegang te krijgen.
7 april:
Net als bij de eerste verkenning in maart doet Yermakov onderzoek naar aangesloten apparaten op het DCCC-netwerk.
12 april:
Met behulp van inloggegevens die zijn gestolen van een onwetende DCCC-medewerker, krijgen de Russen toegang tot de interne netwerken van de DCCC. Tussen april en juni installeren ze op minstens tien DCCC-computers verschillende versies van een stukje malware met de naam 'X-Agent' - waarmee keylogging op afstand en schermopname van geïnfecteerde apparaten mogelijk is.
Deze malware verzendt gegevens van getroffen computers naar een door de Russen gehuurde Arizona-server, die zij een AMS-paneel noemen. Vanuit dit paneel kunnen ze hun malware op afstand monitoren en beheren.
14 april:
Gedurende een periode van acht uur gebruiken de Russen X-Agent om wachtwoorden te stelen voor DCCC-fondsenwerving en kiezerscampagnes, Mueller's aanklachtclaims, evenals het bewaken van communicatie tussen DCCC-medewerkers, waaronder persoonlijke informatie en bankgegevens. De gesprekken bevatten ook informatie over de financiën van het DCCC.
15 april:
De Russen doorzoeken een van de gehackte DCCC-pc's op verschillende sleuteltermen, waaronder 'Hillary', 'Cruz' en 'Trump'. Ze kopiëren ook sleutelmappen, zoals een met het label 'Benghazi Investigations'.
18 april:
uitloggen van snapchat op alle apparaten
Het netwerk van de DNC wordt geschonden door de Russen, die toegang krijgen door de inloggegevens te gebruiken van een DCCC-medewerker met toestemming om toegang te krijgen tot de systemen van de DNC.
19 april:
Yershov en Nikolay Kozachek hebben blijkbaar een derde computer buiten de VS opgezet om te fungeren als een relais tussen het in Arizona gevestigde AMS-paneel en de X-Agent-malware om de verbinding tussen de twee te verdoezelen.
22 april:
Meerdere gigabytes aan gegevens die van DNC-pc's zijn gestolen, worden gecomprimeerd tot een archief. Deze gegevens omvatten oppositieonderzoek en plannen voor veldoperaties. De komende week gebruiken de Russen een ander aangepast stuk malware - 'X-Tunnel' - om deze gegevens via versleutelde verbindingen van het DNC-netwerk naar een andere gehuurde machine in Illinois te exfiltreren.
13 mei:
Op een bepaald moment in mei worden zowel de DNC als de DCCC zich ervan bewust dat ze zijn gecompromitteerd. De organisaties huren cyberbeveiligingsbedrijf CrowdStrik in om de hackers uit hun systemen te verwijderen, terwijl de Russen stappen ondernemen om hun activiteiten te verbergen, zoals het wissen van de gebeurtenislogboeken van bepaalde DNC-machines.
25 mei:
In de loop van een week zouden de Russen duizenden e-mails stelen van de werkaccounts van DNC-medewerkers na het hacken van de Microsoft Exchange Server van de DNC, terwijl Yermakov PowerShell-commando's onderzoekt voor toegang tot en het uitvoeren van Exchange Server.
31 mei:
Yermakov begint onderzoek te doen naar CrowdStrike en het onderzoek naar X-Agent en X-Tunnel, vermoedelijk in een poging om te zien hoeveel het bedrijf weet.
1 juni:
De volgende dag proberen de Russen CCleaner te gebruiken - een freeware-tool die is ontworpen om ruimte op de harde schijf vrij te maken - om bewijs van hun activiteit op het DCCC-netwerk te vernietigen.
LEES VOLGENDE: Zit Rusland achter een wereldwijde hackcampagne om officiële geheimen te stelen?
De geboorte van Guccifer 2.0
De Russen hebben nu een aanzienlijke hoeveelheid gegevens van de DNC geëxfiltreerd. Deze informatie, gecombineerd met de schat aan persoonlijke e-mails van Podesta, geeft hen alle munitie die ze nodig hebben om de campagne van Clinton aan te vallen
8 juni:
DCLeaks.com is gelanceerd, naar verluidt door de Russen, samen met bijpassende Facebook-pagina's en Twitter-accounts, als een manier om het materiaal te verspreiden dat ze hebben gestolen van Podesta en de DNC. De site beweert dat deze wordt gerund door Amerikaanse hacktivisten, maar de aanklacht van Mueller beweert dat dit een leugen is.
14 juni:
CrowdStrike en de DNC onthullen dat de organisatie is gehackt en beschuldigen de Russische regering publiekelijk. Rusland ontkent alle betrokkenheid bij de aanval. In de loop van juni begint CrowdStrike actie te ondernemen om de hack te beperken.
15 juni:
Als reactie op de beschuldiging van CrowdStrike creëren de Russen het karakter van Guccifer 2.0 als een rookgordijn, beweert Mueller, bedoeld om twijfel te zaaien over de Russische betrokkenheid bij de hacks. Het team van Russen doet zich voor als een enkele Roemeense hacker en eist de aanval op.
Alleen wie is Guccifer?
Hoewel Guccifer 2.0 een fictief personage is dat is gemaakt door Russische agenten, is het eigenlijk gebaseerd op een echt persoon. De originele Guccifer was een echte Roemeense hacker die in 2013 bekendheid verwierf na het vrijgeven van foto's van George W. Bush die waren gehackt van het AOL-account van zijn zus. De naam, zegt hij, is een samentrekking van 'Gucci' en 'Lucifer'.
Hij werd uiteindelijk gearresteerd op verdenking van het hacken van een aantal Roemeense functionarissen en uitgeleverd aan de VS. De Russen hoopten vermoedelijk dat functionarissen zouden aannemen dat hij ook achter de acties van Guccifer 2.0 zat, ondanks het feit dat hij in mei al schuldig had gepleit voor federale aanklachten.
20 juni:
Op dit punt hebben de Russen toegang gekregen tot 33 DNC-eindpunten. CrowdStrike heeft ondertussen alle exemplaren van X-Agent uit het DCCC-netwerk verwijderd, hoewel ten minste één versie van X-Agent tot oktober actief zal blijven binnen de systemen van de DNC.
De Russen besteden meer dan zeven uur tevergeefs aan het proberen verbinding te maken met hun X-Agent-instanties met het DCCC-netwerk, en proberen ook eerder gestolen inloggegevens te gebruiken om toegang te krijgen. Ze wissen ook de activiteitenlogboeken van het AMS-paneel, inclusief alle inloggeschiedenis en gebruiksgegevens.
22 juni:
WikiLeaks stuurt naar verluidt een privébericht naar Guccifer 2.0 met het verzoek om nieuw materiaal met betrekking tot Clinton en de Democraten te sturen, waarin staat dat het een veel grotere impact zal hebben dan wat u doet.
18 juli:
WikiLeaks bevestigt de ontvangst van een archief van 1 GB met gestolen DNC-gegevens en stelt dat het binnen een week zal worden vrijgegeven.
22 juli:
Trouw aan zijn woord, geeft WikiLeaks meer dan 20.000 e-mails en documenten vrij die zijn gestolen van de DNC, slechts twee dagen voor de Democratische Nationale Conventie. De meest recente e-mail van WikiLeaks dateert van 25 mei – ongeveer dezelfde dag dat de Exchange Server van de DNC werd gehackt.
LEES VOLGENDE: WikiLeaks zegt dat CIA slimme tv's kan gebruiken om eigenaren te bespioneren
27 juli:
Tijdens een persconferentie vraagt presidentskandidaat Donald Trump rechtstreeks en specifiek aan de Russische regering om een deel van Clintons persoonlijke e-mails op te sporen.
Diezelfde dag richten de Russen zich op e-mailaccounts die worden gebruikt door het persoonlijke kantoor van Clinton en worden gehost door een externe provider.
15 aug:
Naast WikiLeaks levert Guccifer 2.0 ook aan een aantal andere begunstigden gestolen informatie. Dit omvat blijkbaar een Amerikaanse congreskandidaat, die om informatie vraagt met betrekking tot hun tegenstander. Gedurende deze periode gebruiken de Russen Guccifer 2.0 ook om te communiceren met een persoon die regelmatig contact heeft met topleden van de Trump-campagne.
22 aug:
Guccifer 2.0 stuurt 2,5 GB aan gestolen gegevens (inclusief donorgegevens en persoonlijk identificeerbare informatie over meer dan 2000 Democratische donoren) naar een toen geregistreerde staatslobbyist en online bron van politiek nieuws.
zeven:
Op een bepaald moment in september krijgen de Russen toegang tot een cloudservice met test-apps voor DNC-gegevensanalyse. Met behulp van de eigen ingebouwde tools van de cloudservice maken ze snapshots van de systemen en dragen ze over naar accounts die ze beheren.
7 okt:
WikiLeaks publiceert de eerste batch e-mails van Podesta, wat leidt tot controverse en opschudding in de media. De komende maand zal de organisatie alle 50.000 e-mails vrijgeven die naar verluidt door Lukashev van zijn account zijn gestolen.
28 okt:
Kovalev en zijn kameraden richten zich op staats- en provinciekantoren die verantwoordelijk zijn voor het beheer van verkiezingen in belangrijke swingstaten, waaronder Florida, Georgia en Iowa, de aanklachtstaten van Mueller.
november:
In de eerste week van november, net voor de verkiezingen, gebruikt Kovalev een vervalst e-mailaccount om spear phish meer dan 100 doelen die betrokken zijn bij het beheer van en het toezicht op de verkiezingen in Florida – waar Trump met 1,2% won. De e-mails zijn ontworpen om eruit te zien alsof ze afkomstig zijn van een softwareleverancier die kiezersverificatiesystemen levert, een bedrijf dat Kovalev in augustus heeft gehackt, stelt Mueller.
8 nov:
In tegenstelling tot de voorspellingen van experts en opiniepeilers, wint reality-tv-ster Donald Trump de verkiezingen en wordt hij president van de Verenigde Staten.
LEES VOLGENDE: 16 keer waar burger Trump president Trump verbrandde
Wat gebeurt er nu?
Hoewel dit ongetwijfeld een mijlpaal is in zowel de wereldwijde geopolitiek als cyberbeveiliging, hebben veel experts opgemerkt dat de aanklacht tegen de 12 GRU-agenten een bijna volledig symbolisch gebaar is en waarschijnlijk niet tot arrestaties zal leiden.
Rusland heeft geen uitleveringsverdrag met de VS en is dus niet verplicht om de beschuldigde mannen aan Mueller uit te leveren. Dit is overigens dezelfde reden waarom NSA-klokkenluider Edward Snowden de afgelopen jaren in Rusland is opgesloten.
De bedoeling, zo hebben sommige bronnen gesuggereerd, is dat deze aanklachten als een waarschuwing dienen en Rusland (en de wereld) laten weten dat de VS doorgaat met hun onderzoek.
Door in te stemmen, kan de aanklager de feiten en/of beschuldigingen die door de grand jury zijn gevonden, openbaar maken, zei strafrechtadvocaat Jean-Jacques Cabou. Ars Technica . Hier kan het grote publiek een bedoeld publiek zijn. Maar aanklagers ontsluiten ook aanklachten om een bericht naar andere doelen te sturen.
Het onderzoek van Mueller zal naar verwachting worden voortgezet.
Dit artikel verscheen oorspronkelijk op de zustersite IT Pro van Alphr.
