Росія випробовувала кіберзброю в Україні перед атаками на ядерну галузь США

Виявлено масштабну кібершпигунську кампанію проти США з попереднім тестуванням в Україні

Україна могла служити полігоном для тестування російської кіберзброї перед тим, як вона була використана для атак на стратегічні об’єкти Сполучених Штатів. Про це свідчать результати спільного розслідування, проведеного CNN, а також офіційна заява спецслужб країн-членів НАТО.

За даними розслідування, державні російські хакерські угруповання розпочали масштабну кампанію кібершпигунства, спрямовану проти американських науковців, які працюють у сфері ядерних досліджень, а також оборонних підрядників та урядовців. Зловмисники попередньо відпрацьовували свої шпигунські методи та інструменти на українських об’єктах, перш ніж перенести свою діяльність на американську територію.

Хронологія та цілі атак

Згідно з інформацією, наданою Агентством національної безпеки США, Федеральним бюро розслідувань (ФБР), Кібербезпековим агентством з безпеки інфраструктури (CISA) та партнерськими службами з понад десятка країн НАТО, зловмисники діяли щонайменше з липня 2025 року.

У кіберсередовищі це угруповання відоме під різними назвами, зокрема Laundry Bear, Void Blizzard та TA488. Аналітики американської компанії з кібербезпеки Proofpoint встановили, що хакери здійснювали атаки на поштові сервери як ядерних об’єктів США, так і підприємств оборонно-промислового комплексу.

Основний інтерес російської сторони зосереджувався на технологіях термоядерного синтезу. Окрім цього, Москва прагнула отримати розвідувальні дані, які могли б бути використані для подальшого продовження війни проти України.

Крім ядерної та оборонної галузей, під прицілом зловмисників опинилися федеральні та місцеві органи влади, енергетичні, медійні, технологічні компанії та освітні установи.

Ймовірно, зловмисники сподівалися отримати стратегічну інформацію про військові дані, логістику та політичні рішення країн Заходу.

— Шеррод ДеГріппо, віцепрезидентка з питань аналізу загроз Palo Alto Networks

Системність російських кібератак та використання української інфраструктури

Міжнародне застереження підкреслює стійку тенденцію, за якою російські спецслужби використовують українську інфраструктуру не лише як пріоритетний об’єкт для збору розвідданих, але й як тестовий майданчик для відпрацювання нових кібертехнологій перед їх застосуванням проти країн-членів НАТО. Ця викрита схема викликала серйозне занепокоєння серед високопосадовців країн Альянсу, які почали звертати увагу на системний характер російських кібератак.

Методи проникнення та тип шкідливого програмного забезпечення

Для проникнення в системи зловмисники використовували раніше невідому вразливість CVE-2025-66376, яка була виявлена в поштовій платформі Zimbra Collaboration Suite. Ключовою особливістю цих російських хакерських атак було те, що від користувача не вимагалося жодних дій, таких як завантаження файлів чи перехід за шкідливими посиланнями. Шпигунський механізм активувався автоматично під час відкриття або попереднього перегляду електронного листа.

Викрадене шкідливим програмним забезпеченням включало:

• Поштову переписку за останні 90 днів.
• Паролі.
• Коди двофакторної автентифікації.
• Повний каталог контактів організації.

Крім того, хакери створювали додаткові облікові записи, щоб забезпечити собі постійний доступ до скомпрометованих систем.

Тривалість використання вразливості та подальші застереження

За даними Proofpoint, хакери безперешкодно експлуатували цю вразливість протягом понад п’яти місяців. Лише в листопаді було випущено відповідне оновлення безпеки, яке усунуло цю прогалину. Однак, незважаючи на виправлення конкретної вразливості, спецслужби застерігають, що зловмисники продовжуватимуть шукати нові шляхи для проникнення в поштові системи західних організацій.

Попередні атаки та наслідки

Нагадаємо, що російські хакери вже здійснювали серію масштабних кібератак на електронні пошти українських прокурорів, слідчих, вищих посадовців та правоохоронців, зокрема співробітників Спеціалізованої антикорупційної прокуратури (САП), Агентства з розшуку та менеджменту активів (АРМА) та Спеціалізованої прокуратури у військовій сфері.

Окрім українських посадовців та інформації про цивільні об’єкти міста Покровськ, від цієї шпигунської кампанії постраждали військові та урядові установи Румунії, Греції, Болгарії та Сербії. Основною метою цих атак вважається збір компромату та спроби випередити розслідування щодо дій росіян.

Як було викрито масштабну атаку

За даними Reuters, цю масштабну кібератаку виявили дослідники британсько-американської групи Ctrl-Alt-Intel. Викриття стало можливим завдяки помилці самих хакерів, які випадково залишили у відкритому доступі сервер із викраденими даними. У знайдених журналах успішних зламів дослідники виявили тисячі електронних листів та інформацію про щонайменше 284 скомпрометовані поштові скриньки за останні два роки. Більшість із цих скриньок належать українським фахівцям, які займаються протидією корупції та співпрацюють з РФ.