Τη δυνατότητα διεξαγωγής επιχειρήσεων σαμποτάζ εναντίον των στόχων τους έδινε στους αυτουργούς της, εκτεταμένη επιχείρηση κυβερνοκατασκοπείας σε βάρος (κυρίως) δυτικών εταιρειών του χώρου της ενέργειας την οποία εντόπισαν ερευνητές της γνωστής φίρμας διαδικτυακής ασφάλειας Symantec.
Όπως έγινε γνωστό, η ομάδα που βρισκόταν πίσω από την επιχείρηση, στην οποία και δόθηκε η κωδική ονομασία Dragonfly (δρακόμυγα/ λιβελούλα), κατάφερε να παραβιάσει τα συστήματα ενός αριθμού «στρατηγικά σημαντικών» οργανισμών και φορέων για σκοπούς κατασκοπείας και, «εάν είχαν αξιοποιήσει τις δυνατότητες δολιοφθοράς που ήταν ανοιχτές σε αυτούς», θα είχε προκαλέσει ζημιά ή αναταραχή στην παροχή ενέργειας στις εκάστοτε χώρες.
Μεταξύ των στόχων της Dragonfly βρίσκονταν διαχειριστές δικτύων ενέργειας, εταιρείες παραγωγής ηλεκτρισμού, διαχειριστές αγωγών πετρελαίου και πάροχοι βιομηχανικού εξοπλισμού που έχουν να κάνουν με τον συγκεκριμένο χώρο. Τα περισσότερα θύματα της επιχείρησης βρίσκονταν στις ΗΠΑ, την Ισπανία, τη Γαλλία, την Ιταλία, τη Γερμανία, την Τουρκία και την Πολωνία. Αξίζει να σημειωθεί ότι στη συγκεκριμένη λίστα χωρών με «ενεργές μολύνσεις» (όπου οι εισβολείς υπέκλεψαν δεδομένα από μολυσμένους υπολογιστές) είναι παρούσα και η Ελλάδα.
Σύμφωνα με τη Symantec το γκρουπ θεωρείται ιδιαίτερα αυξημένων δυνατοτήτων και φέρεται να διαθέτει σημαντικούς πόρους, με ένα εύρος εργαλείων κακόβουλου λογισμικού (malware) στη διάθεσή του. Σε μία από τις πλέον «φιλόδοξου» χαρακτήρα «καμπάνιες» της Dragonfly παραβιάστηκαν πάροχοι συστημάτων βιομηχανικού ελέγχου (ICS – Industrial Control Systems) , μέσω μόλυνσης του λογισμικού τους με Trojanγια πρόσβαση εξ αποστάσεως. Όπως επισημαίνεται, οι εταιρείες εγκαθιστούσαν άθελά τους το malwareενώ κατέβαζαν software updates για τους υπολογιστές που ήταν επιφορτισμένοι με τη διαχείριση τέτοιου εξοπλισμού. Το αποτέλεσμα ήταν οι εισβολείς να αποκτούν «προγεφυρώματα» στα δίκτυα των φορέων που είχαν στοχευθεί, και παράλληλα τη δυνατότητα να διεξάγουν επιχειρήσεις δολιοφθοράς εναντίον των μολυσμένων συστημάτων.
Όπως τονίζει η Symantec, η συγκεκριμένη εκστρατεία φαίνεται να ακολουθεί τα βήματα του διαβόητουStuxnet, που είχε χρησιμοποιηθεί εναντίον του ιρανικού πυρηνικού προγράμματος, εγκαινιάζοντας μία νέα εποχή όπλων κυβερνοπολέμου. Ωστόσο, τη στιγμή που το Stuxnet είχε ως στόχο του το ιρανικό πρόγραμμα συγκεκριμένα (αποσκοπώντας στο σαμποτάζ), οι χάκερ της Dragonfly φαίνονται να έχουν πιο «ανοιχτούς ορίζοντες», με στόχο την κατασκοπεία και τη συνεχιζόμενη πρόσβαση – με τη δολιοφθορά ως επιλογή.
Πέρα από την παραβίαση λογισμικού ICS, η Dragonfly έχει διεξάγει εκστρατείες spam email και επιθέσεις «watering hole» για να μολύνει τους στοχευόμενους φορείς, χρησιμοποιώντας δύο κύρια εργαλεία malware(Backdoor.Oldrea, Trojan.Karagany).
Η «ταυτότητα» της Dragonfly
H ομάδα Dragonfly, γνωστή σε άλλους κύκλους και ως «Energetic Bear», φαίνεται να διεξάγει επιχειρήσεις από το 2011 τουλάχιστον, ενώ θεωρείται ότι ήταν ενεργή από ακόμα πιο πριν. Αρχικά στόχευε εταιρείες των χώρων της άμυνας και της αεροδιαστημικής σε ΗΠΑ και Καναδά, πριν μετατοπίσει το βάρος των δραστηριοτήτων της σε εταιρείες ενέργειας από Ευρώπη και ΗΠΑ στις αρχές του 2013. «Η Dragonfly έχει τα χαρακτηριστικά μίας επιχείρησης που υποστηρίζεται από κάποιο κράτος, καθώς παρουσιάζει υψηλό επίπεδο τεχνικών δυνατοτήτων…έχει στοχεύσει πολλαπλούς οργανισμούς του ενεργειακού τομέα μέσα σε μία μεγάλη χρονική περίοδο.
Το βασικό της κίνητρο αυτή τη στιγμή φαίνεται να είναι η κυβερνοκατασκοπεία, με δυνατότητες δολιοφθοράς ως μία ξεκάθαρη δευτερεύουσα δυνατότητα» τονίζεται στην αναφορά τηςSymantec. Όπως αναφέρεται, οι χάκερ της ομάδας εμφανίζονταν δραστήριοι κυρίως Δευτέρα με Παρασκευή. Βάσει των ωραρίων που φαίνονται να χαρακτηρίζουν τη δραστηριότητά τους, εκτιμάται ότι η ομάδα εδρεύει στην ανατολική Ευρώπη.