U izveštaju organizacije “Ctrl Alt Intel” piše da podaci do kojih su došli pokazuju da je moguće identifikovati šest različitih imejl naloga Ministarstva odbrane koji su hakovani, a gdje su napadači uspjeli da dođu i do zaštite za dodatnu potvrdu prijave (takozvana dvostepena verifikacija).
Tragovi ruske hakerske grupe “Fancy Bear”, koju američke i britanske državne institucije povezuju sa ruskom vojnom obaveštajnom službom GRU, pronađeni su u Ministarstvu odbrane Srbije, Vojnoj akademiji i Vojnomedicinskoj akademiji (VMA), piše danas Radio Slobodna Evropa (RSE).
To je utvrdila grupa nezavisnih stručnjaka za sajber bezbjednost “Ctrl Alt Intel”, koja je sredinom marta uspjela da pristupi folderima na serveru ruske hakerske grupe.
Podaci do kojih su došli pokazuju da je moguće identifikovati šest imejl naloga Ministarstva odbrane koji su hakovani.
Ministarstvo odbrane Srbije do objavljivanja teksta nije odgovorilo na pitanja RSE od četvrtka, 19. marta, u vezi sa saznanjima da su kompromitovani podaci.
Sajber napad nije prijavljen ni Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti, kako predviđaju srpski zakoni, piše u tekstu.
U dopisu RSE, nacionalni CERT Republike Srbije, centralno tijelo zaduženo za prevenciju, zaštitu i odgovor na bezbjednosne rizike u informacionim sistemima, takođe navodi da nema podatke o ovom napadu.
U izveštaju organizacije “Ctrl Alt Intel” piše, međutim, da podaci do kojih su došli pokazuju da je moguće identifikovati šest različitih imejl naloga Ministarstva odbrane koji su hakovani, a gdje su napadači uspjeli da dođu i do zaštite za dodatnu potvrdu prijave (takozvana dvostepena verifikacija).
Kod četiri naloga su podesili automatsko prosleđivanje mejlova na druge adrese, tako da su napadači mogli pratiti svu pristiglu poštu.
Raspoloživi podaci nemaju oznake datuma, pa nije moguće utvrditi kada se inicijalni napad desio.
"Ovo je moglo da traje još od oktobra 2024. godine. Postoji mogućnost da su ove imejl adrese i dalje kompromitovane i da i danas prosleđuju imejlove na ‘FancyBear’ adrese," kaže za RSE Ben Foland, istraživač u organizaciji “Ctrl Alt Intel”.
"Fancy Bear" je hakerska grupa koja je aktivna najmanje 10 godina. Poznati su pod više naziva, između ostalog i kao “APT28” ili “Forest Blizzard”, kako ih u svojim bazama vodi tehnološka kompanija Majkrosoft (Microsoft).
Britanski državni Nacionalni centar za sajber bezbjednost procjenjuje da je “APT28” gotovo sigurno dio Glavne obaveštajne uprave (GRU) Generalštaba Rusije.
Pripadnici ove hakerske grupe direktno su identifikovani kao oficiri GRU u optužnici koju je američko Ministarstvo pravde 2018. godine podiglo protiv 12 pripadnika GRU zbog hakovanja Demokratskog nacionalnog komiteta, Demokratskog kongresnog komiteta i predizborne kampanje kandidatkinje za predsjednicu SAD Hilari Klinton (Hillary Clinton), prenosi RSE.
Kako se navodi na sajtu Microsofta, ova ruska hakerska grupa po pravilu napada vlade, nevladine organizacije, IT kompanije i univerzitete, a napadi su zabilježeni u Americi, Australiji, Kanadi, Indiji, Ukrajini, Izraelu i Japanu.
Jedan od načina na koji grupa funkcioniše je ulazak u informacione sisteme preko takozvanog spear phishinga. Radi se o ciljanom slanju poruka u kojem napadač prilagođava sadržaj tako da izgleda kao da dolazi od pouzdane osobe ili organizacije, često koristeći lične podatke o žrtvi. Cilj je da žrtva preuzme zlonamerni fajl i omogući napadačima pristup sistemima sa kojih skidaju sadržaj sa internih servera.
U vezi s napadom na državne institucije Srbije, stručnjaci grupe “Ctrl Alt Intel” su identifikovali šest kompromitovanih imejl naloga u Ministarstvu odbrane i po jedan iz sistema Vojne akademije i VMA.
Prikupljeno je 248 kontakata sa kojima je sa ovih imejl naloga komunicirano.
"Sa ovih imejl adresa srpskog Ministarstva odbrane kontaktirane su druge adrese, uključujući više njih unutar samog Ministarstva, ali i evropske vojne i odbrambene strukture. ‘FancyBear’ je uspio da izvuče liste kontakata sa svojih početnih meta u srpskom Ministarstvu odbrane kako bi došao do ovih podataka," objašnjava Ben Foland.
Hakerska grupa “Fancy Bear” u pojedinim napadima radi u saradnji sa drugom grupom poznatom kao “Midnight Blizzard”, što je primijećeno tokom forenzičke analize napada na nevladinu organizaciju Beogradski centar za bezbjednosnu politiku tokom jeseni prošle godine.
U tom napadu hakeri su pristupili dijelu arhive i pročitali više od 28 hiljada mejl prepiski organizacije koja skoro 25 godina prati reforme u sektoru bezbjednosti i aktivno komunicira sa brojnim evropskim institucijama.
Vlade SAD i Velike Britanije povezuju “Midnight Blizzard” sa Spoljnom obaveštajnom službom Ruske Federacije (SVR).
Srbija je bila predmet interesa SVR-a tokom maja i juna 2025. godine kada su izdata dva saopštenja sa kritikama zbog tvrdnji da Beograd izvozi municiju u Ukrajinu.
"Po informacijama koje je SVR dobio, srpske odbrambene kompanije, uprkos deklarisanoj ‘neutralnosti’ Beograda, nastavljaju da isporučuju municiju Kijevu. Jednostavna šema koja uključuje falsifikovane sertifikate krajnjeg korisnika i posredničke zemlje služi kao paravan za ove antiruske aktivnosti," saopštila je ruska služba 28. maja 2025.
U saopštenju su navedene i zemlje posrednici, ali i srpske kompanije koje vrše izvoz, kao što su Jugoiport SDPR, Zenitprom, Krušik, Sofag, Reyer DTI, Sloboda, Prvi Partizan.
Predsjednik Srbije Aleksandar Vučić tada je rekao da je tokom posjete Moskvi 9. maja s predsjednikom Rusije Vladimirom Putinom razgovarao o izvozu oružja iz Srbije u Ukrajinu i negirao neke od navoda SVR-a.
"Formirali smo radnu grupu, zajedno sa ruskim partnerima, kako bismo utvrdili činjenice. Neke od izrečenih stvari nisu tačne," rekao je Vučić.
Mesec dana kasnije uslijedilo je novo saopštenje ruskog SVR-a:
"Po dobijenim informacijama, valjevski ‘Krušik’ je nedavno prodao više velikih serija kompleta za sklapanje raketa kalibra 122 mm češkoj kompaniji ‘Poličské strojírny’. Odbrambeno preduzeće ‘Eling’ iz Loznice isporučilo je bugarskoj kompaniji ‘EMKO’ proizvodne komplete za iste te rakete, kao i mine za minobacače kalibra 120 mm," navela je služba 23. juna 2025.
Predsjednik Srbije je tada odgovorio zaustavljanjem izvoza municije iz Srbije, piše RSE.
Precizni podaci o tome šta od naoružanja i vojne opreme i u kojim količinama Srbija izvozi u Ukrajinu, Izrael i druge države nisu javno dostupni, a resorno ministarstvo posljednjih godina ne objavljuje godišnje izveštaje o izdatim dozvolama za izvoz.
RSE prenosi da je “FancyBear” uspješno kompromitovao vladine i vojne entitete širom Ukrajine, Rumunije, Bugarske, Grčke, Srbije i Sjeverne Makedonije, uključujući imejl adrese povezane sa četiri zemlje članice NATO-a.
Na serverima te hakerske grupe pronađeno je više od 2.800 imejlova izvučenih iz vladinih i vojnih baza. Ukradeno je više od 240 kompleta korisničkih podataka, uključujući lozinke i kodove za dvofaktorsku verifikaciju, a sa 140 adresa je tiho preusmjeren svaki dolazni imejl na adrese pod kontrolom napadača.
Iz adresara žrtava izvučeno je više od 11.500 imejl adresa, čime su mapirane kompletne komunikacione mreže, kaže “Ctrl Alt Intel”, prenosi RSE.
