Испания шпионира Куба и Латинска Америка в продължение на 10 години чрез вирус, маскиран като вестник

Историята на една от най-загадъчните кибергрупировки на нашето време получи неочаквано продължение. 10 години след разкриването на Careto (известна още като The Mask) експертите, участвали в разследването, потвърдиха, че кампанията за шпионски софтуер е била подкрепена от структури, свързани с испанското правителство. Тази информация беше изказана от бивши служители на Kaspersky Lab, която за първи път разкри Careto през 2014 година.

Екипът за пръв път забелязал аномален мрежов трафик, свързан с предполагаеми фишинг атаки. Колкото по-дълбоко обаче се задълбочавали, толкова по-ясно ставало, че са изправени пред много по-напреднал оператор. Веригата от атаки довела до заразяването на правителствена мрежа в Куба – това била началната точка на разследването. Нивото на сложност на зловредния код, неговата скритост и конкретните цели позволили на изследователите в крайна сметка да категоризират Careto като отделна категория – елитна заплаха на държавно ниво.

Името „Careto“ идва от испанска дума, открита в тялото на зловредния софтуер. Още тогава експертите забелязаха много културни и езикови следи, сочещи испанския му произход. Сред тях са низът „Caguen1aMar“ (изопачена испанска ругатня), използването на теми, свързани с баската организация ЕТА, и фишинг имейли, стилизирани по подобие на новинарски сайтове като El País и Público. Ключовият момент обаче е съсредоточаването на атаките конкретно върху Куба, където според съобщенията са се намирали членовете на ЕТА, бягащи от испанското правосъдие. Испания традиционно проявява специален интерес към кубинската политическа обстановка и шпионската дейност в региона изглеждаше повече от уместна.

Careto атакува не само Куба. Жертвите бяха организации в 31 държави – от Франция и Обединеното кралство до Бразилия, Мароко, Либия и дори самата Испания. Гибралтар, геополитически чувствителна територия, която Мадрид смята за своя също беше в списъка. Освен правителствени офиси, обект на посегателство са били и енергийни компании, академични институции, дипломатически мисии и активисти.

Зловредният софтуер на Careto беше изключително мощен: той можеше да краде документи, да прихваща разговори в Skype, да прави скрийншоти, да извлича PGP ключове и дори да включва незабелязано микрофона на заразените устройства. Бяха открити варианти на програмата за Windows, macOS, Linux и вероятно за мобилните платформи Android и iOS. Освен това в арсенала на нападателите са открити експлойти за антивирусите на Kaspersky, които им позволяват да атакуват потребителите незабелязано, особено в Куба.

След публикуването на първия доклад през 2014 година операторите на Careto незабавно ограничиха дейността си: изтриха логовете, почистиха инфраструктурата и изчезнаха. Според изследователите подобни действия са нещо, което могат да направят само висококвалифицирани правителствени екипи, но през 2022 година Careto се прояви отново: беше регистрирана атака срещу организация в Латинска Америка, която преди това беше мишена. Това беше последвано от друг инцидент в Централна Африка.

Въпреки прекъсването си Careto е останала също толкова технологично усъвършенствана. Хакерите са използвали модифицирани импланти, които са работили като задни вратички, шпиони за клавиатурата и помощни програми за правене на скрийншоти. Една от атаките е включвала скрито включване на микрофона, кражба на бисквитки, история на браузъра и лични документи. Действията на групата продължиха да бъдат съпроводени с висока степен на предпазливост и изолиране на инфраструктурата.

Въпреки че настоящите служители на Kaspersky Lab официално отказаха да потвърдят или отрекат участието на испанските власти, вътрешни източници, участващи в разследването, твърдят, че по това време екипът е имал „висока увереност“ за това кой стои зад атаката. Те обаче подчертават, че политиката на компанията е забранявала официалното приписване на отговорност, особено на приятелски правителства.

На фона на високопоставените разкрития за групи като Equation Group (САЩ, вероятно АНС), Lamberts (вероятно ЦРУ) и Animal Farm (Франция), появата на Испания в списъка изглежда естествена. Careto, въпреки скромните си мащаби превъзхожда много по-известни групи по отношение на сложността си. Атаките на този екип, според един от изследователите, са истински произведения на изкуството.