С высокой долей вероятности можно утверждать, что левых активистов, проводящих подпольную работу против мобилизации на Украине, раскрыли через серию кибератак с использованием методов социальной инженерии. Для этого использовались файлы для программ Microsoft Office (Word, Excel, PowerPoint) или электронные книги в формате PDF, которые «склеивались» с вредоносным кодом. При открытии документа запускался алгоритм, передающий автору атаки информацию об устройстве жертвы и его IP-адресе. В некоторых случаях возможно усовершенствование вируса до такой степени, что автор атаки сможет незаметно от жертвы заходить в социальные сети, просматривать документы, отправлять электронные письма.

Подобные методы активно применяют западные спецслужбы для поимки членов децентрализованных сообществ. Например, в Германии законодательно разрешено загрузить подозреваемым компьютерный вирус для их идентификации и сбора улик, чем сотрудники киберподразделений полиции активно пользуются при поимке наркоторговцев, хакеров или политических активистов.

Чтобы заражённый файл попал к жертве, автор атаки применяет методы социальной инженерии и внедряется в сообщество. Атакующий никогда не предложит заражённый документ напрямую, а создаст ситуацию, в которой жертва сама попросит его прислать или найдёт в сети. В разбираемом случае это вполне мог быть рассказ про редкий учебник КГБ СССР по вербовке агентуры или другая специфическая литература, которую трудно найти самому.

В пользу этой версии говорят сразу несколько фактов:
1. Облавы производились по наводке киберподразделения СБУ. На фотографиях с задержаний из разных регионов можно заметить сотрудников в бронежилете подразделения, которое расследует дела, связанные с кибершпионажем, вредоносными программами и преступлениями, совершёнными с использованием интернета.
2. В каждом регионе, где прошли задержания, был арестован только один человек. Это исключает социальную причину задержания, например, когда арестовывают одного члена кружка и он даёт показания на своих товарищей, с которыми знаком лично.
3. Точечные задержания прошли сразу в пяти регионах. Проведение такой операции без предварительного сбора персональной информации на всех подозреваемых невозможно.
4. На фото 3 и 4 видно, что на персональном компьютере задержанного есть советский учебник в формате PDF, находящийся в папке Downloads. Это указывает на то, что он был скачан в сети, а не из Telegram или хранился на карте памяти. Более того, СБУ в отчёте о задержаниях зачем-то дважды приложила фотографию с этим учебником, где отчётливо видно название и содержание.

Почти с полной уверенностью можно сказать, что таким образом сотрудники СБУ оставили закладку, которая может привести к новым облавам на левых активистов, скачавших этот документ. Воздержитесь от его поиска. Проблема усугубляется тем, что даже простейшие вирусы этого типа не могут быть определены антивирусными программами. Мы протестировали подобный файл, и ни один из 62 антивирусов не обнаружил макрос, раскрывающий IP-адрес жертвы (фото 5).

Единственный способ защититься от подобной атаки заключается в том, чтобы не открывать никакие документы, полученные даже от самых доверенных товарищей, на своём ПК. Продвинутые пользователи могут создать виртуальную машину, которая не связана с основным устройством общими папками. Подробнее об этом можно прочитать здесь. Более простым и надёжным способом становится использование онлайн-сервисов для просмотра документов требуемого формата. Файлы .docx можно посмотреть тут, а .pdf тут. Если файл заражён, то он передаст атакующему IP-адрес сервиса для просмотра, а не ваш личный. Все прочие файлы следует предварительно проверять через сервис VirusTotal.

Товарищам на Украине, а также в других регионах, где за политическую позицию могут быть последствия, необходимо соблюдать эти правила неукоснительно.