De Universiteit van Toronto heeft sterke aanwijzingen gevonden dat hackers die de afgelopen tijd in verband zijn gebracht met Russische lekken ook desinformatie verspreiden. Onderzoeksgroep Citizen Lab, die verbonden is aan de universiteit, onderzocht een campagne gericht tegen een journalist die kritisch publiceert over Rusland.

Het gaat om David Satter, die Citizen Lab omschrijft als een prominente journalist. Hij trapte in een phishingmail, daardoor konden hackers documenten van hem stelen. Dezelfde tactiek werd toegepast bij John Podesta, de campagnevoorzitter van presidentskandidaat Hillary Clinton.

CyberBerkut

Maar in plaats van deze zonder aanpassingen online te zetten, besloten de hackers in het geval van Satter teksten aan te passen. Dit is waarschijnlijk gedaan door een organisatie die CyberBerkut wordt genoemd.

In één geval stond in het originele bericht een aan Rusland gerelateerd verhaal van Satter dat was bedoeld voor Radio Liberty, een nieuwssite die werkt met geld van de Amerikaanse overheid.

De tekst was zodanig aangepast dat het leek alsof Satter Russische journalisten en anti-corruptieactivisten betaalde om kritische verhalen over de Russische overheid te schrijven.

In de nieuwe tekst stond daarnaast een verwijzing naar een artikel van een journaliste dat nog niet was gepubliceerd. Een signaal dat ook zij mogelijk is gehackt.

Volgens Citizen Lab heeft CyberBerkut banden met Fancy Bear. Die organisatie wordt door beveiligingsbedrijven en de Amerikaanse inlichtingendienst in verband gebracht met de Russische overheid.

Phishingcampagne

Het onderzoek naar Satter leidde Citizen Lab naar een grotere phishingscampagne, die volgens hen is gericht op 200 unieke ‘doelen’ verdeeld over 39 landen. Onder deze doelen zijn leden van 28 overheden, de voormalige premier van Rusland en kabinetsleden uit Europese en Aziatische landen.

Het verband tussen al deze doelen is een dienst die webadressen inkort, Tiny.cc. Via deze dienst krijgen de slachtoffers een link gestuurd waarop ze moeten klikken. Dat zet het phishingproces in gang en leidt er uiteindelijk toe dat – in het ergste geval – de hackers inloginformatie kunnen stelen. Volgens Citizen Lab zijn er aanwijzingen dat alle doelen zijn benaderd door dezelfde persoon of organisatie.

Smoking gun

Citizen Lab benadrukt in zijn rapport dat er geen smoking gun is. Er zijn diverse aanwijzingen die alle lijntjes met elkaar verbinden, maar de onderzoeksgroep heeft geen zekerheid. Er zijn dus geen harde conclusies te trekken over bijvoorbeeld de rol van de Russische overheid.

Desondanks ziet technologiemagazine Wired in het onderzoek één van de sterkste bewijzen tot nu toe dat Russische hackers niet alleen documenten lekken, maar ze ook bewerken.