To nie "Dworczyk-gate", a rosyjska operacja "Ghostwriter". Michał Rachoń: Zachodnie raporty dowodzą, że to robota Kremla

W poniedziałek część mediów informowała o opublikowanych w sieci zrzutach ekranu mających pokazywać rzekomą korespondencję mailową szefa Kancelarii Premiera Michała Dworczyka ze stycznia 2019 r., w której miał on relacjonować premierowi Mateuszowi Morawieckiemu rozmowę z prezes Trybunału Konstytucyjnego Julią Przyłębską.

"Nigdy z nikim nie omawiałam żadnych wyroków Trybunału, żadnych orzeczeń Trybunału Konstytucyjnego"

- oświadczyła we wtorek wieczorem Przyłębska.

Podczas środowej konferencji prasowej w Tarczynie premier Mateusz Morawiecki zapytany o tę kwestię odparł:

"Różne redakcje wpadają w siła Władimira Putina. Służby białoruskie i rosyjskie stoją za tymi prowokacjami, za włamaniami na liczne skrzynki polityków, także skrzynki polityków opozycji".

Michał Rachoń w swoim programie #Jedziemy przeanalizował w swoim programie proceder cyberataków na polskich polityków. Wskazał, że NATO w 2014 r. zdecydowało, iż cyberobrona będzie "nieodłączną częścią obrony zbiorowej", a cyberataki "mogą prowadzić do powołania na Artykuł 5 traktatu". Dwa lata później cyberprzestrzeń uznano za "obszar działań zbrojnych".

- Właśnie w cyberprzestrzeni odbywa się operacja, którą nasi konkurenci nazywają "mailami Dworczyka" albo "Dworczyk gate", a która wśród profesjonalistów od lat jest znana na świecie jako operacja "Ghostwriter". To operacja prowadzona przez siły cyberbezpieczeństwa państw wrogich NATO, przede wszystkim Białorusi i Federacji Rosyjskiej. Grupa - funkcjonariuszy służb specjalnych lub osób od nich zależnych - o kryptonimie "Ghostwriter" oznacza działania, które prowadzone były przeciwko państwom NATO od roku 2016

- tłumaczył Michał Rachoń.

Terminu "Ghostwriter" w odniesieniu do tej operacji zaczęła używać firma Mandiant, specjalizująca się w zagadnieniach cyberbezpieczeństwa. Sprawcy kradli dane, które pozwalały na umieszczanie fałszywych, dezinformacyjnych treści na zaatakowanych stronach internetowych.

- W ten sposób zaatakowany został m.in. szef unijnej dyplomacji, Josep Borrell, a także - na kilka dni przed inwazją Rosji - infrastruktura informatyczna Ukrainy. Ślady operacji "Ghostwriter" w polskiej przestrzeni były widoczne dużo wcześniej

- stwierdził Rachoń.

Szeroki plan kreślony na Kremlu

Jak wynika z raportu firmy Mandiant, to "część szerszej operacji wpływu, prowadzonej co najmniej od marca 2017 i zbieżnej z celami Federacji Rosyjskiej".

- napisano w raporcie.

Mandiant zaliczył do tej operacji m.in. ataki dokonane w maju 2020 r. na media Strefy Wolnego Słowa. Amerykanie wymieniali wprost (jako ofiary Rosjan) portal Niezalezna.pl i wiceszefową „GP” Katarzynę Gójską.

W ramach tej operacji na stronach Akademii Sztuki Wojennej zamieszczono rzekomy list polskiego generała Ryszarda Parafianowicza, w których wojska amerykańskie w Polsce nazwane zostały "okupacyjnego". List był całkowitą fałszywką. W ramach operacji dezinformacyjnej publikowano również fałszywe listy m.in. Jensa Stoltenberga o "wycofaniu wojsk NATO z Litwy".

Inna odsłona tej operacji to przejmowanie kont dziennikarzy w mediach społecznościowych.

Obiektem cyberataku stał się m.in. profil Tomasza Sakiewicza na Twitterze. Redaktor naczelny "GP" stracił dostęp do konta (zmieniono hasło), na którym wstawiono odnośnik do artykułu zamieszczonego na portalu znadniemna.pl, prowadzonego przez uhonorowany ostatnio Nagrodą Prometejską Związek Polaków na Białorusi. Ów artykuł był także cyberprowokacją. Można się było z niego dowiedzieć, że "Polska i Litwa wzywają NATO do wysłania wojsk na Białoruś".

Mandiant jako działania w ramach operacji "Ghostwriter" wymienia też m.in. głośne cyberataki na konta w mediach społecznościowych polityków Zjednoczonej Prawicy, np. włamania na profile Marka Suskiego, minister Marleny Maląg, poseł Iwony Michałek. 

Według Amerykanów w operacji "Ghostwriter" z dużym prawdopodobieństwem brała udział powiązana z Rosją grupa hakerów UNC1151. Michał Rachoń wskazał, że celem działań miał być także białoruski bloger, porwany przez służby Łukaszenki, Raman Pratasiewicz. 

- Porwanie samolotu i przetrzymywanie tego człowieka stało się przyczyną nałożenia na Białoruś sankcji. Efektem sankcji na Białoruś stało się dla tego państwa pretekstem do hybrydowego ataku na litewskie, łotewski i polskie granice w ramach sztucznej fali migracyjnej. To pokazuje, że wszystkie te działania są elementem tego samego, szerokiego planu

- mówił Rachoń.

Mandiant odnotowuje atak phishingowy dokonany na Pratasiewicza, współtworzącego białoruski opozycyjny kanał Niechta.

- wskazano w raporcie VSquare.

O działaniach hakerów wobec przedstawicieli innych państw pisał w "Gazecie Polskiej" Grzegorz Wierzchołowski.

Pod koniec lutego 2021 r. - właśnie w ramach operacji "Ghostwriter" - w internecie i mediach społecznościowych Litwy przeprowadzona została szeroko zakrojona kampania dezinformacyjna uderzająca w NATO i Polskę. Jak głosiły rozpowszechniane w litewskiej sieci przekazy - polskie Ministerstwo Obrony Narodowej wykorzystywało rzekomo kobiety w wojsku do świadczenia usług seksualnych dla ważnych polskich i zagranicznych urzędników. Wymieniona z nazwiska funkcjonariuszka miała jakoby świadczyć takie usługi dla prezydenta Polski Andrzeja Dudy, litewskiego ministra spraw zagranicznych Gabrieliusa Landsbergisa oraz wysokich rangą przedstawicieli wojsk amerykańskich. MSZ Litwy nazwał tę akcję "atakiem informacyjnym na stosunki polsko-litewskie"

- czytamy w "GP".

Także w Niemczech kontrwywiad ostrzegał przed wykorzystywaniem przez rosyjskie służby wywiadowcze strategii "hack and leak", polegającej na włamywaniu się na komputer lub konto pocztowe/społecznościowe ofiary, wykradaniu informacji, a następnie dokonywaniu "wycieku" "w ukierunkowany i zmanipulowany sposób".

"W specjalnym raporcie sytuacyjnym [niemieckiego kontrwywiadu], jak i w raporcie MSW, wspomina się o machinacjach rosyjskich sił cybernetycznych, które amerykańska firma bezpieczeństwa FireEye określa jako «Ghostwriter». Od miesięcy hakerzy dokonują ataków phishingowych na prywatne konta posłów Bundestagu i parlamentów krajów związkowych"

- pisał "Tagesspiegel", wskazując, że ofiarami cyber ataków padło ok. 80 polityków niemieckich.

Przypadek Dworczyka

Rachoń wskazał, że raport VSquare dokładnie opisał atak na skrzynkę szefa polskiej Kancelarii Premiera, Michała Dworczyka.

- Raport powstał przy udziale polskich autorów, Anny Gielewskiej i Konrada Szczygła. Zidentyfikowali oni i odtworzyli wiadomość, jaka użyta została do zaatakowania skrzynki Dworczyka oraz ok. 4000 innych precyzyjnie wybranych osób w Polsce

- stwierdził dziennikarz. Spreparowana wiadomość przekierowywała do strony, za którą stały osoby związane z operacją "Ghostwriter".

"Po opublikowaniu naszych informacji skontaktowaliśmy się z Marcinem Siedlarzem, ekspertem firmy Mandiant w celu dalszej analizy ustalonych danych. Jego konkluzje? Ta wiadomość wysłana z numeru IP używanego w innych potwierdzonych atakach grupy UNC1151. Co to znaczy? Że możemy założyć z wysokim prawdopodobieństwem, że atak na skrzynkę Dworczyka przeprowadzony został przez białoruskich hakerów"

- napisano w raporcie. 

Rachoń dodał, że według raportu Recorded Future, działania białoruskich hakerów były kierowane przez Rosję i widoczne są w nich metody charakterystyczne dla działań służb rosyjskich. 

W zaktualizowanej wersji raportu Mandiant wskazano na modyfikację operacji "Ghostwriter".

- napisano w raporcie.

Rosyjski wywiad wojskowy GRU stoi za aferą mejlową, którą ekscytują się opozycja. Oznacza to, ze po raz kolejny strzela do swoich oponentów z amunicji, którą dostarczają rosyjscy generałowie w ramach działań dezinformacyjnych. Tym razem w ramach operacji #Ghostwriter #Jedziemy https://t.co/JHbq5UnnUf pic.twitter.com/EtIeGyg3I3

— michal.rachon (@michalrachon) July 7, 2022

Michał Rachoń przytoczył w tym kontekście m.in. wpis zamieszczony przez autorów operacji "Ghostwriter" na koncie twitterowym posłanki Joanny Borowiak, w którym miała rzekomo obrażać znaną z zaangażowania politycznego uczestniczkę Powstania Warszawskiego. 

- Wybierane są sprawy o ogromnych ładunku emocjonalnym i politycznym

- wskazał Rachoń.

Raport VSquare wskazuje, że do przeprowadzenia operacji "Ghostwriter" w Polsce wskazano 4000 celów, zebrano dane o nich, ich rodzinach, przeanalizowano ok. 700 kont, które przejęto i zhakowano. 

- Autorzy zwracają uwagę na być może najważniejszy aspekt całej sprawy. W raporcie cytowany jest John Scott Railton z CitizenLAB: "Skażone przecieki sadzą drzewa kłamstw w lesie prawdziwych informacji po to, aby uwiarygodnić je w zestawieniu z ukradzionymi dokumentami, które przez opinię publiczną zostaną uznane za prawdziwe. Ci, którzy stoją za tą operacją, mogą z łatwością przewidzieć, biorąc pod uwagę polaryzację sporu w Polsce, że skandal zacznie żyć własnym życiem. Na przykład stwierdzenie o treści >>większość dokumentów i maili jest prawdziwa<< da paliwo politykom opozycji, stwierdzenie odwrotne, że niektóre dokumenty zostały zmanipulowane, wesprze narrację rządzącej partii".

Zapytany o metody działania hakerów Janusz Cieszyński z Kancelarii Premiera odpowiedział:

- Przede wszystkim chodzi o osłabienie Polski, osłabienie polskiego rządu. Niedawno opublikowany wykres, który pokazuje wartość faktycznie dostarczonego uzbrojenia Ukrainie. Polska w wartościach bezwzględnych jest w tym rankingu tuż za Stanami Zjednoczonymi. Jesteśmy jednym ze światowych liderów wspierania poprzez dostarczanie uzbrojenia. Jaki jest efekt? Atak na rząd Polski. Podobne ataki widzimy na Litwę, gdzie po decyzji o zablokowaniu dostępu do obwodu kaliningradzkiego w istotny sposób nasiliły się cyberataki

- odpowiedział sekretarz stanu w KPRM.
 

#Jedziemy Rzekoma afera Dworczykgate elementem kampanii w cyberprzestrzeni „Ghostwriter”, dokonywanej przez reżimy Łukaszenki i Putina#wieszwięcej @michalrachon https://t.co/aOdzPYWtMl

— tvp.info 🇵🇱 (@tvp_info) July 7, 2022

 

Źródło: niezalezna.pl