Thread by @EreaAndrzej

1. Jest 30 grudnia 2021 roku.

Siergiej Ławrow przypina Péterowi Szijárto Order Przyjaźni, najwyższe odznaczenie jakie państwo rosyjskie może nadać cudzoziemcowi.

Już wtedy Węgrzy wiedzieli od Amerykanów, że Rosja szykuje się do inwazji na Ukrainę.

2. „Jestem dumny, że, pomimo wyjątkowo niekorzystnego rozwoju sytuacji globalnej i regionalnej w ostatnich latach, udało nam się utrzymać współpracę z Moskwą opartą na wzajemnym zaufaniu i zgodną z naszymi interesami narodowymi” - napisał Szijárto na Facebooku.

3. Przyjmując rosyjskie państwowe odznaczenie Péter Szijárto już wiedział, że rosyjskie służby włamały się do systemu informatycznego węgierskiego MSZ, uzyskując dostęp nawet do najbardziej tajnych i poufnych informacji państwowych i dyplomatycznych.

4. Wiedzę na ten temat potwierdza wewnętrzny dokument węgierskiego Departamentu Stanu.

Rosyjskie włamanie nie było jednorazowym incydentem - jeszcze w styczniu 2022 Departament Stanu nadal był obiektem ataków ukierunkowanych.

5. Wg byłych oficerów wywiadu za operacjami wymierzonymi w węgierskie MSZ stoją hakerzy z FSB i GRU od ponad dekady atakujący sieci rządowe. Ataki te najczęściej powiązane są z włamaniami do sieci informatycznych innych krajów NATO.

Rząd Węgier nie zaprotestował publicznie.

6. W oparciu o dokumenty służb zagranicznych i ponad 30 przeprowadzonych wywiadów @direkt36 zrekonstruował trwającą już ponad dekadę operację 🇷🇺 wywiadu wymierzoną w 🇭🇺 służbę zagraniczną oraz wytknął nieadekwatność wdrożonych środków kontrwywiadowczych.

7. Pracownicy węgierskiego MSZ nie zostali poinformowani, że ich komputery są zainfekowane.

8. Zamiast tego od jesieni 2021 na wewnętrznych listach mailingowych MSZ pojawiły się nietypowe okólniki - podczas gdy wcześniej pracownicy otrzymywali je tylko sporadycznie, od roku 2021 wysyłane zostawały regularnie co kilka tygodni. Dotyczyły cyberbezpieczeństwa.

9. 11 listopada 2021 powiadomiono o utworzeniu centralnego adresu e-mail, na który urzędnicy ministerstw spraw zagranicznych mogliby „zgłaszać przypadki związane z cyberbezpieczeństwem (np. phishing, atak DDOS, atak wirusowy typu ransomware, wyciek haseł, wyciek danych)".

10. Przed świętami Bożego Narodzenia wydano zalecenie, aby pracownicy misji zagranicznych ograniczyli korzystanie z telefonów komórkowych.

7 stycznia 2022 r. urzędnik ds. cyberbezpieczeństwa upomniał pracowników za nieprzestrzeganie tej instrukcji.

11. Jedno ze źródeł zaznajomionych z wewnętrznymi sprawami ministerstwa sądziło wówczas, że Chińczycy mogli włamać się do systemu MSZ.

Wskazuje na to jeden z okólników ministerstwa.

12. "W użyciu są wymierne ilości urządzeń, co do których udowodniono, że w sposób ukryty przekazują dane osobowe do Chin. Należą do nich między innymi Huawei (ZTE), Honor, Xiaomi, Wiko i OnePlus" - czytamy w przedmiotowym okólniku.

13. Treść okólnika stoi w jawnej sprzeczności ze słowami Pétera Szijjártó, który wielokrotnie stawał w obronie #Huawei i twierdził, że urządzenia chińskiej firmy nie stanowią żadnego zagrożenia.

14. Okólniki Departamentu Stanu informują także o innych zagrożeniach: wewnętrzne dochodzenie ujawniło na przykład, że wiele osób woli korzystać z amerykańskiego klienta poczty #BlueMail.

15. Wg specjalisty d/s cyberobrony #BlueMail jawnie przechowuje wprowadzone hasła, ma wiele błędów programistycznych, które można łatwo wykorzystać w ataku, a ponadto - stale wysyła dane z urządzeń mobilnych do trzech różnych serwerów.

16. 14 stycznia wydano ostrzeżenie o innym zagrożeniu: wiadomość phishingowa "została w tym tygodniu udostępniona w kilku zagranicznych ambasadach" - zgodnie z jej treścią hasło do ministerialnego konta pocztowego odbiorcy, wkrótce wygaśnie i należy je zmienić.

17. „Wprowadzone hasła zostaną automatycznie przypisane do adresu e-mail osoby atakującej, a ten natychmiast przekazany nieupoważnionym użytkownikom, którzy w łatwy sposób uzyskają dostęp do pełnej zawartości skrzynki pocztowej" - napisano w okólniku ostrzegawczym.

18. Wszystkie te okólniki tworzono posiadając pełną wiedzę, że kto stał za wciąż aktywną infekcją sieci informatycznej MSZ.

Adresy IP, charakterystyka ruchu sieciowego, cele i sposób ataku niczym odciski palców wskazywały na zaangażowanie znajomych rosyjskich służb.

19. Infekcja przedostała się do węgierskiego MSZ częściowo poprzez ataki phishingowe i wiadomości e-mail zawierające wirusy, a następnie rozprzestrzeniła w całym intranecie - zaatakowane zostały komputery w biurze MSZ oraz w 150+ placówkach 90+ misji zagranicznych.

20. Wg byłych urzędników, sieć zainfekowana była od lat, ale infekcja została wykryta tak późno, że z perspektywy czasu nie można stwierdzić, w jakim konkretnie czasie i z użyciem ilu różnych sposobów Rosjanie włamali się do systemów MSZ.

21. Wg źródeł @direkt36 Péter #Szijjártó został poinformowany o odkryciu przez organy odpowiedzialne za bezpieczeństwo sieci co najmniej przed 6 miesiącami.

Za sprawą nadzoru nad służbami specjalnymi dowiedział się też o sprawie wicepremier Sándor #Pintér, szef MSW.

22. Na początku grudnia Péter #Szijárto oświadczył, że odpowiadająca za bezpieczeństwo MSZ biuro informacyjne IH opracowała nową koncepcję wzmocnienia ochrony, a "prace nad nią rozpoczęły się w tym roku zgodnie z planem".

23. Dodał, że w IH "podjęliśmy więcej środków w celu wzmocnienia bezpieczeństwa wewnętrznego".

Nie wspomniał jednak nic o cyberatakach.

Podczas tego samego posiedzenia parlamentarnej komisji bezpieczeństwa narodowego swoim zaniepokojeniem podzielił się też Sándor Pintér.

24. Węgierska cyberobrona jest wprawdzie całkowicie w gestii NSZO,lecz "niezależnie od tego każdy organ regionalny musi realizować swoje zadania - nie wystarczy mieć centralną wizję, gdyż nasi poszczególni pracownicy nie zwracają wystarczającej uwagi na korzystanie z komputera”.

25. Proces wyłączania rosyjskich służb specjalnych z sieci węgierskiego MSZ przebiega niezwykle powoli i do dziś nie został zakończony. Według byłych urzędników wywiadu wynika to z fragmentarycznego i powolnego procesu decyzyjnego oraz braku specjalistycznej wiedzy.

26. Rosyjscy hakerzy mogli zobaczyć wszystko, co znajdowało się na komputerze wysokiego rangą urzędnika węgierskiego, tak jakby fizycznie siedzieli w jego fotelu przed monitorem na Węgrzech.

27. Jesienią 2012 r. na rządowym komputerze, bez wiedzy użytkownika, zainstalowano zmodyfikowaną wersję aplikacji zdalnego dostępu o nazwie TeamViewer, dzięki czemu hakerzy mogli zobaczyć praktycznie wszystko - dokumenty, hasła, ustawienia systemowe, połączenia sieciowe.

28. Kilka miesięcy później, w lutym 2013 r., ofiarą ataku, nazwanego później TeamSpy, padła również ambasada jednego z państw członkowskich NATO i UE w Moskwie, a także instytucje badawcze i edukacyjne we Francji i Belgii.

darkreading.com/attacks-breach…

29. Rosyjski atak #TeamSpy nie został wówczas wykryty przez zachodni kontrwywiad, lecz przez ekspertów z centrum obrony cybernetycznej węgierskiej Agencji Bezpieczeństwa Narodowego (NBF) (NBF CDMA).

30. Ciekawostka: jeden z Węgrów stanął później na czele grupy zadaniowej NATO ds. obrony cybernetycznej.

yumpu.com/en/document/re…

31. Można powiedzieć, że wówczas, w 2013, Węgrzy posiadali bardzo sprawną i zaawansowaną cyberobronę, zdolną nie tylko do odpierania ataków, ale również do agresywnej kontrofensywy. We współpracy z NATO jednocześnie wyłączyli wszystkie zainfekowane maszyny, co odcięło hakerów.

32. Warto przytoczyć w tym miejscu za #direkt36 słowa, które na temat Rosji wypowiedział były szef urzędu bezpieczeństwa narodowego Węgier (AH):

„Dla Rosji wojna cybernetyczna jest częścią stałej wojny informacyjnej.”

I dalej:

33. „Te działania wojenne opierają się na fakcie, że świat zachodni chce podważyć pozycję Rosji jako mocarstwa, a ostatecznie jest zaangażowany w kompleksowe i ciągłe wysiłki mające na celu podporządkowanie sobie tego kraju".

To niejedyny węgierski głos, ale znaczący.

34. Ponieważ Rosjanie postrzegają NATO po prostu jako narzędzie militarne Stanów Zjednoczonych, ich cyberszpiegostwo "ma na celu głównie wykrywanie informacji i konfliktów interesów, które mogłyby zakłócić jedność sojuszu NATO, a także stałe monitorowanie zdolności i zamiarów".

35. Metoda cyberszpiegostwa, stosowana również przez Rosjan, zwana Advanced Persistent Threat (APT), nie jest ukierunkowana na natychmiastowe, widoczne szkody, jak w przypadku ataku hakerskiego, ale na trwałą obecność w docelowym systemie informatycznym.

cisa.gov/uscert/ncas/al…

36. Mimo węgierskiej polityki otwarcia na Wschód, Rosjanie nie dowierzali. W latach 2012-14 włamali się do sieci węgierskich MSZ, MSW i MON.

Ataki polegały np na błędnej pisowni domen, takich jak mail.hm.qov.hu, gdzie zamiast .GOV wpisywano .QOV.

37. Do tej pory nie ujawniono nic na temat rosyjskich ataków na sieci węgierskie podczas drugich rządów Orbána.

A okazuje się, że Rosjanie wchodzili i wychodzili jak chcieli, z uprawnieniami administratora domeny.

Zainfekowane zostały wszystkie końcówki całej sieci MSZ.

38. Ponieważ integralność systemów MSZ została przywrócona około roku 2013, ponowne zinwigilowanie sieci przez Rosjan musiało wydarzyć się po raz kolejny po tej dacie.

39. Jeszcze kilka lat temu na porządku dziennym było omawianie spraw służbowych na szczeblu sekretarza stanu za pośrednictwem komunikatora Facebook Messenger, który w ostatnich latach był wielokrotnie hakowany.

40. Hasła do komputerów z MSZ miały format: „secretXX” gdzie „X” było liczbą. Gdy system monitował o zmianę hasła, w miejsce liczby „X” wpisywano „X+1”.

Na wszelki wypadek jednak, „gdybyśmy zapomnieli", wiele sekretariatów i współdzielonych maszyn wolało zachować oryg hasło.

41. Ciekawostka: Gdy w #Direkt36 szukano wcześniej danych kontaktowych ambasadora Węgier, za pomocą prostego wyszukiwania w Google znaleziono nie tylko prywatny adres dyplomaty, ale także hasło zaczynające się od węgierskiego odpowiednika słowa "pussy...".

42. Ważne jest, aby zrozumieć, że to nie Węgry lecz NATO jest głównym celem tych ataków, jednak poziom bezpieczeństwa węgierskiej infrastruktury publicznej i prywatnej jest po prostu tak niski, że najłatwiej jest się właśnie do niej dostać.

43. Przykład? Rok 2010. Niektóre z zainfekowanych samolotów rządowych były podłączone do sieci zombie, z której kontynuowały ataki na inne państwa członkowskie NATO, którymi Moskwa była bardziej zainteresowana.

44. Tak samo jak Antoni Macierewicz zniszczył polską armię, wywiad i kontrwywiad, tak samo centrum obrony cybernetycznej NBF po 2015 roku praktycznie przestało istnieć.

🇭🇺 cyberobrona została rozmontowana w sposób, który całkowicie wyeliminował węgierskie zdolności obronne.

45. Wypowiadający powyższe słowa Ferenc Frész, niegdyś szef centrum obrony cybernetycznej NBF, jeszcze w 2015 roku wspominał, że „wszystko to zostało zrobione pod rosyjską presją ekonomiczną”.

Dzisiaj, poproszony o rozwinięcie myśli, odmówił komentarza.

46. Spektakularny prorosyjski zwrot w węgierskiej polityce nastąpił w 2014 roku, po tym jak Orbán i Putin ogłosili porozumienie w sprawie rozbudowy #Paks, a resort spraw zagranicznych objął Péter #Szijjártó, który ma rozległe rosyjskie powiązania.

https://twitter.com/EreaAndrzej/status/1285349690419150849

47. W listopadzie 2014 roku zmieniono szefa Państwowej Inspekcji Bezpieczeństwa, instytucja ta została podporządkowana Ministerstwu Spraw Wewnętrznych, a kilka miesięcy później zwolniono pracowników centrum obrony cybernetycznej, powołując się na reorganizację.

Brzmi znajomo?

48. Wg ekspertów ds cyberbezpieczeństwa reforma systemu obrony cyfrowej była jednym z filarów, na których zbudowano porozumienie #Paks, a specjaliści d/s cyberobrony niedyplomatycznymi uwagami, jakie znaleźli krytyczne luki w zabezpieczeniach sieci rządowych, tylko irytowali.

49. Za czasów trzeciego rządu Orbána zadania związane z cyberobroną zostały przejęte przez organy podlegające MSW, a zwłaszcza NSS (Narodową Służbę Bezpieczeństwa)

Konsekwencją jest to, że agencje rywalizują, wskazują na siebie nawzajem i czekają na siebie, działają w izolacji.

50. W kampanii wyborczej 2016 roku węgierska sieć rządowa została wykorzystana przez Rosjan do maskowania adresów IP podczas ataku na serwery amerykańskich Demokratów - tak twierdził w 2017 Balázs Bencsik, dyrektor Narodowego Instytutu Cyberobrony (NKI).

51. Widzimy więc, że Rosjanie atakują hakersko Węgrów nie tylko po to, by upewnić się o ich lojalności lub wręcz sobie ją zagwarantować, ale również i w tym celu, by, wytypowawszy najsłabsze ogniwo, mieć wgląd w bieżące, tajne sprawy NATO.

Opowiedzmy więc jeszcze o VKH.

52. VKH to zamknięta Chroniona Sieć Zagraniczna, której punktami końcowymi są szyfrujące komputery rozmieszczone w misjach zagranicznych w całkowicie zamkniętych, pozbawionych okien pomieszczeniach. Strzegą dostępu do najbardziej wrażliwych, najtajniejszych danych.

53. Nie tylko węgierskich. Zgodnie z zasadami bezpieczeństwa ministerstwa, otrzymywane są również poufne dokumenty NATO i UE, a wg byłego ambasadora w rządzie Orbána kanałem VKH otrzymywane są również węgierskie raporty z transkrypcji różnych spotkań NATO i UE.

54. Również i do tej sieci pełny dostęp uzyskali Rosjanie. Wg byłego oficera wywiadu posiadającego pośrednią wiedzę na temat incydentu, integralność VKH została tymczasowo przywrócona około lutego 2022 roku, ale przestarzałe obecnie maszyny VKH nie zostały jeszcze wymienione.

55. W kontekście powyższych informacji jakby mniej dziwi, że Budapeszt i Moskwa celowo przeprowadzają zakazy i kontranakazy tak, by nie zaszkodzić przyjaznym stosunkom. Np Rosjanin został wydalony z Budapesztu, gdy kończył misję dyplomatyczną i przygotowywał się do powrotu do 🇷🇺.