Ранее эксперты этой группы уже проводили анализ закладки для удаленного доступа X-Agent, которую группировка Fancy Bear использовала на платформе Android. Авторы нового доклада обнаружили вариацию этой закладки под названием "Попр-Д30.apk" в приложении для платформы Android.
Приложение было разработано офицером украинской артиллерии Ярославом Шерстюком и распространялось на украинских военных форумах. Оно использовалось для ускорения процесса наведения артиллерийских систем при стрельбе, а именно - советских гаубиц Д-30, которые использовала армия Украины. Приложение позволяло сократить этот процесс с нескольких минут до менее 15 секунд.
Если верить заявлениям Шерстюка в прессе, его приложением в украинской армии пользовались около девяти тысяч военных-артиллеристов. При этом, по данным из открытых источников, на которые ссылается CrowdStrike, Украина за два года конфликта на Донбассе потеряла около 50% своих вооружений, в том числе - более 80% гаубиц Д-30 (самый большой урон среди всех видов артиллерийского оружия).
Вместе с закладкой хакеров указанное приложение позволяет получить доступ к данным сотовой связи и геолокации. Таким образом, в распоряжении группировки Fancy Bear могли оказаться сведения о точных позициях украинской артиллерии.
Хакерская группировка Fancy Bear (также известна как Sofacy, Sednit, APT28, Pawn storm и Strontium) действует с 2004 года. Хакеры известны атаками на сайты различных зарубежных государственных структур, а также российских оппозиционных партий и журналистов. Жертвами их атак стали немецкий парламент, французская телевизионная сеть TV5Monde, члены ПАРНАСа, ЛДПР, "чеченские организации", "российские политические диссиденты", журналисты по всей Восточной Европе, иностранные ученые, руководство Украины, посольство Пакистана в Киеве, министерства обороны нескольких стран (Аргентины, Северной Кореи, Турции, Украины) и посольства не менее 16 государств (Алжира, Бразилии, Колумбии, Джибути, Индии, Ирака, КНДР, Киргизии, Ливана, Мьянмы, ЮАР, Туркмении, ОАЭ, Узбекистана и Замбии). Всего 1888 целей.
В октябре этого года стало известно, что группировка пыталась взломать аккаунты хакеров из группы "Анонимный интернационал" (или "Шалтай-Болтай"), известных своей антикремлевской позицией. Об этом говорилось в докладе компании ESET, производящей антивирусы NOD32.
В сентябре хакеры Fancy Bear опубликовали результаты взлома баз данных Всемирного антидопингового агентства (WADA), из которых следует, что агентство разрешало применять запрещенные вещества в рамках терапевтических исключений (TUE) ряду известных спортсменов. Гендиректор WADA Оливье Ниггли выразил уверенность, что кибератаки идут из России, и призвал российские власти сделать все возможное для прекращения деятельности хакеров.
В июне этого года стало известно, что эксперты CrowdStrike пришли к выводу, что Fancy Bear стоит за скандальным взломом серверов национального комитета Демократической партии США в апреле 2016 года.
В марте 2016 года газета Der Tagesspiegel со ссылкой на письмо немецкой разведки утверждала, что хакерская группа Sofacy (одно из названий Fancy Bear) готовит атаку на энергосистему Германии. Письмо было направлено различным экономическим объединениям, в нем эксперты предупреждали, что в худшем случае из строя могут быть выведены целые электростанции и сети.
При этом ранее спецслужбы ФРГ предполагали, что за крупной атакой на сайт бундестага весной 2015 года также стояли российские хакеры. Немецкие СМИ связывали взлом с группировкой Sofacy. Однако в декабре 2016 года источники еженедельника Der Spiegel в немецких спецслужбах сообщили, что теперь приоритетной стала версия с "кротом" в парламенте ФРГ, который передал полученные данные WikiLeaks.