« Ghostwriter » ressemble à une opération purement russe, sauf que ce n’est pas le cas

Pour au moins Depuis quatre ans, le groupe de piratage et de désinformation connu à Ghostwriter sévit dans les pays d’Europe de l’Est et des pays baltes. Compte tenu de ses méthodes et de ses messages anti-OTAN et anti-américains, l’hypothèse largement répandue est que Ghostwriter est une autre campagne dirigée par le Kremlin. L’Union européenne même déclaré fin septembre que certains Etats membres ont « associé » Ghostwriter « à l’Etat russe ». Il s’avère que ce n’est pas tout à fait exact. Selon la société de renseignement sur les menaces Mandiant, les pirates de Ghostwriter travaillent pour la Biélorussie.

Mandiant a d’abord examiné de près Ghostwriter en juillet 2020. Le groupe était alors principalement connu pour la création et la distribution de faux articles d’information et même pour le piratage de vrais sites d’information afin de publier du contenu trompeur. En avril 2021, Mandiant a attribué une activité plus large à Ghostwriter, y compris des opérations visant à compromettre les comptes de médias sociaux de responsables gouvernementaux pour diffuser de la désinformation et des efforts visant à cibler les politiciens avec des opérations de piratage et de fuite. Le groupe s’est longtemps concentré sur la sape du rôle de l’OTAN en Europe de l’Est, et s’est de plus en plus tourné vers attiser les divisions politiques ou l’instabilité en Pologne, en Ukraine, en Lituanie, en Lettonie et en Allemagne.

Lors de la conférence Cyberwarcon à Washington, DC, mardi, les analystes de Mandiant Ben Read et Gabby Roncone présentent des preuves des liens de Ghostwriter avec la Biélorussie.

« L’activité de vol d’identifiants ciblant l’Europe de l’Est et les opérations d’information anti-OTAN s’alignent toutes deux sur ce que nous avons vu la Russie faire dans le passé », a déclaré Read à WIRED avant la conférence. Malgré ces tactiques, techniques et procédures familières, Mandiant n’a pas fait d’attribution à Moscou à l’époque, car ils n’avaient pas vu de liens numériques spécifiques.

Après les élections controversées en Biélorussie en août 2020, le président de longue date Alexandre Loukachenko a conservé le pouvoir malgré les accusations selon lesquelles la chef de l’opposition Sviatlana Tsikhanouskaya avait en fait gagné. Les États-Unis ont dénoncé les élections et de nombreux voisins de la Biélorussie, dont la Pologne, ont clairement indiqué qu’ils soutenaient l’opposition biélorusse. Pendant ce temps, Mandiant a observé un changement notable dans les campagnes de Ghostwriter.

« Nous avons constaté une évolution vers une concentration beaucoup plus importante sur les problèmes spécifiques à la Biélorussie – ciblant les dissidents biélorusses, les Biélorusses dans les médias, des choses qui semblent vraiment être menées en faveur du gouvernement biélorusse », a déclaré Read. « Et puis nous sommes également tombés sur des détails techniques qui nous font penser que les opérateurs sont situés à Minsk et d’autres qui font allusion à l’armée biélorusse. Cela nous amène maintenant au point où nous sommes confiants de dire que Ghostwriter a un lien avec la Biélorussie . « 

Shane Huntley, qui dirige le groupe d’analyse des menaces de Google, affirme que la recherche Mandiant correspond aux propres conclusions du TAG. « Leur rapport est cohérent avec ce que nous avons observé », a-t-il déclaré à WIRED.

Alors que l’activité du groupe faisait de plus en plus allusion à un agenda spécifiquement biélorusse au cours de l’été, Mandiant s’est efforcé de démêler qui était vraiment derrière les campagnes. Depuis les élections de l’année dernière, 16 des 19 opérations de désinformation de Ghostwriter se sont concentrées sur des récits dénigrant les gouvernements lituanien et polonais, voisins de la Biélorussie. Deux se sont concentrés négativement sur l’OTAN et un a critiqué l’UE.

Une opération Ghostwriter en août centrée sur la Pologne et la Lituanie a poussé un faux récit accusant les migrants d’avoir commis des crimes. Les tensions qui couvent depuis longtemps entre la Pologne et la Biélorussie se sont considérablement intensifiées ces dernières semaines avec la frontière comme point d’éclair. D’autres opérations récentes ont allégué des accidents dans les centrales nucléaires lituaniennes, peut-être parce que la Lituanie s’est longtemps opposée à la proximité de la centrale nucléaire biélorusse d’Astravyets avec sa frontière. La télévision d’État en Biélorussie a repris les récits de désinformation de Ghostwriter et les a répétés, bien qu’il ne soit pas clair si cela était le résultat d’une coordination spécifique ou simplement d’une partie d’une boucle de rétroaction générale de la propagande pro-gouvernementale biélorusse. Read souligne également que Ghostwriter ne s’est pas concentré sur l’Estonie, le seul État balte qui ne borde pas la Biélorussie.