Наші друзі з «Опори» попросили подивитися лист, надісланий ввечері 2 жовтня 2020 року на поштову скриньку донецького офісу партії «Європейська Солідарність». Хоча ми зазвичай не працюємо з політичними партіями, але цей випадок нас зацікавив.
До партії прийшло звернення начебто від Головного управління Служби безпеки України в Донецькій та Луганській областях з вимогою надати перелік усіх кандидатів від політичної партії в депутати у межах Донецької та Луганської областей, їхню коротку характеристику, детальні біографічні відомості та інформацію про їх видатки на проведення кампанії.
Аналіз оригіналу листа, який надала нам «Опора», показав, що лист очікувано – підробка.
Who is Гарік?
Поле From:/Від: й справді містить поштову адресу osbu_don@ssu[.]gov[.]ua, імітуючи офіційне доменне ім’я Служби безпеки України. Насправді ж його було надіслано зі скриньки 1504191355@lenta[.]ru – безкоштовної скриньки на поштовій інфраструктурі rambler[.]ru.
Водночас IP-адреса відправника начебто розташована у Києві – 176[.]107[.]185[.]28, що може вказувати на орендований проксі-сервер з встановленим мейл-клієнтом PHPMailer 5.2.26. Звідки керувався цей сервер – це вже питання до хостинг-провайдера.
Сам PDF файл також помірно цікавий – метадані вказують, що його було створено за допомогою дуже старої версії Office Word 10, що може означати використання віртуальної машини або дуже сумний стан використаного програмного забезпечення.
Також автором PDF вказано такого собі «Гаріка», і параметр Language/Мова у згенерованому PDF також RU-ru.
У файлі вкладено кілька зображень, зокрема державного герба, рукописного підпису та дат. Метадані зображень свідчать, що оригінальні файли зображень на комп’ютері автора мали назви російською мовою.
Метадані зображень:
D:\load-gerb-ukrainy копия111111син.png
D:\XXXXXXXX\ПОДПИСИ.png
D:\XXXXXXXX\ДАТЫ21.png
D:\XXXXXXXX\3245.png
D:\XXXXXXXX\ДАТЫ211.png
Ми, звісно, не припускаємо, що на комп’ютерах української СБУ на шостому році війни України з Російською Федерацією може бути встановлений російськомовний софт, тому вважаємо це ще одним доказом російського походження даного листа.
З любов’ю, Цифролаба