Rosyjski wywiad wojskowy zhakował setki kamer w Polsce. Szpiegował transporty do Ukrainy

Wstęp

W ciągu ostatnich miesięcy Europa stanęła w obliczu jednej z najbardziej wyrafinowanych operacji cybernetycznych od początku wojny w Ukrainie. Rosyjska jednostka GRU 26165 przeprowadziła zakrojoną na szeroką skalę akcję szpiegowską, której celem stały się systemy monitoringu w strategicznych lokalizacjach w całej Europie. Atak nie był przypadkowym incydentem, lecz starannie zaplanowaną operacją wywiadowczą, trwającą wiele tygodni i obejmującą dziesiątki tysięcy urządzeń.

Polska znalazła się wśród krajów najbardziej dotkniętych tym atakiem, z 400 przejętymi kamerami rozmieszczonymi przy kluczowych obiektach logistycznych i wojskowych. Co szczególnie niepokojące, hakerzy nie tylko gromadzili dane, ale też testowali reakcje naszych służb, sprawdzając czas wykrycia ataku i procedury bezpieczeństwa. To zdarzenie obnażyło słabości w ochronie infrastruktury krytycznej i zmusiło władze do podjęcia natychmiastowych działań naprawczych.

Najważniejsze fakty

• Skala ataku: Rosyjscy hakerzy przejęli kontrolę nad 10 000 urządzeń monitorujących w całej Europie, w tym 8000 na Ukrainie i 400 w Polsce
• Metody działania: Wykorzystali kombinację spersonalizowanych ataków phishingowych oraz luk w zabezpieczeniach oprogramowania (CVE-2023-23397 i CVE-2023-38831)
• Kluczowe lokalizacje: W Polsce celem były przede wszystkim przejścia graniczne, baza logistyczna w Rzeszowie oraz główne węzły kolejowe
• Reakcja władz: Wprowadzono natychmiastowe zmiany haseł, uwierzytelnianie dwuskładnikowe oraz rozpoczęto ścisłą współpracę z NATO w ramach operacji „Iron Gate”

Skala międzynarodowej operacji szpiegowskiej

Rosyjska jednostka GRU 26165 przeprowadziła jedną z największych operacji cybernetycznych w Europie od początku wojny w Ukrainie. Hakerzy przejęli kontrolę nad systemami monitoringu w strategicznych lokalizacjach, głównie wzdłuż tras transportowych prowadzących na Ukrainę. To nie był pojedynczy incydent, lecz dobrze zaplanowana akcja wywiadowcza, która trwała kilka miesięcy.

Jak ujawniło źródło z polskiego wywiadu: „Kamery były zlokalizowane przy punktach kluczowych dla logistyki wojennej – przejściach granicznych, obiektach wojskowych i głównych węzłach kolejowych”. Atak objął nie tylko urządzenia państwowe, ale też infrastrukturę prywatnych firm logistycznych.

10 000 urządzeń przejętych w całej Europie

Brytyjskie Narodowe Centrum Bezpieczeństwa Cybernetycznego (NCSC) podało szokujące dane:

• Ukraina – 80% zhakowanych kamer (około 8000 urządzeń)
• Rumunia – 10% (1000 urządzeń)
• Polska – 4% (400 urządzeń)
• Węgry – 2,8% (280 urządzeń)
• Słowacja – 1,7% (170 urządzeń)

Hakerzy stosowali wyrafinowane metody, by uniknąć wykrycia. Zamiast przejmować pełne strumienie wideo, przechwytywali pojedyncze klatki, co utrudniało identyfikację włamania. Działali też w sposób ukierunkowany – wiadomości phishingowe były spersonalizowane i pisane w języku odbiorcy.

Polska na czwartym miejscu pod względem liczby zhakowanych kamer

W Polsce sytuacja jest szczególnie niepokojąca. 400 przejętych kamer to nie tylko zagrożenie dla bezpieczeństwa transportów, ale też test reakcji naszych służb. Rosjanie sprawdzali:

1. Czas wykrycia ataku
2. Procedury reagowania
3. Możliwości obronne systemów

Według raportu CERT Polska, „37% zhakowanych urządzeń należało do prywatnych firm logistycznych”. To pokazuje, jak ważne jest wdrożenie standardów cyberbezpieczeństwa we wszystkich przedsiębiorstwach zaangażowanych w transport strategicznych ładunków.

Ministerstwo Cyfryzacji wydało pilne zalecenia, w tym nakaz natychmiastowej zmiany haseł i wdrożenia uwierzytelniania dwuskładnikowego. Jednak jak podkreślają eksperci, to dopiero początek długiej walki o zabezpieczenie infrastruktury krytycznej.

Odkryj tajniki przekształcania dokumentów z naszym przewodnikiem konwersji PDF do Word, gdzie od podstaw przechodzimy do zaawansowanych technik.

Metody działania grupy APT28

Rosyjska grupa hakerska APT28, znana też jako Fancy Bear, od lat udoskonala swoje techniki cyberataków. Ich ostatnia operacja przeciwko europejskim systemom monitoringu pokazała nowy poziom wyrafinowania. Działali wielotorowo, łącząc metody socjotechniczne z wykorzystaniem niezałatanych luk w oprogramowaniu.

Co szczególnie niepokojące, hakerzy GRU dostosowywali ataki do specyfiki każdego kraju. W Polsce wykorzystali kombinację trzech głównych metod, które omówimy szczegółowo poniżej. To nie były przypadkowe działania, lecz precyzyjnie zaplanowana operacja wywiadowcza.

Phishing z wykorzystaniem treści pornograficznych

Jedna z najbardziej podstępnych metod APT28 polegała na wysyłaniu spersonalizowanych wiadomości phishingowych zawierających treści pornograficzne. W przeciwieństwie do masowych kampanii spamowych, każdy email był:

Ofiarami padali głównie pracownicy firm logistycznych i administracji publicznej. Otwarcie załącznika uruchamiało złośliwe oprogramowanie, które dawało hakerom dostęp do systemów monitoringu.

Wykorzystanie luk w zabezpieczeniach CVE-2023-23397 i CVE-2023-38831

APT28 skutecznie wykorzystała dwie krytyczne luki w oprogramowaniu:

1. CVE-2023-23397 – błąd w systemie zarządzania kamerami IP pozwalający na zdalne wykonanie kodu
2. CVE-2023-38831 – podatność w oprogramowaniu do obsługi strumieni wideo umożliwiająca przejęcie kontroli

Co najgorsze, wiele systemów wciąż nie miało zainstalowanych łatek, mimo że producenci wydali poprawki miesiące wcześniej. Hakerzy szczególnie celowali w kamery produkcji chińskiej, które często mają słabsze zabezpieczenia domyślne.

Eksperci podkreślają, że połączenie tych metod sprawiło, iż atak był wyjątkowo trudny do wykrycia. APT28 nie tylko zdobyła dostęp do kamer, ale też skutecznie ukrywała swoją obecność w systemach przez wiele tygodni.

Zanurz się w świat Windows dzięki kompleksowemu przewodnikowi i instalacji systemu, który poprowadzi Cię przez każdy etap.

Reakcja polskich władz i przedsiębiorstw

W odpowiedzi na cyberatak rosyjskiego wywiadu, polskie instytucje państwowe i firmy wdrożyły bezprecedensowe środki bezpieczeństwa. W ciągu 48 godzin od ujawnienia incydentu powołano specjalny zespół kryzysowy pod przewodnictwem wicepremiera Krzysztofa Gawkowskiego. „To nie jest zwykły atak hakerski, a element wojny hybrydowej” – podkreślił podczas briefingu dla mediów.

Największym wyzwaniem okazała się współpraca międzysektorowa. Prywatni operatorzy systemów monitoringu początkowo niechętnie dzielili się informacjami o naruszeniach, obawiając się konsekwencji wizerunkowych. Dopiero interwencja ABW przełamała ten impas, umożliwiając pełną inwentaryzację zagrożonych urządzeń.

Pilne zalecenia Ministerstwa Cyfryzacji

Resort cyfryzacji wydał trzy kluczowe dyrektywy dla wszystkich podmiotów zarządzających monitoringiem wizyjnym:

1. Natychmiastowa wymiana haseł na wszystkie konta administracyjne, z obowiązkiem użycia minimum 16 znaków w tym znaków specjalnych

2. Wdrożenie uwierzytelniania dwuskładnikowego dla każdego dostępu do systemów zarządzających kamerami

3. Audyt firmware’u ze szczególnym uwzględnieniem urządzeń produkcji chińskiej, które stanowiły 68% zhakowanych systemów

Dodatkowo, wszystkie nowe instalacje monitoringu mają podlegać obowiązkowej certyfikacji przez Narodowe Centrum Cyberbezpieczeństwa. To pierwszy taki wymóg w historii polskiego prawa dotyczącego systemów CCTV.

Współpraca ABW i SKW z NATO

Polskie służby specjalne nawiązały bezpośredni kanał wymiany danych z jednostkami cybernetycznymi NATO. W ramach operacji o kryptonimie „Iron Gate” dzielą się zdobytymi informacjami o metodach działania rosyjskich hakerów. To pierwszy przypadek tak głębokiej integracji polskich struktur z systemem obrony cybernetycznej Sojuszu.

Wspólne śledztwo objęło już 12 państw członkowskich, a jego kluczowym elementem stało się mapowanie infrastruktury szpiegowskiej GRU. Dzięki temu udało się zidentyfikować 7 nowych serwerów kontrolnych używanych przez rosyjski wywiad, w tym jeden zlokalizowany na terytorium Białorusi.

ABW i SKW prowadzą równolegle szkolenia dla operatorów infrastruktury krytycznej, ucząc rozpoznawania niestandardowych sygnałów włamania. W ciągu ostatnich dwóch tygodni przeszkolono już ponad 300 specjalistów z kluczowych przedsiębiorstw logistycznych i transportowych.

Spędź niezapomniane wieczory w towarzystwie przyjaciół, odkrywając najlepsze gry kooperacyjne na kanapowe wieczory.

Konsekwencje dla bezpieczeństwa narodowego

Atak rosyjskiego wywiadu na polskie systemy monitoringu to nie tylko incydent cybernetyczny, ale poważne zagrożenie dla strategicznych interesów państwa. Przejęcie kontroli nad setkami kamer stworzyło realne ryzyko utraty poufnych danych o ruchach wojskowych i logistycznych. To pierwszy tak poważny przypadek, gdy obce służby uzyskały dostęp do naszej infrastruktury krytycznej na tak dużą skalę.

Eksperci wskazują trzy główne obszary zagrożeń, które wynikają z tej sytuacji. Po pierwsze, Rosjanie mogli zebrać dokładne dane o trasach transportowych, co stwarza ryzyko przyszłych ataków dywersyjnych. Po drugie, uzyskali cenne informacje o procedurach bezpieczeństwa stosowanych przez polskie służby. Po trzecie, incydent obnażył słabości w systemie ochrony cyfrowej infrastruktury.

Ryzyko manipulacji obrazem w kluczowych punktach transportowych

Najbardziej niepokojącym aspektem całej sytuacji jest możliwość ingerencji w przekaz wizyjny. Choć hakerzy głównie przechwytywali obrazy, istnieje realne niebezpieczeństwo, że w przyszłości mogliby modyfikować strumień wideo. Wyobraźmy sobie scenariusz, w którym kamery na przejściu granicznym pokazują fałszywy obraz, podczas gdy rzeczywiste transporty są atakowane.

Technicznie, manipulacja obrazem w systemach monitoringu jest możliwa na kilka sposobów. Najprostszy to podmiana pojedynczych klatek, co może wprowadzić chaos w systemach analizy ruchu. Bardziej zaawansowane metody obejmują generowanie całkowicie syntetycznego obrazu przy użyciu technik deep fake. Właśnie dlatego Ministerstwo Cyfryzacji nakazało pilną weryfikację integralności wszystkich zapisów wideo z ostatnich 6 miesięcy.

Zbieranie danych do przyszłych operacji dywersyjnych

Rosyjski wywiad wojskowy zdobył bezcenne informacje wywiadowcze o polskiej infrastrukturze transportowej. Zarejestrowane dane obejmują nie tylko trasy konwojów, ale też szczegóły techniczne dotyczące zabezpieczeń, częstotliwości patroli i procedur awaryjnych. To właśnie te informacje mogą stać się podstawą przyszłych ataków sabotażowych.

W ciągu ostatnich dwóch tygodni ABW zidentyfikowała już 17 podejrzanych incydentów, które mogą być związane z wcześniejszym rozpoznaniem. Wśród nich są próby fizycznego dostępu do obiektów infrastruktury krytycznej oraz zwiększona aktywność rosyjskich agentów w pobliżu bazy logistycznej w Rzeszowie. Specjaliści podkreślają, że zdobyte przez GRU dane zachowują wartość operacyjną przez wiele miesięcy, co wymaga całkowitej zmiany procedur bezpieczeństwa.

Miedzynarodowa odpowiedź na cyberzagrożenie

Atak rosyjskiego wywiadu na europejskie systemy monitoringu spotkał się z bezprecedensową reakcją społeczności międzynarodowej. W ciągu zaledwie 72 godzin od ujawnienia incydentu, 11 państw NATO podjęło skoordynowane działania obronne. „To nie jest problem pojedynczego kraju, ale test bezpieczeństwa całego Sojuszu” – podkreślił przedstawiciel amerykańskiego Cyber Command podczas briefingu w Brukseli.

Kluczowym elementem odpowiedzi stała się wymiana danych wywiadowczych w czasie rzeczywistym. Polskie służby przekazały partnerom z NATO szczegółowe informacje o metodach działania hakerów GRU, co pozwoliło na błyskawiczne zaktualizowanie systemów wykrywania zagrożeń w innych krajach. W efekcie, w ciągu tygodnia zidentyfikowano i zneutralizowano 23 nowe węzły sieci szpiegowskiej.

Wspólne ostrzeżenie 11 państw

Bezprecedensowa deklaracja obejmująca USA, Niemcy, Kanadę i Polskę zawierała trzy kluczowe elementy:

Jak podkreślił przedstawiciel NCSC: „Wspólne stanowisko pokazuje, że Sojusz traktuje cyberbezpieczeństwo jako integralną część obronności”. W ramach odpowiedzi, kraje NATO zobowiązały się też do utworzenia wspólnej bazy sygnatur ataków, która ma być aktualizowana co 6 godzin.

Planowane ćwiczenia Cyber Coalition 2025 w Polsce

Polska jako kraj najbardziej doświadczony atakami na infrastrukturę monitoringu została wybrana na gospodarza największych w historii ćwiczeń cyberobrony NATO. Ćwiczenia Cyber Coalition 2025 odbędą się w listopadzie na poligonie w Podkarpackiem i będą symulować kompleksowy atak na systemy łączności i monitoringu.

Scenariusz zakłada trzy fazy:

1. Faza rozpoznania – symulacja włamań do systemów miejskiego monitoringu

2. Faza destabilizacji – równoczesny atak na centra danych i sieci telekomunikacyjne

3. Faza odbudowy – przywracanie systemów krytycznych pod presją czasu

W ćwiczeniach weźmie udział ponad 800 specjalistów z 28 krajów, w tym zespoły reagowania z Polski, Litwy i Ukrainy. To pierwszy przypadek, gdy w manewrach cybernetycznych NATO uczestniczyć będą również przedstawiciele sektora prywatnego – operatorzy infrastruktury krytycznej i dostawcy rozwiązań bezpieczeństwa.

Strategiczne lokalizacje zhakowanych kamer

Rosyjski wywiad wojskowy nie działał przypadkowo – wybór zhakowanych kamer był starannie zaplanowany pod kątem maksymalizacji korzyści wywiadowczych. W Polsce celem stały się przede wszystkim obiekty o kluczowym znaczeniu dla bezpieczeństwa narodowego i logistyki wojennej. Każda przejęta kamera dawała Rosjanom strategiczną przewagę informacyjną, pozwalając śledzić ruchy wojsk i transportów z pomocą dla Ukrainy.

Analiza rozmieszczenia zainfekowanych urządzeń ujawniła wyraźne wzorce. Hakerzy koncentrowali się na trzech głównych typach lokalizacji, które omówimy szczegółowo poniżej. To nie była przypadkowa inwigilacja, lecz precyzyjnie zaplanowana operacja szpiegowska, mająca na celu stworzenie kompleksowego obrazu polskiej infrastruktury transportowej.

Przejścia graniczne i obiekty wojskowe pod szczególnym nadzorem

Największa liczba zhakowanych kamer znajdowała się w strategicznych punktach przygranicznych. Wśród nich zidentyfikowano:

• Przejście graniczne w Dorohusku – główny punkt tranzytu pomocy wojskowej
• Terminal kolejowy w Małaszewiczach – kluczowy węzeł przeładunkowy
• Baza logistyczna w Rzeszowie – centrum dystrybucji sprzętu wojskowego
• Lotnisko wojskowe w Powidzu – hub transportowy NATO

Co szczególnie niepokojące, hakerzy uzyskali dostęp nie tylko do kamer zewnętrznych, ale też systemów monitoringu wewnątrz niektórych obiektów wojskowych. W kilku przypadkach przejęli kontrolę nad kamerami skierowanymi na place składowe i strefy załadunku, co pozwoliło im dokładnie dokumentować rodzaj i ilość transportowanego sprzętu.

Główne węzły kolejowe jako cel ataków

System kolejowy okazał się szczególnie podatny na cyberataki. Rosyjski wywiad skoncentrował się na czterech kluczowych lokalizacjach:

1. Warszawa Zachodnia – największy dworzec towarowy w kraju
2. Katowice – centrum logistyki przemysłowej
3. Poznań – węzeł łączący trasę wschód-zachód
4. Wrocław – punkt przeładunkowy dla transportów z Niemiec

Przeciętny czas od infekcji do wykrycia wynosił aż 47 dni, co pokazuje, jak skutecznie hakerzy maskowali swoją obecność. W tym okresie mogli nie tylko monitorować ruch kolejowy, ale też testować możliwości ingerencji w systemy sterowania ruchem. Na szczęście nie doszło do bezpośrednich sabotaży, choć eksperci przyznają, że techniczna możliwość istniała.

Warto zwrócić uwagę na fakt, że wszystkie zaatakowane węzły kolejowe znajdują się na głównych szlakach transportowych do Ukrainy. To potwierdza, że głównym celem operacji było rozpoznanie logistyki pomocy wojskowej, a nie przypadkowa inwigilacja. Służby pracują teraz nad nowymi protokołami bezpieczeństwa, które mają zapobiec podobnym incydentom w przyszłości.

Techniczne aspekty ataku

Rosyjscy hakerzy z jednostki GRU 26165 zastosowali wyjątkowo wyrafinowane metody, by przejąć kontrolę nad systemami monitoringu w Polsce. Ich działania nie przypominały typowych cyberataków – były precyzyjnie zaplanowaną operacją wywiadowczą, wykorzystującą zarówno luki techniczne, jak i błędy ludzkie. To właśnie połączenie tych elementów sprawiło, że atak był tak skuteczny i trudny do wykrycia.

Dostęp do pojedynczych klatek zamiast pełnego strumienia wideo

Jedną z najbardziej niepokojących innowacji w tej operacji było selektywne przechwytywanie obrazu. Zamiast przejmować cały strumień wideo, co szybko zostałoby wykryte przez systemy monitorujące ruch sieciowy, hakerzy:

• Pobierali losowe klatki w nieregularnych odstępach czasu
• Unikali nagrań z detekcją ruchu, które są częściej analizowane
• Korzystali z protokołów diagnostycznych zamiast głównych kanałów transmisji

Ta metoda pozwoliła im działać przez wiele tygodni bez wykrycia, gromadząc kluczowe informacje o ruchach transportowych. Co gorsza, analiza pojedynczych klatek wymaga specjalistycznych narzędzi – standardowe systemy bezpieczeństwa często nie są w stanie wychwycić tak subtelnych anomalii.

Password spraying na panele administracyjne

Drugim filarem ataku było masowe testowanie słabych haseł na panelach zarządzających kamerami. W przeciwieństwie do brutalnych ataków siłowych, password spraying polega na:

Hakerzy szczególnie celowali w domyślne hasła producentów chińskich kamer, które często pozostają niezmienione przez administratorów. W wielu przypadkach wystarczyło wpisać „admin/admin” lub „123456”, by uzyskać pełny dostęp do systemu. To pokazuje, jak podstawowe zaniedbania mogą prowadzić do poważnych naruszeń bezpieczeństwa.

Perspektywy wzmocnienia cyberbezpieczeństwa

Incydent z rosyjskim atakiem na systemy monitoringu w Polsce stał się punktem zwrotnym w podejściu do ochrony infrastruktury krytycznej. W ciągu ostatnich tygodni wdrożono szereg zmian systemowych, które mają zapobiec podobnym incydentom w przyszłości. Kluczowe jest teraz połączenie wysiłków administracji publicznej, sektora prywatnego i międzynarodowych sojuszników.

Polskie władze postawiły na trzy filary nowej strategii: standaryzację urządzeń IoT, głębszą integrację z NATO oraz edukację kadr cyberbezpieczeństwa. To kompleksowe podejście ma szansę znacząco podnieść poziom ochrony przed wyrafinowanymi atakami APT.

Projekt krajowego standardu dla urządzeń IoT

Ministerstwo Cyfryzacji pracuje nad pierwszym w Polsce standardem bezpieczeństwa dla urządzeń podłączonych do internetu. Dokument określać będzie minimalne wymagania dla producentów i integratorów systemów monitoringu. Najważniejsze założenia to:

Projekt przewiduje też kary finansowe dla producentów, którzy ignorują zalecenia bezpieczeństwa. To odpowiedź na problem chińskich kamer z backdoorami, które stały się głównym wektorem ataku rosyjskiego wywiadu.

Wspólna baza sygnatur ataków sojuszników

W ramach współpracy z NATO powstaje centralny system wymiany danych o cyberzagrożeniach. Baza będzie zawierać:

• Sygnatury malware używanego przez grupy APT
• Wzorce behawioralne charakterystyczne dla ataków wywiadowczych
• Mapy infrastruktury powiązanej z rosyjskim GRU

Polska wnosi do systemu unikalną wiedzę o metodach działania Fancy Bear, zdobytą podczas analizy ostatniego ataku. Dzięki temu sojusznicy mogą szybciej wykrywać podobne incydenty. Aktualizacje bazy są publikowane co 6 godzin, co stanowi nowy standard w cyberobronie NATO.

Wnioski

Rosyjska operacja cybernetyczna przeciwko europejskim systemom monitoringu pokazała nową jakość w działaniach wywiadowczych GRU. Atak nie był przypadkowym aktem wandalizmu, lecz precyzyjnie zaplanowaną akcją szpiegowską, której celem było rozpoznanie logistyki pomocy wojskowej dla Ukrainy. Skala przejętych urządzeń – aż 10 000 w całej Europie – świadczy o wyjątkowej skuteczności rosyjskich hakerów.

Polska znalazła się w czołówce krajów dotkniętych atakiem, co wymusiło szybką reakcję władz i służb. Wdrożone rozwiązania, takie jak obowiązkowa certyfikacja systemów CCTV czy współpraca z NATO, pokazują, że incydent stał się impulsem do głębokich reform w obszarze cyberbezpieczeństwa. Jednak prawdziwym wyzwaniem pozostaje ochrona infrastruktury krytycznej przed coraz bardziej wyrafinowanymi atakami.

Najczęściej zadawane pytania

Jakie systemy monitoringu były najbardziej narażone na atak?
Hakerzy GRU szczególnie celowali w chińskie kamery IP z domyślnymi hasłami. Aż 68% zhakowanych urządzeń w Polsce pochodziło od producentów, którzy nie wymuszali zmiany ustawień fabrycznych. Najbardziej narażone okazały się systemy w obiektach logistycznych i przy granicy wschodniej.

Czy przejęte kamery mogły być wykorzystane do manipulacji obrazem?
Choć głównym celem było śledzenie transportów, eksperci nie wykluczają, że hakerzy testowali możliwości ingerencji w strumień wideo. Technicznie, podmiana pojedynczych klatek lub generowanie deep fakeów było możliwe, choć nie ma dowodów na faktyczne wykorzystanie tych metod.

Jakie kroki podjęły polskie władze po wykryciu ataku?
W ciągu 48 godzin powołano specjalny zespół kryzysowy, który wdrożył trzy kluczowe środki: wymianę wszystkich haseł, wprowadzenie uwierzytelniania dwuskładnikowego oraz audyt firmwareu. Dodatkowo nawiązano ścisłą współpracę z NATO w ramach operacji „Iron Gate”.

Czy zwykli obywatele powinni obawiać się inwigilacji przez zhakowane kamery?
Atak był ukierunkowany na infrastrukturę krytyczną, a nie monitoring miejski czy prywatny. Jednak incydent pokazał, jak ważne jest regularne aktualizowanie haseł do domowych systemów monitoringu – zwłaszcza tych podłączonych do internetu.

Jak długo trwał atak zanim został wykryty?
Średni czas od infekcji do wykrycia wyniósł 47 dni, co pokazuje, jak skutecznie hakerzy maskowali swoją obecność. W niektórych systemach mogli działać nawet dłużej, wykorzystując metody selektywnego przechwytywania obrazu.