Geopolitički motivisani sajber napadi i brisanje podataka: Slučaj Stryker i nova era destruktivnog haktivizma

Sajber prostor postao je glavno bojište na kome se geopolitički sukobi više ne vode samo špijunažom ili iznudom novca, već direktnom sabotažom i trajnim uništavanjem digitalne infrastrukture. Tradicionalne ransomver operacije, čiji je primarni cilj bila finansijska dobit kroz ucenu, ustupaju mesto destruktivnim napadima brisanja podataka (engl. wiper attacks).

Incident u martu 2026. godine, koji je pogodio globalnog proizvođača medicinske opreme Stryker, predstavlja jednu od najdramatičnijih prekretnica u ovoj evoluciji. Napad je pokazao kako državno sponzorisani akteri, pod maskom ideološkog haktivizma, mogu iskoristiti kompromitovane administrative naloge i legitimne alate za upravljanje uređajima kako bi u realnom vremenu obrisali hiljade računara širom sveta.

1. Napad na Stryker: Hronologija i razmera sabotaže

Dana 11. marta 2026. godine, zaposleni u kancelarijama kompanije Stryker u 79 zemalja suočili su se sa masovnim otkazivanjem računarskih sistema. Umesto standardnih operativnih sistema ili tipičnih ransomver poruka sa zahtevom za otkupninu u kriptovalutama, ekrani velikog broja radnih stanica i mobilnih uređaja iznenada su ostali prazni ili su prikazivali političke poruke.

Razmera i operativni zastoj

Globalni prekid rada: Proizvodne linije, komunikacioni kanali i interni logistički sistemi kompanije automatski su izolovani ili onesposobljeni.

Poremećaj u zdravstvenom sektoru: Privremeno je izbačen iz funkcije i sistem LIFENET, ključna platforma koju hitne službe koriste za prenos eksternih elektrokardiograma (EKG) i kritičnih podataka o pacijentima ka bolnicama pre njihovog dolaska u prijemne centre.

Ekstrakcija podataka (Data Exfiltration): Pored destruktivnog brisanja sistema, napadači su tvrdili da su pre samog procesa uništavanja ekstragirali oko 50 terabajta (TB) osetljivih korporativnih baza podataka, intelektualne svojine i internih dokumenata.

2. Vektor napada i tehnička rekonstrukcija

Za razliku od klasičnih sajber napada koji zahtevaju razvoj složenih, custom malver alata ili iskorišćavanje nepoznatih nula-dej (zero-day) ranjivosti u kodu, napad na Stryker izveden je izuzetno efikasno — zloupotrebom samih sistema za upravljanje mrežom (Living-off-the-Land).

[Krađa akreditiva / AiTM Fišing]

            │

            ▼

[Preuzimanje identiteta Globalnog Administratora (Entra ID)]

            │

            ▼

[Pristup Cloud MDM konzoli (npr. Microsoft Intune)]

            │

            ▼

[Slanje komande za masovno udaljeno brisanje (Remote Wipe)]

            │

            ▼

[Destrukcija hiljada krajnjih uređaja (Endpoints) u realnom vremenu]

Ključne faze napadačke lance:

Krađa akreditiva putem AiTM fišinga: Smatra se da su napadači iskoristili Adversary-in-the-Middle (AiTM) fišing kampanje ili podatke prikupljene infostiler malverima. AiTM napadi zaobilaze klasičnu višenivelarsku autentifikaciju (MFA) tako što presreću validne sesijske tokene nakon što se legitimni administrator uspešno prijavi na sistem.

Eskalacija privilegija i pristup MDM platformi: Sa važećim sesijskim tokenom administratora, napadači su pristupili centralnoj konzoli za upravljanje identitetima i uređajima (Microsoft Entra ID / Intune).

Zloupotreba funkcije udaljenog brisanja (Remote Wipe): Umesto pisanja i distribucije novog vajper malvera na svaki pojedinačni računari, napadači su jednostavno iskoristili izvornu funkcionalnost samog MDM sistema — poslali su masovnu komandu za fabričko resetovanje (Remote Wipe / Reset) na sve povezane Windows i mobilne uređaje u korporativnoj mreži.

3. Geopolitička pozadina i profil napadača

Zasluge za napad javno je preuzela grupa pod nazivom Handala, koja se u javnosti predstavlja kao pro-palestinski haktivistički kolektiv. Međutim, detaljne forenzičke analize vodećih bezbednosnih kuća (uključujući Palo Alto Networks Unit 42 i Microsoft) povezuju ovu grupu sa akterom Void Manticore (poznatim i kao STORM-0842 ili Banished Kitten), koji deluje pod okriljem iranskog Ministarstva obaveštajnih poslova i bezbednosti (MOIS).

Karakteristike ove taktike:

Plausible Deniability (Mogućnost poricanja): Koristeći pro-haktivističku fasadu i Telegram kanale, državne obaveštajne službe ostvaruju geopolitičke ciljeve bez direktnog preuzimanja zvanične odgovornosti države.

Ideološko ciljanje partnera i lanaca snabdevanja: Manifest grupe naveo je da je Stryker targetiran zbog ranijih akvizicija i poslovnih veza sa izraelskim tehnološkim kompanijama. Ovo šalje jasnu poruku da u savremenim geopolitičkim tenzijama svaka komercijalna organizacija sa globalnim lancem poslovanja može postati meta.

Hibridni rat (Tehničko uništavanje + Informacione operacije): Kombinacija brisanja podataka i naknadnog curenja ukradenih baza na dark webu osmišljena je tako da nanese maksimalnu reputacionu, finansijsku i operativnu štetu.

4. Šire posledice po kritičnu infrastrukturu i zdravstveni sektor

Incident u kompaniji Stryker osvetlio je kritičnu ranjivost zdravstvenog sektora i globalne infrastrukture:

Napad na medicinske gigante više nije samo pitanje poslovnog gubitka, već direktno ugrožava sigurnost pacijenata. Kada alati za dijagnostiku, komunikaciju ili distribuciju medicinske opreme ispadnu iz stroja, posledice se direktno prelivaju na bolničke i urgentne centre.

5. Preporuke za bezbednosne timove i IT administratore

Napad na Stryker donosi ključne lekcije za sve organizacije koje upravljaju složenim IT okruženjima:

Implementacija FIDO2/WebAuthn standarda:

Klasični MFA (SMS, push notifikacije, OTP kodovi) ostaje ranjiv na AiTM fišing napade. Otpornost na fišing postiže se enforces-ovanjem hardverskih sigurnosnih ključeva (npr. YubiKey) zasnovanih na FIDO2 standardu.

Ograničavanje masovnih akcija u MDM/RMM alatima:

Funkcije koje omogućavaju masovno brisanje (bulk wipe) ili distribuciju skripti širom enterprise mreže moraju zahtevati višestruko odobrenje (Multi-Party Approval / Dual-Control) i odvojene privileged komande.

Stroga segmentacija i kontrola privilegovanih naloga (PAM):

Nalozi sa Global Administrator prava ne smeju se koristiti za svakodnevne aktivnosti niti imati neograničen pristup svim cloud konzolama bez geografskih i IP restrikcija.

Validacija rezervnih kopija (Air-Gapped & Immutable Backups):

Rezervne kopije moraju biti potpuno izolovane od cloud identity provider-a (IdP) kako kompromitovanje centralnog administratora ne bi omogućilo brisanje i samih sigurnosnih kopija.