Касперский: три группировки атакуют российские компании — бэкдоры, шифровальщики и вайперы

«Лаборатория Касперского» опубликовала серию отчётов о трёх группировках, избравших своей мишенью российские предприятия. Их подходы заметно различаются — от тихого закрепления ради шпионажа до откровенно разрушительных операций.

NightEagle: тихое закрепление в Active Directory

Группа NightEagle (она же APT-Q-95) активна как минимум с 2023 года. По данным исследователей, злоумышленники входили в корпоративные VPN по украденным легитимным учётным данным — подключения шли через туннели Cloudflare WARP из российского сегмента и с европейских виртуальных площадок. На серверы Microsoft Exchange разворачивался модульный бэкдор GhostContainer, собранный из публичных проектов с GitHub (туннель Neo-reGeorg, эксплойт CVE-2020-0688 и класс GhostWebShell из ysoserial) и маскирующийся под штатный серверный компонент.

Для перемещения по сети применялись туннелирование через RDP (Microsoft dev tunnels, rdp2tcp) и эксплуатация уязвимостей Active Directory, включая BlueKeep (CVE-2019-0708) и атаку DCSync. Конечная цель — захват контроллеров домена и всей инфраструктуры каталога.

Hacking Cat: от дефейсов к шифрованию

Проукраинская хактивистская группа Hacking Cat известна с февраля 2024 года взломами и порчей сайтов, но в последнее время перешла к шифрованию и уничтожению данных. Через уязвимости Exchange она доставляет написанный на Go троян Gorilla RAT, а также семейство шифровальщиков Monkey — версии на Rust, .NET, C++ и Go бьют по Windows, Linux и VMware ESXi.

Отдельные варианты Monkey нигде не сохраняют ключ шифрования, фактически превращаясь в вайперы, хотя и оставляют записку с требованием выкупа. Любопытная деталь: Go-версия для Linux и ESXi пытается удалять теневые копии тома Windows — функция, бессмысленная в этих средах. Аналитики предполагают, что разработчики были невнимательны и, вероятно, применяли ИИ при создании инструментария.

В ответ Hacking Cat заявила в своём Telegram-канале, что часть инструментов действительно её, но «локеры — точно не наши», и посоветовала Касперскому «лучше учиться реверсить группировки».

Toy Ghouls: связь через MQTT и мессенджер Element

Финансово мотивированная группа Toy Ghouls (Bearlyfy, Feral Wolf), активная с 2025 года, прошла путь от утёкших билдеров Babuk и LockBit к собственному шифровальщику GenieLocker, а теперь и к самописному бэкдору Bird Agent. Его доставляют через WinRM с помощью Evil-WinRM и WinRM-fs.

Оригинальны каналы управления: один вариант общается с оператором через брокер HiveMQ MQTT, другой — через Element на базе протокола Matrix. Конфигурация бэкдора шифруется ключом, привязанным к MachineGuid конкретной машины, так что на другой системе она не расшифруется. Отход от публичных open-source-проектов к нестандартным каналам, отмечают в компании, говорит о стремлении группы усложнить атаки и дольше оставаться незамеченной.

Источник: The Hacker News