Три группировки хакеров атакуют российские компании бэкдорами, шифровальщиками и вайперами
Три группировки хакеров атакуют российские компании бэкдорами, шифровальщиками и вайперами Аналитики Kaspersky нашли в одних и тех же корпоративных сетях активность сразу 3 группировок с разными целями. NightEagle месяцами сидит в почте и ползёт к Active Directory, Hacking Cat шифрует и стирает данные через Gorilla RAT и малварь-семейство Monkey, а Toy Ghouls запустила собственный бэкдор Bird Agent, который прячет команды под обычный чат-трафик. У каждой команды свой набор инструментов, свой почерк и своя конечная цель. Российские компании оказались под прицелом всех 3 банд одновременно, и это не совпадение, а логичный итог того, что легитимные учётные записи и штатные инструменты Windows работают эффективнее самодельных троянов. Злоумышленники заходят через уже украденные пароли, поднимают туннели через облачные сервисы и стараются не оставлять в логах ничего, что триггерило бы алерты SOC. В арсенале всех 3 команд регулярно всплывают одни и те же приёмы: ▫️скомпрометированные легитимные аккаунты вместо брутфорса VPN; ▫️туннели через Cloudflare WARP и другие облачные сервисы; ▫️штатные утилиты Windows вроде PowerShell и WinRM вместо кастомных лоадеров; ▫️отключение теневых копий и штатных механизмов восстановления перед основным ударом. NightEagle, также известная как APT-Q-95, охотится с 2023 года и раньше засветилась в основном в Азии. В недавних кейсах Kaspersky группа впервые массово зашла в российские сети через уже украденные VPN-аккаунты, подключаясь с IP-адресов через туннели WARP и инфраструктуру европейских VPS-провайдеров. После входа группа разворачивает GhostContainer, модульный бэкдор для Microsoft Exchange Server с удалённым выполнением кода, работой с файлами и подгрузкой новых модулей. Часть кода собрана из открытых проектов вроде Neo-reGeorg и эксплойта для CVE-2020-0688, а сам GhostContainer маскируется под рутинный процесс сервера. Отмечается, что GhostContainer способен работать не только как шпион в почте, но и как туннель для трафика, то есть захваченный Exchange-сервер превращается в перевалочный пункт для движения по сети. Дальше в ход идут туннели через Microsoft dev tunnels и rdp2tcp, эксплуатация BlueKeep для создания локальных учёток в группах RDP-админов и DCSync-атака, имитирующая контроллер домена ради хешей паролей. Итог, если всё идёт по плану, это долгоживущие Kerberos-билеты и полный контроль над Active Directory, а одна украденная VPN-учётка превращается в захват всей инфраструктуры. Hacking Cat, вторая команда в этом раскладе, которую Kaspersky связала с проукраинским хактивизмом, работает с февраля 2024 года, а атрибуцию усложняет то, что инструменты гуляют между ней, Cyber Anarchy Squad и Ukrainian Cyber Alliance. Для входа группа эксплуатирует уязвимости Exchange, среди которых CVE-2021-26855 и CVE-2026-42897, после чего разворачивает Gorilla RAT, троян удалённого доступа на Go, который регистрирует заражённую машину и ждёт команд. 🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь