Один бренд мало, пять — хорошо
Один бренд мало, пять — хорошо UNC6671, она же BlackFile, в мае 2026 года громко объявила о своем «закрытии». Сторонний наблюдатель мог бы решить, что группе надоело вымогать деньги или что их всех арестовали. Ничего подобного. Как выяснил Google Threat Intelligence Group, BlackFile просто переименовалась, причем сразу в четыре бренда: Redact, Pink, Helix и Falcon. Техники, процедуры и даже фишинговые шаблоны остались прежними, а вот табличек над дверьми стало больше. Очевидно, для удобства бухгалтерии. Механика не меняется годами, и это, пожалуй, самое печальное. Звонок сотруднику на личный мобильный от лица IT-поддержки, срочная миграция на «безопасные passkeys», ссылка на поддельный портал, перехват логина, пароля и MFA-токена через AiTM-инфраструктуру. Дальше автоматические скрипты, выкачивающие данные из Microsoft 365 и Okta. Все это работает до сих пор, потому что люди по-прежнему верят голосу в трубке, если он звучит достаточно уверенно. Но самое палевное — это инфраструктура. Оказалось, что все четыре новых бренда используют одни и те же поддельные домены для сбора учетных данных. Например, passkeyhelpdesk[.]com одновременно обслуживал жертв, которых потом шантажировали и Falcon, и Helix. Красact, Pink. Более того, переход от BlackFile к Redact авторы объяснили тем, что «некий беглый аффилиат скомпрометировал бренд». В историю «мы не распадались, мы просто ребрендимся, а тот парень просто самозванец» звучала бы убедительно, если не смотреть на WHOIS. Эволюция целей тоже показательна. Весной 2026 года группа атаковала производство, недвижимость, здравоохранение и страховые компании. К июню переключилась на технологии, транспорт и гостиничный бизнес, где хранят исходники и данные VIP-клиентов. А к июлю сузила фокус до финансового сектора: частные инвестиционные фонды, юридические фирмы, рейтинговые агентства. Темп регистрации доменов ускорился с одного каждые 2,2 дня до одного каждые 1,6 дня. В общем, группа не просто жива, она активно масштабируется. @antiinfosec