Предприятия в Русия се превърнаха в мишена на три клъстера от активност на заплахи, проследявани като NightEagle, Hacking Cat и Toy Ghouls, според множество доклади от Kaspersky.

Компанията за киберсигурност съобщи, че е идентифицирала атаки, извършени от NightEagle (известен още като APT-Q-95) — автор на заплахи, за когото е известно, че е активен поне от 2023 г., които включват нови техники за постигане на устойчивост (persistence) и странично придвижване (lateral movement).

„В повечето инциденти атакуващите са използвали компрометирани валидни идентификационни данни, за да получат достъп до корпоративните VPN мрежи“, заяви Kaspersky в анализ, публикуван днес. „VPN връзките са произхождали от IP адреси в руския сегмент, свързани с Cloudflare WARP тунели, както и от IP адреси, свързани с европейски доставчици на виртуална инфраструктура.“

Атаките, както е отбелязано през юли 2025 г., включват внедряването на GhostContainer — известен модулен заден вход (backdoor), който дава на операторите пълен достъп до Microsoft Exchange Server на жертвата, както и възможност за изпълнение на произволен код, извършване на файлови операции и зареждане на допълнителни модули.

За да избегне засичането, зловредният код се маскира като обикновен сървърен компонент, за да се слее с редовните операции. Той също така може да функционира за пренасочване на трафик или като тунел. Предишни атаки, включващи този зловреден код, са били насочени срещу правителствена агенция и високотехнологична компания, разположени в Азия.

„Той включва компоненти от няколко проекта с отворен код, включително тунела Neo-reGeorg, експлойт за уязвимостта CVE-2020-0688 и класа GhostWebShell от помощната програма ysoserial“, обясни Kaspersky. „Всички тези компоненти са публично достъпни в GitHub.“

Точният метод, използван от атакуващите за доставяне на GhostContainer до Microsoft Exchange сървърите, е неизвестен, въпреки че се смята, че е включвал извличане на криптографски ключове, използвани от сървъра от конфигурацията на ASP.NET, последвано от презаписване на параметъра на рамката VIEWSTATE и инжектиране на зловреден код в него, което кара задния вход да се стартира в паметта.

За да се придвижва странично в рамките на вътрешната мрежа, NightEagle е бил забелязан да изтегля тунелиращи инструменти за пренасочване на мрежовия трафик през RDP, използвайки Microsoft dev tunnels и програма с отворен код, наречена rdp2tcp.

„За да получат ескалация на привилегиите и да се придвижват странично през мрежата, NightEagle е експлоатирал различни уязвимости в Active Directory“, добави Kaspersky. „Атакуващите са използвали предварително създадени тунели, за да се свържат със системите от вътрешната инфраструктура.“

Това включва експлоатацията на CVE-2019-0708 (известна още като BlueKeep) за създаване на локален акаунт в системата и добавянето му към групите Administrators и Remote Desktop Users. Освен това атакуващите са се опитали да се представили за контролер на домейн чрез DCSync атака.

Крайната цел е да се установи устойчивост в инфраструктурата на жертвата, да се получат паролни хешове за акаунти в домейна, да се използват дълготрайни Kerberos билети за получаване на легитимен достъп до целевите ресурси и в крайна сметка да се пробие в контролерите на домейна и цялата Active Directory инфраструктура на жертвата.

Проукраинската група Hacking Cat внедрява Gorilla RAT и Monkey Ransomware

Втората група, насочила се към руски предприятия, е Hacking Cat — проукраински хактивистки субект с история на извършване на дефейсвания на уебсайтове и пробиви на данни от февруари 2024 г. През последните месеци обаче се твърди, че групата е променила тактиката си и се е насочила към криптиране и разрушителни атаки.

„Hacking Cat активно си сътрудничи с други хактивисти като Cyber Anarchy Squad и Ukrainian Cyber Alliance, което може да затрудни атрибуцията на инструментите към конкретни атакуващи“, заяви Kaspersky.

Атаките, извършени от групата, са използвали като оръжие уязвимости в Exchange сървъри (напр. CVE-2021-26855 и CVE-2026-42897) за доставяне на троянски кон за отдалечен достъп (RAT), базиран на Go, наречен Gorilla RAT, който може да тунелира трафик, за да позволи на оператора достъп до вътрешната мрежа на жертвата.

След стартиране зловредният код установява връзка с отдалечен сървър, регистрира жертвата и очаква по-нататъшни инструкции, които му позволяват да изпълнява произволни команди, да изброява процеси, да събира системна информация, да качва/изтегля файлове и да отваря или затваря TCP тунел.

Също така доставени от киберпрестъпника са множество варианти на фамилия софтуер за откуп (ransomware), наречена Monkey, които са написани на Rust, .NET, C++ и Golang за да се насочат към системи с Windows, Linux и VMware ESXi. Най-ранният артефакт на Monkey ransomware датира от края на лятото на 2025 г. Зловредният код също така предприема стъпки за прекратяване на ненужни процеси и възпрепятстване на възстановяването на системата, преди да започне процеса на криптиране.

„Вариант на Monkey Ransomware, базиран на Rust, генерира 32-байтов ключ и криптира файловете на жертвата с помощта на ChaCha20-Poly1305“, съобщава Kaspersky. „Някои варианти не съхраняват ключа никъде, което ефективно ги превръща в пълноценен чистач (wiper) зловреден код, но въпреки това оставят бележка за откуп. Други варианти, от друга страна, съхраняват ключа, но не включват никаква информация за контакт в бележката.“

Някои от забележителните функции, разпределени в останалите три варианта, са изброени по-долу –

  • Вариантът за .NET генерира 32-байтов ключ, изпраща го към командния сървър (C2) и криптира файловете на жертвата с помощта на AES-256-CBC. Той е оборудван да ескалира привилегии и да премахва механизмите за възстановяване на Windows, да извлича идентификационни данни за Microsoft Outlook и да ги изпраща към C2 сървъра, да изтрива файлове с разширения .bak, .backup, .bkf, .bck и да се самоунищожава след изпълнение.
  • Вариантът за C++ предлага подобна функционалност, но може да установи устойчивост чрез планирана задача (scheduled task) или RunOnce ключ в регистъра, да изчиства системни дневници, да деактивира логването, да изтрива PowerShell Command History и Windows Command Prompt, да заобикаля AMSI, да изключва Event Tracing for Windows (ETW), да конфигурира изключения в Microsoft Defender за криптиращия модул, да прави промени в регистъра за деактивиране на Task Manager и Windows Command Prompt, да получава публичния IP адрес чрез заявка към api.ipify[.]org и ipapi[.]co и да деактивира редица механизми за архивиране, бази данни и възстановяване, включително услугата Volume Shadow Copy (VSS).
  • Вариантът за Golang, който основно се използва за насочване към системи с Linux и ESXi, установява устойчивост чрез запис в crontab, деактивира SELinux и AppArmor и се опитва да изтрие сенчестите копия на томовете (volume shadow copies).

„Тази [Golang] версия също така включва функционалност за премахване на сенчести копия на томовете, което не служи за нищо в среди на Linux и ESXi – факт, който подсказва, че атакуващите са били невнимателни и вероятно са използвали изкуствен интелект при разработването на инструментариума“, теоретизира Kaspersky.

Hacking Cat също така са забелязани да обединяват усилия с Cyber Anarchy Squad, друга проукраинска хактивистка група, за да доставят различен щам откупатор (ransomware), известен като ClearWater, чрез бач скрипт. Смята се, че ClearWater се разпространява по модела „софтуер за откупатор като услуга“ (ransomware-as-a-service или RaaS) за проукраински хактивистки екипи.

В друга съвместна операция с Ukrainian Cyber Alliance се посочва, че киберпрестъпникът е внедрил зловреден софтуер от тип чистач (wiper), наречен Nemo Wiper, който пренаписва файлове с произволни байтове и запълва останалото свободно пространство на диска с файлове, съдържащи произволни буквено-цифрови имена и разширението .lock.

„Различни хактивистки групи използват едни и същи самостоятелно написани инструменти в различни атаки, включително многостепенни вериги на инфектиране“, отбелязва Kaspersky. „Това може да показва наличието на общ източник за подобни инструменти – например разработчик или малка група от разработчици, които създават, поддържат и модифицират зловредния код, който впоследствие се използва от различни хактивистки групи.“

Въпреки това, след публикуването на доклада, Hacking Cat публикуваха в своя Telegram канал, че „няколко от инструментите са наши, но софтуерите за кодиране (lockers) определено не са“. Те също така твърдят, че Kaspersky им приписва инструменти от напълно несвързани злонамерени субекти и че трябва „да се научат да правят по-добър обратен инженеринг на групите“.

Toy Ghouls внедрява персонализиран backdoor за първи път

Списъкът с групи, атакуващи руски организации, се допълва от Toy Ghouls (известни още като Bearlyfy, Laboo.boo и Feral Wolf), които са преминали от използване на изтекли генератори на откупатори (ransomware builders) Babuk и LockBit към свой собствен персонализиран откупатор GenieLocker, а сега и към специализиран задкулисен вход (backdoor). Известно е, че финансово мотивираната група е активна от 2025 г.

Задкулисният вход (backdoor), засечен за първи път през юли 2026 г., се появява в два варианта -

  • mqtt-bird-agent 0.1.0, който използва HiveMQ MQTT брокер за C2
  • matrix-bird-agent 0.1.0, който използва Element, криптирано от край до край приложение за съобщения на базата на Matrix, за C2

„В тази кампания атакуващите използват Windows Remote Management (WinRM), за да доставят задкулисните входове (backdoors) и техните конфигурационни файлове до компрометираните системи“, съобщава Kaspersky. „Групата разчита на инструменти с отворен код като Evil-WinRM и WinRM-fs, за да постигне това.“

Задкулисният вход Bird Agent може да работи в рамките на интерактивна сесия на командния ред, както и да настрои устойчиво присъствие (persistence) като услуга на Windows. След като бъде стартиран, той търси конфигурационен файл („config.toml“) в същата директория, в която се намира. Алтернативно, пълният път до файла може да бъде посочен чрез опцията „-c“ или „--config“ при стартирането му.

След това зловредният код преминава към прочитане на файла и частичното му шифроване с ключ, извлечен от стойността MachineGuid на жертвената машина, съхранена в Windows Registry, така че конфигурацията да е обвързана с тази конкретна система. Задкулисният вход спира изпълнението си, ако не може да дешифрира конфигурацията при последващи стартирания.

Конфигурацията, в зависимост от използвания вариант, съдържа или идентификатора на клъстера, използван за комуникация с HiveMQ MQTT брокера, или вътрешния идентификатор на стаята в Element, заедно с токена за достъп, необходим за влизане в тази стая. Ако този параметър е празен, задкулисният вход е проектиран така, че подканва за въвеждане на токена по време на инсталацията, след което той се запазва.

След като връзката се установи, задкулисният вход преминава към изпращане на системна информация и отправя HTTP GET заявки към HiveMQ брокера, за да извлече команди от C2 сървъра, да ги изпълни чрез PowerShell в скрит режим (-NonInteractive -NoProfile -Command) и да предаде резултатите обратно към сървъра.

Вариантът Element на Bird Agent е функционално подобен на своя HiveMQ аналог, като основната разлика е, че получените команди се изпълняват през интерфейса на командния ред (CLI) на Windows и изпращат изходния резултат от командата обратно към C2 сървъра.

„Новите инструменти използват нестандартни канали за комуникация със своя C2 сървър: HiveMQ MQTT брокера и базирания на Matrix месинджър Element“, заявява Kaspersky. „Това пренасочване от публично достъпни проекти с отворен код към индивидуално разработени инструменти подсказва, че Toy Ghouls работи по повишаване на сложността на атаките си и по-дългото избягване на откриването.“