Группа киберразведки PT ESC представила обзор кибератак за II квартал 2025 года ✍️

В отчете рассмотрены наиболее показательные атаки на ИТ-инфраструктуры российских госорганизаций и частных компаний.

🦉 За указанный период зафиксирована активность Team46, TA Tolik, Black Owl и других.

📩 Фишинговые кампании шли непрерывно от имени государственных структур и регуляторов. Использовались:

• Архивы с вредоносной нагрузкой, название и тема которых совпадали с содержанием письма;
• Документы с встроенными эксплойтами под известные уязвимости в офисных пакетах и системах ЭДО;
• Ссылки на облачные хранилища и файлообменники для обхода почтовых фильтров.

В ряде случаев применялась модель «отложенной доставки» полезной нагрузки после установления переписки (spear-phishing + социальная инженерия) и имитация деловой коммуникации для принуждения к открытию вложений.

💥 Ключевые тенденции:

1. Деструктивное применение шифровальщиков. Black Owl использует шифрование и вайпинг для максимального нарушения работоспособности инфраструктуры.

2. Монетизация через вымогательство. Werewolves и DarkGaboon задействуют шифровальщики в рамках выкупных схем, нередко после предварительной разведки и утечки данных (двойное давление).

3. Шпионаж с упором на скрытность. Cloud Atlas и PhantomCore нацелены на долговременное присутствие, сбор внутренних документов и учетных данных; применяются многоступенчатые загрузчики и приемы living-off-the-land для снижения заметности.

Полный отчет — в нашем блоге ⬅️

#TI #APT #Malware #Phishing
@ptescalator

Через фантомные выплаты к конфиденциальным данным 🫰

В июне мы выпустили статью про обнаруженные Exchange-кейлоггеры. На тот момент было выявлено девять компаний-жертв в России, но никакой атрибуции тогда мы не провели.

В июле этого года мы совершили прыжок во времени и вернулись в декабрь 2024-го. Исследование зафиксированной тогда атаки позволило связать ряд обнаруженных кейлоггеров с группировкой PhantomCore 👻. При этом общее количество жертв на территории России увеличилось: в июне этого года их было девять, а в августе — уже 18.

Общая статистика такова:

• 10 компаний из общего числа взломанных организаций — жертвы группировки PhantomCore.

• Всего было обнаружено более 5000 строк с данными «логин — пароль — дата входа», которые получили злоумышленники.

• Прыжок во времени позволил нам найти образец ВПО PhantomDL v3, который использовался в атаках с мимикрией под военную юриспруденцию.

Анализ временного прыжка вы можете найти в нашем новом исследовании на Хабре.

P.S.: с PhantomCore мы не закончили. Следите за новостями 🔜

#TI #APT #Malware
@ptescalator

Phantomные боли 👻

В мае департамент Threat Intelligence экспертного центра безопасности Positive Technologies (PT ESC TI) обнаружил новую масштабную кампанию кибершпионажа APT-группировки PhantomCore в отношении критической инфраструктуры России.

Внешний периметр кибератаки и вредоносный арсенал были одновременно описаны российскими и зарубежными вендорами кибербезопасности. Однако группа киберразведки PT ESC TI сосредоточилась на более глубоком исследовании угрозы, в рамках которого удалось:

🖥 обнаружить ключевую инфраструктуру: взломанные российские сайты, фишинговые ресурсы с FakeCaptcha, payload-хабы, MeshCentral-серверы, SSH-туннели, панель управления Phantom;

👾 изучить и покрыть детектирующими правилами обновленный вредоносный арсенал: от популярных в киберпреступной среде opensource-утилит (RSocx, MeshAgent, RClone, XenArmor Password Recovery) и обновленных версий известных инструментов из личного арсенала (PhantomRAT) — до ранее не встречавшихся кастомных образцов: PhantomRShell, PhantomProxyLite, PhantomTaskShell, PhantomStealer;

🥷 изучить TTP и kill chain кибератак, подробно описать процедуры, выполняемые на зараженных хостах;

🌐 изучить географию, хронологию, характеристики и масштаб кибератак: более 180 заражений на территории России с мая по июль, 56% которых пришлись на 30 июня; 49 хостов до сих пор остаются под контролем группировки; среднее время нахождения хакеров в скомпрометированной сети — 24 дня, максимальное — 78 дней;

📞 идентифицировать и уведомить жертв из числа российских госорганов, научно-исследовательских институтов, предприятий оборонно-промышленного комплекса, судостроительной отрасли, химической, горнодобывающей и обрабатывающей промышленности, а также IT-компаний.

Кроме того, группе киберразведки PT ESC TI удалось обнаружить ответвление группировки, не входящее в основное звено. Оно состояло из низкоквалифицированных специалистов, подобранных в русскоязычных игровых Discord-сообществах, и было организовано в качестве собственного киберкриминального стартапа одним из членов основного костяка PhantomCore, имевшим доступ к исходникам кастомных инструментов.

🫱 Полный отчет — в нашем блоге.

#TI #APT
@ptescalator

🗣 Каникулы заканчиваются, и наши эксперты возвращаются к публичным выступлениям

Основная часть докладов состоится на OFFZONE, где мы будем говорить об уязвимостях в различных продуктах и системах, об APT-группировках, реверс-инжиниринге, ИИ и изменениях ландшафта киберугроз.

➡️ 21 августа, 16:00, доклад «Особенности задач в продукте класса ПАК» на конференции аналитиков «Контур» в Санкт-Петербурге

Об особенностях работы системных аналитиков на производстве программно-аппаратных комплексов, возникающих задачах и встречающихся сложностях на примере PT NGFW расскажет Наталья Фролова, руководитель группы системного анализа.

OFFZONE

➡️ 21 августа, 13:00, доклад «Забираем секреты FreeIPA. И другие атаки»

Тем, как удаленно забрать из FreeIPA хеши паролей и посмотреть на центр сертификации, поделится Михаил Сухов, старший специалист red team R&D. Кроме того, он подробно разберет уязвимость CVE-2025-4404.

➡️ 21 августа, 13:20, доклад «LLM для автоматизации ИБ экспертизы: обнаружение вредоносного кода»

Как при помощи LLM построить пайплайн для обнаружения вредоносного кода и автоматизировать разметку данных, если она отсутствует, поделится в своем докладе Максим Митрофанов, руководитель группы анализа безопасности приложений.

➡️ 21 августа, 15:00, доклад «Баг ценой в жизнь: разбираем уязвимость в Android, блокирующую связь в чрезвычайной ситуации»

Залезем «под капот» Andorid и узнаем, какие ключевые недостатки в реализации политики глобальных ограничений приводят к блокировке функции вызова экстренных служб. Алена Склярова, старший исследователь безопасности ОС Android, посмотрит на уязвимость в действии и проверит, действительно ли патч устраняет проблему.

➡️ 22 августа, 11:00, доклад «Как выпасть из окна, или Все, что вы хотели знать про IOMMU в Windows»

Поговорим об особенностях DMA-атак на современные системы. Доклад Александра Занегина и Юрия Мищенко — первый полный обзор работы Windows IOMMU с низкоуровневыми подробностями от реверса и экспериментов вместо документации.

➡️ 22 августа, 12:00, доклад BootROM Busted: Renesas MCU inside

О том, как они смогли обнаружить несколько уязвимостей и успешно атаковать c помощью glitch-атак расскажут наши эксперты Дмитрий Верещак и Юрий Васин.

➡️ 22 августа, 13:00, доклад «Погребено в $LogFile: эксплуатация 20-летней уязвимости в NTFS»

Об обнаружении и эксплуатации ранее неизвестной уязвимости, связанной с повышением привилегий, в файловой системе NTFS (CVE‑2025‑49689), которая более 20 лет оставалась вне поля зрения разработчиков и исследователей, расскажет Сергей Тарасов, руководитель группы анализа уязвимостей в PT ESC.

➡️22 августа, 14:30, доклад «Гадание на GOFFEEйной гуще: актуальные инструменты и особенности группировки GOFFEE в атаках на Россию»

Вы узнаете об активности группировки за последний год и ее атаках на промышленный и государственный секторы России. Клим Галкин и Варвара Колоскова, специалисты групп киберразведки и исследования сложных угроз, подробнее расскажут об арсенале и инфраструктуре GOFFEE.

➡️ 22 августа, 16:30, дискуссия «Ландшафт киберугроз России в 2025 году»

Денис Кувшинов, руководитель департамента threat intelligence PT ESC, вместе с представителями компаний, специализирующихся на кибербезопасности, поговорит об изменении ландшафта угроз в 2025 году и обсудят тренды.

➡️ 22 августа, 17:00, доклад «“Слушай и бей” — взламываем устройства с помощью осциллографа и транзистора»

В докладе Алексей Шалпегин на наглядных примерах разберет векторы атак на современные микроконтроллеры, а также инструменты злоумышленников.

➡️ 25 августа, 17:30, панельная дискуссия «Чем ux-редактор отличается от техписа» на WriteConf

Представители крупных ИТ-компаний обсудят, какие сходства и различия имеют эти две профессии. От нас в дискуссии участвует Анастасия Московкина, руководитель департамента информационной поддержки.

Не пропустите интересные вам доклады и дискуссии, если собираетесь на любую из конференций 😉

@Positive_Technologies

Гадание на Goffeeйной гуще: актуальные инструменты и особенности группировки Goffee в атаках на Россию ☕️

В течение 2024-2025 годов эксперты TI-департамента пристально следят за активностью группировки Goffee. За этот период, совместно с IR-командой, при расследовании инцидентов мы наблюдали обновление арсенала и использование новых векторов атаки.

🕵️ Нам удалось получить ранее неизвестные сэмплы — руткит, самописные инструменты для туннелирования трафика и другие. Изучение сетевой инфраструктуры позволило выявить паттерны, которые с высокой уверенностью позволяют атрибутировать новые семплы к активности группировки Goffee.

👽 О том, какие особенности в их инфраструктуре мы выделили, какой арсенал использует группировка на данный момент и почему исследование атак «гофи» — это поиск Goffeeйного зерна в инфраструктуре жертвы, вы можете узнать в нашей новой статье.

#TI #IR #APT #Malware
@ptescalator