Группа хактивистов, связанная с Беларусью, почти два года находилась в сети российской организации здравоохранения. Согласно отчету российской компании в области кибербезопасности Solar, эта деятельность была приписана кластеру угроз под названием Partisan Zmiy, также известному как Cyber Partisans. Группа, активная как минимум с 2020 года, имеет историю атак на промышленные предприятия и государственные учреждения в России и Беларуси с использованием бэкдора Vasilek, который применяет Telegram для управления и передачи данных. Некоторые атаки также использовали фишинговые приманки для доставки установщика, который одновременно развертывал легитимную программу FortiClient VPN и программу с открытым исходным кодом DNSCat2, позволяющую злоумышленникам получить контроль над зараженным хостом. Примечательным аспектом деятельности злоумышленника является его способность проводить деструктивные атаки с использованием вайпера Pryanik, а также систематически очищать журналы событий Windows с помощью утилиты Evlx. Дочерняя компания «Ростелекома» сообщила, что обнаружила вторжение в декабре 2025 года, хотя имеющиеся данные свидетельствуют о том, что первые признаки компрометации датируются началом 2024 года. Название целевой организации не было установлено. Точный вектор первоначального доступа, использованный для взлома организации, также неизвестен. В отличие от других атак, связанных с Cyber Partisans, злоумышленники оставались в сети в течение длительного времени, не проводя никаких деструктивных действий, что ознаменовало собой некоторое изменение в их методах работы. «Атакованная организация обладала обширной инфраструктурой и двусторонними доверительными отношениями с многочисленными дочерними медицинскими учреждениями, — заявили в Solar. — Мы предполагаем, что отсутствие сбоев в инфраструктуре связано именно с ценностью этого доступа для дальнейшего шпионажа и атак на доверительные отношения». В рамках вторжения наблюдалась служба загрузчика-планировщика («vmauad»), которая маскируется под легитимный компонент VMware для поддержания персистентности и уклонения от поверхностной проверки. Для этого злоумышленники, как сообщается, воспользовались доверенным, но не контролируемым каталогом VMware Tools для размещения вредоносных исполняемых файлов или замены легитимных DLL VMware вредоносной версией («vmtools.dll»), содержащей бэкдор. Основная задача службы Windows заключается в запуске вредоносного бинарного файла «C:\Program Files\VMware\VMware Tools\authd.exe», который, помимо запуска GOST-туннеля каждую субботу с 22:00 до 23:00, один раз запускает обновленную версию Vasilek (версия 1.5.8) через восемь часов после запуска службы. После установки Vasilek способен собирать информацию о зараженном компьютере, выполнять команды Windows, запускать и останавливать процессы, передавать файлы, делать снимки экрана, записывать нажатия клавиш и повышать привилегии с помощью runas. Он также может предотвращать переход компьютера в спящий режим, а также обновлять или удалять себя. Одним из новых дополнений является команда «move_cursor», которая, как следует из названия, позволяет бэкдору перемещать курсор и имитировать ввод пользователя на экране жертвы. «Группа последовательно инвестирует в скрытность и оперативную безопасность, а не в новые возможности: привязка имени хоста в двух независимых компонентах, ночные запланированные запуски полезной нагрузки, наследование системного прокси, маскировка под легитимное, но неиспользуемое программное обеспечение, ротация файлов по тем же путям, временные метки, подавление исходящих сообщений и анонимные сообщения от имени группы в чатах операторов», — заявили в Solar. «Набор функций бэкдора в значительной степени остался неизменным за четыре ревизии. Из-за блокировки Telegram в России интернет-провайдерами связь между бэкдором Vasilek и C2 стала нестабильной». Это сообщение появилось на фоне того, что Solar также раскрыла подробности фишинговой кампании, использующей вложения JavaScript, имитирующие деловые документы, такие как платежи и заказы на покупку, для доставки ранее не обнаруженного семейства вредоносных программ, известного как HypeAgent. Вредоносное ПО для Windows представляет собой полнофункциональный троян, предназначенный для полного контроля над зараженными системами, способный красть файлы, открывать консоль, изменять обои рабочего стола, включать веб-камеру, записывать нажатия клавиш, запускать скрытые сеансы VNC и RDP, управлять мышью и даже развертывать майнер криптовалют. Он также способен красть файлы cookie, связанные с Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude и Cursor, а также вмешиваться в установленное приложение Exodus wallet для внедрения JavaScript, который может собирать пароль жертвы, PIN-код, мнемоническую фразу и закрытый ключ. Ранее в июне Solar также зафиксировала, как легитимная инфраструктура, скомпрометированная вредоносным ПО прокси-сервиса ProxyCB, совершала автоматические запросы к российским веб-сайтам и онлайн-платформам, одновременно выявляя возможные совпадения между инфраструктурой ботнета и предыдущей деятельностью, связанной с TeamSpy, кластером угроз, известным злоупотреблением TeamViewer для разведки и кражи данных. В прошлом месяце Министерство юстиции США предъявило обвинение 40-летнему гражданину России Сержудину Тамирлановичу Актулаеву, экстрадированному с Кипра в мае 2025 года, за использование онлайн-сервиса обмена сообщениями известной фриланс-платформы для отправки вложений Excel с вредоносным ПО примерно 80 000 пользователей в 2016 и 2017 годах с использованием 255 поддельных учетных записей. Атаки привели к развертыванию двух типов вредоносных программ: варианта TVRAT (также известного как Sheldor, SpyAgent, TeamBot, TeamSpy и TVSPY) и DarkVNC, для сбора и отправки данных с компьютера жертвы на удаленный сервер под контролем злоумышленника. По оценкам, в результате этой схемы было заражено тысячи компьютеров.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
