#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
VantaCore — группа вымогателей, целенаправленно атакующая российские организации с использованием тактик двойного и тройного шантажа, включающих кражу данных, шифрование систем и угрозы публикации украденной информации. Доступ к инфраструктуре злоумышленники получают через открытые RDP/VPN, уязвимые приложения или украденные учетные данные, после чего применяют легитимные инструменты, перемещение внутри компании, загрузчики и VantaCoreRAT для проведения разведки и установления контроля. Их шифровальщик нарушает работу резервных копий и использует алгоритмы ChaCha20/X25519, а SnowKiller отключает средства защиты.
-----

В августе 2026 года была выявлена группа шифровальщиков VantaCore, которая атаковала российские организации. Группа эксплуатирует сайт утечки данных, активный по состоянию на 7 июня 2026 года, и применяет тактики двойного и тройного шантажа, сочетая кражу данных, угрозы публикации или распространения украденной информации и шифрование критически важных систем. Взаимодействие с жертвами осуществляется через чат, работающий в сети Tor. Визуальный дизайн чата группы и значок «THOR» на её сайте утечки данных указывают на возможную связь с кибергруппой Thor, хотя эта связь не подтверждена.

VantaCore получает первоначальный доступ через открытые или недостаточно защищенные службы RDP и VPN, уязвимости в приложениях, доступных из интернета, а также скомпрометированные учетные данные партнеров. После компрометации среды операторы используют легитимные учетные записи и преимущественно перемещаются по сети (lateral movement) по протоколам SMB и RDP. Разведка включает использование сетевых сканеров и стандартных утилит Windows, таких как ping, netsh, quser, qwinsta и net user. Группа применяет методы обфускации, очищает журналы событий Windows с помощью PowerShell и wevtutil, а также отключает продукты антивирусной защиты или EDR, в том числе с использованием инструментов на основе BYOVD. Закрепление (Persistence) осуществляется через системные службы, при этом доступ на расстоянии обеспечивают Tactical RMM и VantaCoreRAT группы.

VantaCore шифрует файлы на серверных и пользовательских системах после нарушения инфраструктуры резервного копирования. Шифратор на C++ требует пароль командной строки, зашитый в коде, использует ChaCha20 и X25519 для шифрования и содержит открытый ключ X25519. Он разворачивается вручную через несанкционированные RDP-сессии или автоматически с помощью VantaCoreLoader. Этот загрузчик ищет системы с помощью LDAP-запросов, копирует полезную нагрузку через административные шары, удаленно создает службы и использует именованные каналы для доставки полезной нагрузки и параметров выполнения, воспроизводя функциональность, связанную с механизмом сетевого распространения LockBit 3 Black.

VantaCoreRAT — это бэкдор на базе языка Go, некоторые образы которого обфусцированы с помощью Garble. Он способен собирать системную информацию, загружать и скачивать файлы, выполнять команды, предоставлять доступ через reverse-shell, работать в качестве SOCKS5-прокси, обновлять и удалять себя. Загрузчик (loader) извлекает бэкдор в зашифрованном виде из встроенной веб-ссылки. Группа также использует SnowKiller — инструмент на основе BYOVD, предназначенный для завершения процессов антивирусов и EDR перед развёртыванием шифровальщика.