🏭 Отрасли РФ: не определено
🗺 MITRE ATT&CK: T1566 — Phishing, T1598 — Phishing for Information, T1589 — Gather Victim Identity Information, T1195 — Supply Chain Compromise
🧪 Правила Suricata: ✅ синтаксис проверен на движке (Suricata 8.0.7)
🧩 Sigma: ✅ структура правила корректна
📋 Покрытие детекта: IoC ✅ · Suricata ✅ · Sigma ✅ · YARA ❌ · TTP 4
🇷🇺 RU
🧭 Вводные
Неизвестные злоумышленники распространяют фишинговый сайт, выдаваемый за официальный бюллетень НКЦКИ. Атака направлена на сотрудников государственных и критических инфраструктур РФ для кража учетных данных и внедрения вредоноса.
🛡 Куда и как применять
• Добавить IoC (gossopka[.]ru, hxxps://gossopka[.]ru/) в черный список SIEM с корреляцией на DNS-запросы и HTTP-трафик для раннего обнаружения
• Заблокировать домен на уровне NGFW/прокси и настроить перенаправление на безопасный сервер для уведомления пользователей
• Добавить сигнатуру фишинг-письма в EDR с ключевыми словами (НКЦКИ, бюллетень об уязвимостях) в watchlist для анализа почтовых клиентов
• Создать зону RPZ в DNS для локального блокирования gossopka[.]ru и его поддоменов
• Провести threat hunting по логам прокси и почты за последние 30 дней на предмет обращений к домену и попыток открытия вложений от имитированного источника
🧪 Перепроверка
В тестовом контуре перейти по URL с использованием прокси/DNS RPZ для подтверждения блокирования и проверки наличия индикаторов компрометации в логах. Воспроизвести доставку фишинг-письма с IoC в EDR sandbox для валидации сигнатур обнаружения.
— — —
🇬🇧 EN
🧭 Overview
Unknown threat actors distribute a phishing site impersonating the official NKTSUKI bulletin. The attack targets employees of Russian government and critical infrastructure organizations to steal credentials and deploy malware.
🛡 Where & how to apply
• Add IoC (gossopka[.]ru, hxxps://gossopka[.]ru/) to SIEM blacklist with correlation on DNS queries and HTTP traffic for early detection
• Block domain at NGFW/proxy level and redirect to safety notification server for user awareness
• Add phishing email signature to EDR with keywords (NKTSUKI, vulnerability bulletin) in watchlist for mail client analysis
• Create RPZ zone in DNS for local blocking of gossopka[.]ru and subdomains
• Conduct threat hunting across proxy and email logs for past 30 days searching for domain access attempts and attachment opening from spoofed source
🧪 Re-verification
In test environment, access URL through proxy/DNS RPZ to confirm blocking and verify presence of compromise indicators in logs. Reproduce phishing email delivery with IoC in EDR sandbox to validate detection signatures.
🧬 IoC / Индикаторы (2) — defanged
🔗
hxxps://gossopka[.]ru/ · url · conf 48 · 🔵🔗
gossopka[.]ru · domain · conf 48 · 🔵🔗 Источники / Sources: ГосСОПКА (Telegram)
#без_атрибуции #РФ #IoC
🏷 TLP:CLEAR
⚠️ Данные требуют перепроверки. Индикаторы из открытых источников, возможны ложные срабатывания. Не включайте блокировку на проде без прогона в тестовом контуре.
⚠️ Unverified aggregation. Validate every indicator in a test environment before blocking.
👤 Дмитрий Беляев — Независимый эксперт по кибербезопасности. 11+ лет в ИБ: incident response, SOC, построение процессов защиты в банках и телекоме.
Independent cybersecurity expert. 11+ years in infosec: incident response, SOC, security programs for banks and telecom.
🌐 https://belyaev.expert/
🤖 Belyaev ThreatMap · авто-агент · 26.09.2026 20:39 UTC