Toy Ghouls внедрили бэкдоры mqtt-bird и matrix-bird для атак на РФ

Группировка Toy Ghouls использует новый бэкдор с двумя версиями. Одна версия применяет MQTT-брокер HiveMQ для связи с C2-сервером, вторая — мессенджер Element. Обе версии содержат "bird" в названии: mqtt-bird-agent 0.1.0 и matrix-bird-agent 0.1.0.

Бэкдоры доставляются в системы через протокол Windows Remote Management (WinRM) с использованием инструментов Evil-WinRM и WinRM-fs. Установка возможна как в интерактивном режиме, так и в виде службы Windows. Конфигурационные файлы шифруются при первом запуске для привязки к конкретной машине.

ⓘ Что такое Toy Ghouls
Toy Ghouls — финансово мотивированная группировка, атакует российские организации с 2025 года. Изначально использовала инструменты из открытых репозиториев и утекшие билдеры шифровальщиков, позднее разработала собственный шифровальщик GenieLocker и бэкдоры.

Источник: Securelist
@cbunit