Кибервойна

Партизанский медосмотр

Исследователи «Солар» выпустили отчёт об атаке «Киберпартизан» на российскую медицинскую организацию. Помимо того, что в отчёте 13 (тринадцать!) раз встречается упоминание о признании группировки экстремистской, в нём содержатся интересные наблюдения об активности хакеров и не только.

От многих других атак «Киберпартизан» исследованную атаку отличает то, что она не закончилась деструктивным воздействием. Напротив, взломщики, проникнув в инфраструктуру в начале 2024, затаились и сидели там почти два года до обнаружения в декабре 2025. Исследователи предполагают, что это объясняется ценностью жертвы с точки зрения шпионажа, в том числе для атак на дочерние организации через доверенные отношения:

«Атакующие получили доступ к чувствительным медицинским данным и имели все возможности реализовать атаки trusted relationship, потому что атакованная организация обладала обширной инфраструктурой и имела двусторонние трастовые отношения с многочисленными дочерними структурами. Возможно, поэтому атакующие были заинтересованы продолжать шпионаж, хотя получили доступ к контроллерам домена и другим системам централизованного управления».

В арсенале «Киберпартизан» обнаружились ранее изученные инструменты, такие как Vasilek. Причём по оценке «Солара», этот бэкдор не сильно изменяется от версии к версии, в то время как группировка совершенствуется в другом плане: повышает скрытность и улучшает OPSEC.

Поскольку в качестве командной инфраструктуры «Киберпартизаны» прежде использовали Telegram, в конце отчёта исследователи поднимают тему влияния блокировки мессенджера на активность группировки. Помешало ли это хакерам? Немного, но они, разумеется, нашли другие способы:

«Из-за блокировки Telegram в России на уровне провайдеров коммуникация бэкдора Vasilek с С2 стала нестабильной. При этом Partisan Zmiy, как и ранее, используют различные способы коммуникации, включая DGA-домены и DNS-туннели. Поэтому было бы ошибкой считать, что усиление блокировок значительно затруднит таргетированные кибератаки — атакующие находят и будут находить способы обхода».

«Солар» предлагает самостоятельно, без отдельной страховки компенсировать клиентам до 30 млн за пропущенные кибератаки, причинившие ущерб:

«Если специалисты центра противодействия кибератакам пропустят инцидент в зоне мониторинга и клиент понесет документально подтвержденный ущерб, компания возместит его в пределах 30 млн рублей. Ответственность закреплена в договоре и действует с момента запуска нового сервиса JSOC ONE».

Как раз раскрыли уязвимости.

https://t.me/alukatsky/15355

А вот небольшой и относительно свежий отчёт про Rare Werewolf из ещё одного непривычного места — Китая. Китайского исследователя политические полутона мало заботят, поэтому отчёт озаглавлен прямо и громко: «RareWerewolf: сигнал к контрнаступлению Украины». В обоснование атрибуции он, впрочем, совсем ничего не говорит, но проанализированная атака с ранее не всплывавшим доменом похожа на образ действий Rare Werewolf / Rezet / Librarian Likho. По документу-приманке можно предположить, что цели были в России.

Восточноевропейские хакеры в западноевропейском списке

С удивлением обнаружил, что в списке APT-группировок, атакующих организации в Германии, есть (про)украинские кибершпионы Rezet / Rare Wolf / Librarian Ghouls (последние два наименования уже заменены на Rare Werewolf и Librarian Likho). Интерес для них представляют организации в сфере внешней политики, обороны и правопорядка и в области морских перевозок. Про способы атак сказано лишь, что группировка рассылает запароленные RAR-архивы, в которых содержатся исполняемые файлы, маскирующиеся под двойным расширением. Что в общих чертах напоминает её атаки на российские организации.

Прежде об атаках этой группировки на Германию не сообщалось. В отчётах российских вендоров речь идёт об атаках на Россию и страны СНГ.

Список ведёт Федеральное управление по информационной безопасности Германии (BSI), следовательно это официальная информация от властей Германии. Текущая версия обновлена в середине апреля.

Вообще этот список весьма пёстрый. Если в США уже десятилетие всё внимание государства и бизнеса состредоточено на хакерских группировках из России, Китая, Ирана и КНДР (их иногда называют the Big Four), то в немецком списке помимо них встречаются группировки, связанные с Индией, Южной Кореей, Турцией и даже Украиной. Конечно же, только предположительно, ведь BSI воздерживается от указания страновой привязки даже в тех случаях, когда на этот счёт есть консенсус, и ограничивается названиями из разных классификаций.

Саму возможность атак Rezet / Rare Werewolf / Librarian Likho на немецкие организации я вполне допускаю, шпионаж между близкими партнёрами встречается. Но какой-либо информации на этот счёт помимо краткого упоминания у BSI мне найти не удалось.

В Москве вчера прошли консультации России и Ирана в рамках реализации двустороннего соглашения о сотрудничестве в области обеспечения информационной безопасности, сообщило иранское агентство IRNA.

По-моему, это первое свидетельство, что это соглашение наконец заработало спустя пять лет после подписания в 2021 году. В России соглашения по информационной безопасности не направляются на ратификацию. Но в Иране это соглашение должно было пройти через парламент. Депутаты одобрили соглашение в конце 2023, оно вступило в силу в 2024. Но в конце 2025 вице-президент Ирана отмечал, что оно всё ещё проходило внутренние процедуры.

По обсуждавшимся направлениям сотрудничества видно, что у Ирана есть конкретный интерес в получении различных форм помощи. А вот он России в практическом плане мало что может предложить, разве что разобраться с персидскими вымогателями.

«В ходе этого раунда переговоров основное внимание было уделено таким ключевым направлениям, как выявление и реализация проектов в области кибербезопасности, повышение устойчивости критически важной инфраструктуры и коммуникационных сетей обеих стран к кибератакам, борьба с киберпреступностью, обучение и повышение квалификации персонала для реагирования на киберинциденты, а также развитие сотрудничества в области инфраструктуры искусственного интеллекта».

В сообщении IRNA также отмечается, что в другом российско-иранском договоре есть положения о международной информационное безопасности. Это в большей степени касается дипломатической координации в ООН и на других площадках.

Вроде бы, всего лишь фастфуд, но утечкой данных клиентов «Додо Пиццы» занимаются власти уже трёх стран.

Роскомнадзор изучает информацию, полученную от компании.

Белорусский Национальный центр защиты персональных данных сообщает «о выявленной кибератаке на IT‑систему "ДоДо Пицца" за пределами Республики Беларусь, повлекшей утечку персональных данных» и напоминает гражданам о необходимости соблюдать бдительность.

Замминистра внутренних дел Казахстана заявляет о регистрации уголовного дела, создании следственно-оперативной группы и появлении аж трёх фигурантов.

Настал час Соглашения о сотрудничестве государств — участников СНГ в борьбе с преступлениями в сфере информационных технологий?

Интеллектуальный канал

По итогам визита Си Цзиньпина в Вашингтон США и Китай договорились запустить двусторонний диалог по теме искусственного интеллекта, его рисков и выгод. Де-факто он уже начался в преддверии встречи лидеров на уровне главы Казначейства США Скота Бессента и вице-премьера Госсовета Китая Хэ Лифэна. Следующая встреча пройдёт в ноябре в Шэньчжэне.

Также США и Китай запускают двусторонний канал связи по вопросам инцидентов с ИИ. Это можно считать первым результатом диалога. Хотя сложно представить, какой информацией стороны будут обмениваться. Пока все заметные инциденты с ИИ обсуждаются публично, а будут ли готовы стороны делиться друг с другом чем-то более чувствительным, большой вопрос. Как минимум они смогут получать друг от друга официальную реакцию по поводу уже известных инцидентов.

Согласованные заявления об этом выпустили Белый дом и МИД Китая. Впрочем, заявления согласованы не на 100%, по крайней мере в части терминологии. В заявлении Белого дома отмечается, что лидеры двух стран согласились использовать термин «cуперинтеллект» вместо привычного «искусственного интеллекта». Трамп настроен серьёзно и позднее даже объявил начало эры суперинтеллекта. Но в заявлении китайского МИД по-прежнему речь идёт об искусственном интеллекте. В связи с чем МИД следом опубликовал короткий комментарий официального представителя о том, что Китай уважает терминологический выбор США.

Двухконвенциональный подход Казахстана

Казахстан присоединяется к киберконвенции. Правда, речь пока идёт не о Конвенции ООН против киберпреступности, принятой в 2024 по инициативе России, а о Будапештской конвенции Совета Европы о компьютерных преступлениях 2001 года, которую Россия многие годы критиковала и в противовес которой как раз и запустила разработку универсального инструмента на уровне ООН.

Закон о ратификации Будапештской конвенции сегодня в двух чтениях рассмотрели и приняли депутаты Курултая. По словам министра внутренних дел Санжара Адилова, присоединение к конвенции, насчитывающей 83 участника, даст казахстанским правоохранителям возможность «напрямую взаимодействовать с зарубежными провайдерами и IT-компаниями для получения необходимой информации, а также сохранения и изъятия цифровых данных», а также участвовать в работе круглосуточного контактного центра.

К Конвенции ООН против киберпреступности Казахстан тоже намерен присоединиться и подписал её год назад на официальной церемонии, но до ратификации дело пока не дошло.

Дела у ооновской конвенции идут неплохо. Хотя количество ратификаций с весны не увеличилось и по-прежнему составляет 3 (Катар, Азербайджан и Вьетнам) из необходимых 40, круг подписантов, то есть потенциальных участников растёт и приближается к 100. В частности, за последние месяцы свои подписи под текстом документа поставили ряд стран из западного лагеря: Германия, Канада, Нидерланды, Норвегия, Литва, Эстония, Хорватия. Но не США. Также на прошлой неделе конвенцию подписала Индия.

Участие Казахстана в обеих конвенциях отражает многовекторность его внешней политике. Похожим образом он подходит и к сотрудничеству в области ИИ и на сегодняшний день остаётся единственной страной, участвующей как в американской инициативе Pax Silica, так и в китайской WAICO.

На фоне ударов по украинским дата-центрам и телекоммуникационной инфраструктуре, о которых Минобороны России отчитывается уже практически ежедневно, правительство Украины заявило о выделении более полумиллиарда гривен (11,5 млн долларов) на укрепление резервных государственных информационных систем. Средства предполагается потратить на развитие территориально распределённой инфраструктуры, закупку серверов, софта, систем резервного копирования и восстановления данных.

Кибервоенные США на страже выборов

Министр обороны США Пит Хегсет поручил своим подчинённым использовать «передовые разведывательные и кибервозможности для обнаружения, срыва и нейтрализации иностранного вмешательства» в предстоящие промежуточные выборы в Конгресс, узнало издание Axios. Соответствующее письмо Хегсет неделю назад направил руководителям Киберкомандования, АНБ, Центральной службы безопасности (это всё один человек Джошуа Радд) и других разведывательных служб Пентагона.

Axios отмечает, что схожим образом АНБ и Киберкомандование участвовали в защите промежуточных выборов в 2022.

Но в статье не упомянут эпизод из 2018 года, когда под предлогом защиты промежуточных выборов Киберкомандование провело атаку на медиа-структуры (или «фабрику троллей») Евгения Пригожина, что позднее официально признал Дональд Трамп.

«Для оперативной осведомлённости личного состава»

Исследователи F6 выявили новую кибершпионскую группировку, получившую название Mimbrob, которая с весны провела несколько волн атак околовоенной направленности. Её целями стали предприятия ВПК, IT и предположительно военнослужащие.

В самой ранней зафиксированной кампании группировка направила фишинговое письмо в российское предприятие, производящее авиационные и ракетные двигатели. Под видом служебной записки техническому директору предприятия сообщалось о необходимости срочного проведения метрологической проверки всей продукции и обновления специализированного ПО.

Примечательно, что письмо было отправлено с почты на домене легитимной компании, вероятно, взломанной ранее. Это письмо пришло 22 апреля, а через неделю на сайте этой компании появился дефейс с логотипами Главного управления разведки (ГУР) Минобороны Украины и одного из его киберподразделений. Сайт был взломан раньше, ещё до дефейса с него можно было скачать вредоносный архив. Тем не менее F6 не считает это достаточным доказательством связи Mimbrob с ГУР. Но и случайным совпадением это не назовёшь. Дефейс висел на сайте около недели, что даёт представление об уровне ИБ у отечественного производителя оптоэлектронных систем измерения с Урала.

Но вернёмся к фишинговому письму. В качестве вложения оно содержало архив, озаглавленный по названию предприятия-жертвы. В архиве содержалось несколько легитимных EXE-файлов «Яндекс Браузера», но под другими именами, а также в отдельной папке вредоносный DLL-файл, который запускался при открытии любого из исполняемых файлов и служил загрузчиком дальнейшего этапа. Командный сервер, к которому обращался загрузчик (названный FBULoader) маскировались под инфраструктуру «Яндекса», вроде checker[.]yandex-update[.]ru. FBULoader отправлял на командный сервер информации о заражённой машине и получал дополнительную полезную нагрузку, но её исследователи не нашли.

Аналогичная цепочка атаки была реализована и в других кампаниях. Ещё одна разновидность предполагала использование вместо установщика «Яндекс Браузера» исполняемого файла Notepad++ также с DLL-sideloading и заражение компьютера вредоносной программой RAT-Go.

Помимо атак на организации, связанные с ВПК, одна из кампаний, очевидно, была заточена под российских военнослужащих. В мае злоумышленники запустили красивый сайт для скачивания приложения Dronner, якобы предназначенного «для оперативной осведомлённости личного состава союзных войск о пролётах и местах минирования БпЛА типа "Баба-Яга"». Что актуально для подразделений, участвующих в боевых действиях. В действительности вместо инструмента для мониторинга дронов жертва получала на компьютер шпионскую программу, коротая выполняла ряд проверок (в частности язык системы на соответствие перечню из языков стран СНГ и румынскому), собирала данные о машине и передавала их на командный сервер, откуда получала следующую нагрузку.

В сентябре группировка начала ещё одну фишинговую рассылку в адрес нескольких IT-компаний. Письма отправлялись с домена, мимикрирующего под домен российского предприятия ООО НПК «АМС». Которое даже выпустило на этот счёт предупреждение:

«От лица нашей компании ведется рассылка писем о принятом решении обращения в суд из-за некачественного предоставления услуг и невозможности решить вопрос мирным путем.

[...]

Настоящим сообщением заявляем, что это рассылка мошенников. Доменное имя npkarns[.]ru отличается от нашего доменного имени npkams[.]ru и нам не принадлежит.

Отдела ИТ-интеграции в ООО НПК "АМС" не существует, сотрудника с именем Зайцев Игорь Анатольевич нет и никогда не было.

Просьба никак не реагировать на письма, приходящие с доменного имени npkarns[.]ru, вложения не открывать, там может быть вирус».

Насчёт вируса компания не ошиблась, только за рассылкой стояли не мошенники, а более серьёзные хакеры.

Громкие взломы DataSuckers

За российскими компаниями пришла новая хакерская группировка (или просто хакер), называющая себя DataSuckers. В её послужном списке два инцидента, оба из которых были подтверждены хотя бы частично. Злоумышленники утверждают, что их атаки не носят политический характер, а нацелены на извлечение выгоды за счёт продажи украденных баз и привлечение внимания СМИ.

15 сентября хакеры атаковали крупного туроператора Tez Tour, на его сайте был размещён дефейс. По словам злоумышленников, они находились в системе две недели и смогли похитить данные клиентов.

Представитель компании подтвердил только нарушение работы сайта, но не более серьёзные последствия:

«Сразу после обнаружения несанкционированной активности были приняты необходимые меры по локализации инцидента и защите информационных систем. На текущий момент признаков компрометации данных туристов и партнеров не выявлено. ERP-система компании была своевременно изолирована и не пострадала».

В ответ на это DataSuckers опубликовали скриншот с папками якобы из Tez Tour, а также фрагмент базы данных, который был быстро снесён с файлообменника.

Спустя 10 дней Tez Tour сообщил о частичном восстановлении сайта — доступ в личные кабинеты был восстановлен для турагентов, но не для обычных пользователей. Несмотря на первоначальное заявление об отсутствии признаков компрометации данных партнёров, компания в целях безопасности сбросила пароли к личным кабинетам, что намекает на наличие кое-каких признаков. При этом забронированные туры из-за взлома не пострадали.

Вчера DataSuckers заявили о взломе «Додо Пиццы», крупнейшей сети пиццерий России с заведениями в более чем 20 странах. Группировка сообщила о краже данных клиентов сети. «Додо Пицца» подтвердила инцидент, отметив, что злоумышленники могли получить доступ к именам, адресам, email'ам, телефонным номерам, датам рождения клиентов и их заказам. То есть ко всей информации о клиентах, поскольку платёжные данные компания не хранит.

Об инциденте «Додо Пицца» сообщила в Роскомнадзор. Если заявления злоумышленников подтвердятся, то речь может идти об одной из самых больших утечек года, в которую могли попасть и данные граждан других стран. Но, учитывая, что база не опубликована и, видимо, не предполагается к публикации, о последствиях судить сложно, поскольку Роскомнадзору придётся полагаться прежде всего на уведомления оператора персданных.

На этом взломы DataSuckers, вероятно, не закончатся. Группировка уже намекает, что следующей её жертвой может стать «один из крупнейших магазинов техники».

30 лет назад предполагалось, что от применения кибероружия Россию будут защищать вооружённые силы. Но оказалась, что, как и в остальных странах, эта задача ложится в первую очередь на отдельные организации и кибербез-компании. Со стороны государства помогают национальные команды реагирования на компьютерные инциденты и правоохранительные органы. Вооружённые силы же заняты в лучшем случае защитой собственных сетей.

Исследователи SOCRadar изучили кампанию, за которой предположительно стоит северокорейская группировка кибершпионов Konni, а целями которой предположительно являются лица и организации, связанные с Украиной.

Хотя техническая сторона разобрана очень подробно, про возможных жертв в отчёте почти ничего не говорится. Тем не менее исследователи делают вывод, что кампания нацелена на сбор развединформации о траектории конфликта.

В прошлом году о северокорейских атаках на украинские госструктуры сообщала Proofpoint.

▪️▪️▪️«Главный радиочастотный центр» (ГРЧЦ), подведомственный Роскомнадзору, направил операторам связи поручение «обеспечить проверку всего оборудования» латвийского MikroTik, размещенного на сети, и «принять меры по устранению потенциальных уязвимостей».

Оно связано с обнаруженными уязвимостями в некоторых версиях операционной системы RouterOS, которая установлена на роутерах этого производителя. Текст письма ГРЧЦ есть в распоряжении РБК, его подлинность подтвердили два собеседника на телеком-рынке.

В письмах ГРЧЦ предупредил, что эксплуатация уязвимостей может нарушить информационную безопасность критической информационной инфраструктуры (к ней относятся сети связи и информационные ситемы госорганов, энергетических, финансовых, транспортных и ряда других компаний), информационных ресурсов госорганов, а также социально значимых ресурсов.

▪️Канал РБК в «Максе»

Украинскую кибербезопасность усилит американский ИИ

OpenAI анонсировал предоставление правительству Украины помощи для защиты гражданской инфраструктуры в виде доступа к инструментам кибербезопасности на основе ИИ, объединённым в рамках инициативы Daybreak. Совместно с Минцифры Украины американский ИИ-гигант поделится с украинскими командами решениями для поиска уязвимостей и тестирования исправлений.

В пресс-релизе оказание помощи обосновывается тем, что Украина подвергается кибератакам со стороны России, целями которых становятся в том числе организации, предоставляющие жизненно важные услуги.

Daybreak была запущена в мае и позиционировалась как ответ OpenAI на ажиотаж вокруг Mythos от Anthropic. По описанию компании, это стэк решений для киберобороны. Доступ предоставляется точечно компаниям и правительствам, в том числе Франции, Германии, Польше и агентству ЕС ENISA.

Никакой Астры, москвичи сидят только под МосТех.ОС.

Американских дипломатов наделили суперинтеллектом

Сотрудникам Госдепартамента наказали использовать термин super intelligence («суперинтеллект» или «сверхинтеллект») вместо привычного artificial intelligence, узнало Associated Press. Инструкцию по электронной почте дал помощник заместителя госсекретаря Майкл Дрэгер, сославшись на выступление Дональда Трампа на заседании Генассамблеи ООН.

Трамп заявил, что ИИ в США будет официально переименован в суперинтеллект. Правда, пока это ничем не подкреплено, так что в Госдепартаменте могли бы и не спешить. Также Трамп высказался против глобального регулирования ИИ.

Американским дипломатам, отвечающим за цифровую повестку, приходится чутко следовать за всеми поворотами внешнеполитического курса Трампа. Одновременно продвигать инициативу Pax Silica, которая должна ближе привязать союзников к американскому технологическому лагерю, и доказывать, что у США нет рубильника, отключающего ИИ-сервисы по желанию администрации (после того, как именно это произошло).