Исследователи BI.ZONE раскрыли истинный шпионский профиль кластера Insolent Hyena.

Наблюдая за злоумышленниками, Бизоны обнаружили новый RAT NightStrike и впервые зафиксировали, что использование фреймворка Havoc, что в совокупности с другими артефактами и заставило их пересмотреть мотивацию группировки.

Ранее в BI.ZONE считали Insolent Hyena хактивистской группировкой, но отмечая при этом, что мотивация злоумышленников неоднозначна. Дальнейшее наблюдение за их активностью показало: характер деятельности в большей степени соответствует кибершпионажу.

В соответствии с классификацией группировок по мотивации: Hyenas («гиены») - кластеры с хактивистской направленностью, Wolves («волки») - злоумышленники, движимые финансовой выгодой, а Werewolves («оборотни») занимаются кибершпионажем.

Так что теперь Insolent можно смело относить к Werewolves и вот почему:

- За время мониторинга фактов использования вредоносного ПО (например, шифровальщиков или вайперов) для деструктивных действий не было выявлено.

- Значительную часть арсенала атакующих составляют трояны удаленного доступа (RAT): CapDoor, NightWire и NightStrike. Злоумышленники также используют импланты фреймворков постэксплуатации: AdaptixC2, Havoc и Cobalt Strike.

- Для получения первоначального доступа кластер применяет целевой фишинг, например атаки с использованием ClickFix. В некоторых случаях атакующие получают доступ к инфраструктуре от других кибершпионских кластеров, а затем разворачивают легитимное средство удаленного доступа NetSupport Manager.

- Insolent Hyena в основном атаковала госсектор, а также промышленные организации и НИИ, связанные с оборонно‑промышленным комплексом.

- Публичных каналов или заявлений об успешных кибероперациях, характерных для хактивистских группировок, не имеет.

По совокупности этих признаков отныне Бизоны переименовали из Insolent Hyena в Insolent Werewolf.

В августе 2026 года, анализируя активность Insolent Werewolf, исследователи обнаружили новый троян удаленного доступа, назвав его NightStrike, который, предположительно, разработал тот же автор, что и NightWire RAT. Ретроспективный анализ показал, что атакующие использовали его как минимум с июня этого же года.

Кроме того, злоумышленники использовали загрузчик Octowave Loader. Он разворачивал в скомпрометированных системах импланты фреймворков постэксплуатации AdaptixC2 и Havoc. Ранее последний в арсенале кластера не был замечен.

Разные фреймворки и собственное вредоносное ПО позволяют им подбирать инструментарий под конкретные условия атаки и снижать вероятность обнаружения за счет различий в возможностях и сигнатурах средств защиты.

Технический разбор нового инструментария и IOCs - в отчете.