Три группировки атакуют российские предприятия: бэкдоры, шифровальщики и вайперы

Российские предприятия оказались в фокусе сразу трёх кластеров угрозоопасной активности, которые «Лаборатория Касперского» отслеживает под именами NightEagle, Hacking Cat и Toy Ghouls. О фактах атак сообщается в нескольких отчётах вендора. Ситуация важна тем, что речь идёт не об одиночных инцидентах, а о скоординированной работе разных групп, использующих полный спектр разрушительных инструментов — от скрытого удалённого доступа до необратимого уничтожения данных.

Подробности

По данным Kaspersky, наиболее заметную активность проявляет группировка NightEagle, также известная как APT-Q-95. Этот актор действует как минимум с 2023 года. В новых кампаниях специалисты зафиксировали ранее не наблюдавшиеся техники закрепления в инфраструктуре жертвы и бокового перемещения внутри сети — то есть злоумышленники не просто получают первоначальный доступ, но и стремятся надолго остаться незамеченными, расширяя зону контроля. Помимо NightEagle, в отчётах фигурируют кластеры Hacking Cat и Toy Ghouls. Все три группы применяют комбинированный арсенал: бэкдоры для скрытого управления системами, программы-вымогатели (ransomware) для монетизации атак и вайперы — вредоносные программы, предназначенные для безвозвратного уничтожения данных и вывода инфраструктуры из строя. Сочетание шифрования с вайпингом означает, что даже при отказе платить выкуп восстановление может оказаться невозможным. В отчётах не приводятся конкретные CVE, версии уязвимых продуктов или иные технические индикаторы компрометации — Kaspersky описывает тактики, техники и процедуры (TTP) группировок, а не отдельную эксплуатируемую уязвимость.

Что делать

Учитывая характер угроз, российским компаниям стоит усилить защиту по нескольким направлениям: — Обеспечить сегментацию сети, чтобы затруднить боковое перемещение злоумышленников после компрометации одного узла. — Внедрить и поддерживать MFA для доступа к критичным системам, VPN и административным панелям. — Ограничить и строго контролировать привилегированные учётные записи, вести мониторинг их использования. — Настроить централизованный сбор и анализ логов, а также поведенческую аналитику для выявления аномалий, характерных для закрепления и латерального движения. — Хранить резервные копии в изолированном контуре (offline/immutable backups) и регулярно проверять возможность восстановления — это единственная защита от вайперов. — Своевременно применять обновления безопасности и отслеживать публикации вендоров об активности APT-Q-95 и связанных кластеров. Итог: комбинация бэкдоров, шифровальщиков и вайперов в руках сразу трёх группировок делает российские предприятия приоритетной мишенью, и ставку следует делать на сегментацию, резервное копирование и раннее обнаружение — предотвратить закрепление атакующего дешевле, чем восстанавливать уничтоженную инфраструктуру.

Источник: The Hacker News