ESET: Российские хакеры Cozy Bear годами успешно маскировали свои атаки

ESET: Российские хакеры Cozy Bear годами успешно маскировали свои атаки

ESET: Российские хакеры Cozy Bear годами успешно маскировали свои атаки

Киберпреступная группа APT29 (Dukes, CozyDuke и Cozy Bear), деятельность которой якобы спонсируется российскими властями, на протяжении последних шести лет успешно избегала обнаружения, параллельно взламывая множественные правительственные цели. Об этом говорится в отчёте антивирусной компании ESET.

По словам исследователей, группировка активна уже более десяти лет, при этом её члены, как полагают эксперты, принимали участие в атаках на Национальный комитет Демократической партии США (DNC) в 2016 году.

По некоторым данным, в ноябре 2018 года Cozy Bear предприняла ещё одну попытку нападения на DNC. В ходе атаки использовался целевой фишинг.

В 2016 году отчёты многих специалистов в области кибербезопасности связывали атаку на выборы президента США с деятельностью Cozy Bear, а уже в начале 2017 года группа залегла на дно.

Однако теперь специалисты ESET утверждают, что киберпреступники в действительности продолжали свои операции, стартовавшие около шести лет назад. Их незаметные действия в цифровом пространстве затронули Министерство иностранных дел по меньшей мере в трёх европейских странах.

В опубликованном ESET исследовании эксперты подробно разобрали сложные атаки группы, скрытые практически ото всех. Из-за грамотной маскировки сотрудники антивирусной компании присвоили кампании Cozy Bear имя Operation Ghost.

Благодаря использованию техник для сокрытия коммуникаций, а также постоянной смене инструментов для атак российской кибергруппировке удалось тайно проводить кибероперации с 2013 года.

В кампаниях Cozy Bear были задействованы новые семейства вредоносных программ: PolyglotDuke, RegDuke, FatDuke, и LiteDuke. Также встречался ранее уже упоминавшийся бэкдор MiniDuke.

В ходе расследования сотрудники ESET вышли на ранее неизвестный бэкдор третьей стадии, получивший имя LiteDuke. Аналитики подчеркнули, что злоумышленники избегают использования одной C&C-инфраструктуры от жертвы к жертве.

Вредоносы на начальном этапе привлекали онлайн-сервисы Twitter, Imgur и Reddit в качестве командного центра — C&C. При этом различные методы вроде стеганографии помогали преступникам маскировать связь с C&C. Следы последней подобной кампании было замечены в июне 2019 года.

Ограничения для VPN почти не ударили по посещаемости российских сервисов

По данным Mediascope, аудитория сайтов и веб-платформ, которые ввели ограничения для пользователей с включённым VPN, практически не изменилась. Если снижение и фиксировалось, то в большинстве случаев оно не превышало 5%. Статистика за апрель 2026 года показывает, что сервисы и приложения, ограничившие доступ через VPN, либо не потеряли аудиторию, либо столкнулись лишь с небольшим снижением посещаемости.

По данным РБК, такие ограничения ввели Сбербанк, Яндекс, VK, Wildberries & Russ, Ozon, «Газпром-Медиа», «Авито», X5, 2ГИС, «Иви», Wink, HeadHunter, «Литрес», ЦИАН, Lamoda, «Магнит Маркет», «ВсеИнструменты.ру», «Гисметео», «Рамблер», «Лемана Про», «Туту», «Вкусвилл» и «Лента».

Наибольшее снижение аудитории отмечено у всей «большой тройки» маркетплейсов – Ozon, Wildberries & Russ и Яндекс Маркета. Самое заметное падение зафиксировано у Wildberries & Russ – на 5,4%. У Ozon количество посещений снизилось примерно на 1%.

Похожее снижение зафиксировано у Сбербанка и VK. При этом в пресс-службе VK сообщили РБК, что по сравнению с апрелем 2025 года аудитория выросла почти на 2%. У остальных ресурсов заметного снижения числа посетителей не отмечено.

В Mediascope при этом признали, что данные «могут быть подвержены влиянию различных внешних факторов и содержать незначительные статистические колебания».

Партнёр Exectica Capital Алексей Замесов в комментарии отметил, что важнее оценивать не общее снижение аудитории, а action-трафик – число пользователей, которые в итоге совершают покупки. По некоторым данным, у отдельных селлеров снижение этого показателя могло достигать 30%.

Генеральный директор TelecomDaily Денис Кусков назвал снижение посещаемости «ожидаемым». По его словам, ограничения для пользователей VPN создают ощутимые неудобства, и компенсировать их можно только за счёт других сценариев взаимодействия с сервисами.

RSS: Новости на портале Anti-Malware.ru