Хакеры шпионили за российским ведомством с помощью уникального зловреда

Хакеры шпионили за российским ведомством с помощью уникального зловреда

Хакеры шпионили за российским ведомством с помощью уникального зловреда

Эксперты центра исследования киберугроз Solar 4RAYS ГК «Солар» обнаружили зловред GoblinRAT в ходе расследования кибератак на целый ряд организаций, включая госструктуры и обслуживающие их ИТ-компании.

Вредоносная программа с широким набором функций для маскировки позволяла полностью контролировать захваченную ИТ-инфраструктуру.

Впервые эксперты Solar 4RAYS обнаружили GoblinRAT в 2023 году в ходе расследования инцидента в одной из ИТ-компаний, которая обсуживала госучреждения. Штатные ИБ-специалисты обнаружили, что уничтожены логи на одном из серверов, а также загрузку приложения для кражи паролей с контроллера домена.

В ходе расследования эксперты Solar 4RAYS обнаружили зловред, который маскировался под легитимное приложение. Название процессов отличались всего на одну букву. Анализ выявил, что у GoblinRAT нет функций автоматического закрепления.

Всякий раз злоумышленники тщательно изучали особенности целевой инфраструктуры и лишь после этого внедряли вредонос под уникальной маскировкой: под видом одного из приложений, работающих на конкретной атакуемой системе.

Высокий уровень технической подготовки злоумышленников позволил им оставаться незамеченными в течение нескольких лет. Первые индикаторы компрометации датированы 2020 годом.

GoblinRAT был обнаружен в четырех организациях, и в каждой из них атакующие смогли получить полный контроль над целевой инфраструктурой. Злоумышленники располагали удаленным доступом с правами администратора ко всем сегментам сети.

Эксперты Solar 4RAYS нашли свидетельства, указывающие, что как минимум в одной из атакованных инфраструктур злоумышленники имели такой доступ в течение трех лет, а самая «непродолжительная» атака операторов GoblinRAT длилась около шести месяцев.

По итогам расследования эксперты Solar 4RAYS сформировали индикаторы компрометации, которые помогут компаниям обнаружить GoblinRAT. Также разработан инструмент для поиска вредоносной активности.

«Благодаря обнаруженным артефактам мы смогли проследить историю развития GoblinRAT с 2020 года, однако нам не удалось обнаружить широкого распространения вредоноса. Более того, наши коллеги из других ИБ-компаний с глобальными сетями сенсоров не обнаружили ничего похожего в своих коллекциях. Ключевым вопросом остается атрибуция атаки: артефактов, указывающих на происхождение ВПО, не обнаружено. Подобных инструментов не демонстрировали ни азиатские, ни восточноевропейские группировки, ни группировки из других регионов. Очевидно только, что для создания и использования GoblinRAT злоумышленники должны обладать очень высоким уровнем профессионализма и быть хорошо замотивированными. Те атаки, что мы расследовали, требовали тщательной предварительной подготовки и большого количества “ручной” работы», — отметил инженер группы расследования инцидентов центра исследования киберугроз Solar 4RAYS Константин Жигалов.

На BI.ZONE Days 2026 озвучили планы по развитию продуктового портфеля

BI.ZONE в 2025 году завершила переход к платформенному подходу и объединила более 40 продуктов и сервисов в единую экосистему кибербезопасности. О дальнейших планах компания рассказала на ежегодном мероприятии BI.ZONE Days 2026. Одним из ключевых направлений станет развитие платформы защиты конечных точек.

Сейчас она строится на базе BI.ZONE EDR, а к концу 2027 года должна закрывать весь цикл работы с атакой: от сокращения поверхности атаки до поиска следов ранней компрометации и реагирования на инциденты.

Для этого в BI.ZONE EDR внедряются антивирусные технологии NANO Security, которую компания приобрела в 2025 году. Кодовая база уже интегрирована в процессы разработки, также завершён перенос инфраструктуры антивирусной лаборатории.

По словам директора по продуктам BI.ZONE Теймура Хеирхабарова, обновлённый BI.ZONE EDR с антивирусным ядром планируется представить в III квартале 2026 года. До конца года компания также рассчитывает получить сертификат ФСТЭК и встроить антивирусное ядро в BI.ZONE Sandbox и BI.ZONE Mail Security. В дальнейшем эти технологии планируют использовать и в платформе сетевой безопасности на базе BI.ZONE SD-WAN.

 

Параллельно BI.ZONE развивает направление vulnerability management. Речь идёт не только о поиске уязвимостей в ОС и приложениях, но и о проверке контейнеров. Также в продукты защиты конечных точек будут добавлять возможности сбора forensic-артефактов и автоматической оценки инфраструктуры на признаки компрометации.

Ещё одно важное направление — сетевая безопасность. BI.ZONE продолжит развивать платформу на базе BI.ZONE Secure SD-WAN. До конца III квартала 2026 года компания планирует заметно повысить производительность функций межсетевого экрана — до 270 Гбит/с — за счёт собственной реализации Data Plane. Также на 2026 год запланирован релиз со встроенным DPI-движком собственной разработки. На его базе появятся функции IDS/IPS и L7-фильтрации.

На BI.ZONE Days 2026 также объявили о подготовке BI.ZONE WAF 2.0. Это новая платформа защиты веб-приложений с архитектурой, рассчитанной на многоуровневую обработку трафика и интеграцию с другими инструментами безопасности. Бета-релиз для пилотных внедрений ожидается в III квартале 2026 года.

Кроме того, в конце 2026 года первая версия BI.ZONE Sandbox должна стать доступна в составе BI.ZONE EDR. Компания также рассказала об обновлениях в продуктах классов PAM, SGRC, ZTNA и в решении BI.ZONE Mail Security.

Отдельный акцент BI.ZONE сделала на искусственном интеллекте. В 2026 году компания планирует переводить отдельные решения в формат agentic-продуктов — систем, где часть задач выполняют ИИ-агенты. Цель — постепенно прийти к более автономной платформе кибербезопасности, которая сможет быстрее реагировать на новые угрозы, но останется под контролем специалистов.

ИИ-агенты уже используются в ряде продуктов и сервисов BI.ZONE. Например, в BI.ZONE TDR около 40% подозрений на инциденты уже обрабатываются автоматически. К концу 2026 года этот показатель планируют увеличить до 60% за счёт мультиагентной архитектуры.

Также до конца года пользователям BI.ZONE Threat Intelligence должен стать доступен чат-бот для работы с данными об угрозах. ИИ в платформе будут использовать для обогащения данных и подготовки дополнительного контента на основе открытых и закрытых источников. А в 2027 году BI.ZONE планирует представить AI Pentest — платформу для автоматического анализа защищённости и непрерывного тестирования на проникновение.

RSS: Новости на портале Anti-Malware.ru