Атаки PhantomCore в 2025-м: самописный бэкдор и приманка-договор

Атаки PhantomCore в 2025-м: самописный бэкдор и приманка-договор

Атаки PhantomCore в 2025-м: самописный бэкдор и приманка-договор

Эксперты из департамента киберразведки компании F6 рассказали о новых атаках группировки PhantomCore, которые произошли в мае этого года. Они также нашли следы деятельности этой же группы, датированные 2022 годом, о которых ранее ничего не было известно.

Специалисты проследили, как со временем менялись инструменты и цели атак: если изначально злоумышленники занимались кражей, повреждением и уничтожением данных, то ближе к 2024 году они переключились на шифрование инфраструктуры и вымогательство денег.

PhantomCore нацелена в основном на российские и белорусские компании. Впервые её активность зафиксировали в 2024 году. Отличительная черта этой группировки — использование самописных программ.

Судя по их количеству и разнообразию, у PhantomCore есть команда разработчиков, которая регулярно совершенствует инструменты и отслеживает новые уязвимости.

Во время анализа инфраструктуры PhantomCore специалисты F6 нашли пересечения в регистрационных данных доменов. Это позволило выявить дополнительные ресурсы и связанные с ними образцы вредоносных файлов, датируемые 2022 годом.

Тогда группа распространяла файл VALIDATOR.msi, в котором находились троян StatRAT и исполняемый файл-приманка, маскирующийся под легитимную утилиту «Валидатор 1.0» для проверки сетей на соответствие федеральному закону. StatRAT позволял выполнять команды с управляющего сервера, извлекать данные и удалять файлы на заражённой системе.

 

В 2025 году PhantomCore продолжила дорабатывать свои инструменты и переписывать их на разные языки программирования. 5 мая благодаря системе почтовой защиты F6 удалось выявить и заблокировать вредоносные рассылки, которые связали с этой группой. Письма с темой «Документы на рассмотрение (повторно)» пришли с трёх, вероятно, взломанных доменов. Получателями стали организации из промышленного сектора, энергетики и ЖКХ.

Во вложении находился архив с названием «Документы_на_рассмотрение.zip». Внутри — PDF-файл с договором между двумя компаниями и исполняемый файл, который оказался обновлённой версией бэкдора PhantomCore под названием PhantomeCore.GreqBackdoor v.2.

PT Data Security 1.5 научилась искать уязвимости в базах данных

Компания Positive Technologies представила версию 1.5 платформы PT Data Security, предназначенной для инвентаризации, классификации и контроля безопасности данных. Главное нововведение релиза — появление инструментов для поиска известных уязвимостей, ошибок конфигурации и небезопасных настроек в хранилищах данных.

Платформа теперь может выявлять избыточные привилегии пользователей и другие факторы, которые потенциально повышают риск компрометации информации.

Разработчики отмечают, что это позволяет не только находить критически важные данные, но и оценивать уровень защищённости самих систем хранения. Например, специалисты по ИБ смогут быстрее определить, какие проблемы стоит устранять в первую очередь, если речь идёт о базах с персональными, финансовыми или другими чувствительными сведениями.

В новой версии также появилась поддержка СУБД Oracle. Для таких систем PT Data Security может проводить инвентаризацию данных, их классификацию и анализировать риски, связанные с расширенными правами доступа к критически важным таблицам. Поддержка Oracle может оказаться востребованной в крупных организациях, где эта СУБД по-прежнему широко используется.

Параллельно расширились возможности работы с PostgreSQL. Платформа получила функции анализа конфигурации и поиска слабых мест для версий PostgreSQL от 9.0 до актуальной ветки 18.

Среди других изменений — поддержка Astra Linux 1.8, которая активно используется в государственных структурах и крупных компаниях, а также обновлённая система настройки правил и политик безопасности. По словам разработчиков, она должна упростить адаптацию платформы под внутренние процессы и требования конкретной организации.

В Positive Technologies заявили, что версия 1.5 полностью соответствует плану развития продукта на первое полугодие 2026 года. Следующий этап развития платформы компания планирует формировать на основе запросов клиентов и тенденций рынка защиты данных.

RSS: Новости на портале Anti-Malware.ru