Атаки PhantomCore в 2025-м: самописный бэкдор и приманка-договор

Атаки PhantomCore в 2025-м: самописный бэкдор и приманка-договор

Атаки PhantomCore в 2025-м: самописный бэкдор и приманка-договор

Эксперты из департамента киберразведки компании F6 рассказали о новых атаках группировки PhantomCore, которые произошли в мае этого года. Они также нашли следы деятельности этой же группы, датированные 2022 годом, о которых ранее ничего не было известно.

Специалисты проследили, как со временем менялись инструменты и цели атак: если изначально злоумышленники занимались кражей, повреждением и уничтожением данных, то ближе к 2024 году они переключились на шифрование инфраструктуры и вымогательство денег.

PhantomCore нацелена в основном на российские и белорусские компании. Впервые её активность зафиксировали в 2024 году. Отличительная черта этой группировки — использование самописных программ.

Судя по их количеству и разнообразию, у PhantomCore есть команда разработчиков, которая регулярно совершенствует инструменты и отслеживает новые уязвимости.

Во время анализа инфраструктуры PhantomCore специалисты F6 нашли пересечения в регистрационных данных доменов. Это позволило выявить дополнительные ресурсы и связанные с ними образцы вредоносных файлов, датируемые 2022 годом.

Тогда группа распространяла файл VALIDATOR.msi, в котором находились троян StatRAT и исполняемый файл-приманка, маскирующийся под легитимную утилиту «Валидатор 1.0» для проверки сетей на соответствие федеральному закону. StatRAT позволял выполнять команды с управляющего сервера, извлекать данные и удалять файлы на заражённой системе.

 

В 2025 году PhantomCore продолжила дорабатывать свои инструменты и переписывать их на разные языки программирования. 5 мая благодаря системе почтовой защиты F6 удалось выявить и заблокировать вредоносные рассылки, которые связали с этой группой. Письма с темой «Документы на рассмотрение (повторно)» пришли с трёх, вероятно, взломанных доменов. Получателями стали организации из промышленного сектора, энергетики и ЖКХ.

Во вложении находился архив с названием «Документы_на_рассмотрение.zip». Внутри — PDF-файл с договором между двумя компаниями и исполняемый файл, который оказался обновлённой версией бэкдора PhantomCore под названием PhantomeCore.GreqBackdoor v.2.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

На Госуслугах появилась функция «Доверенный контакт» для защиты аккаунта

Главное правило безопасности на Госуслугах остаётся прежним — никогда и никому не сообщайте свои логин, пароль и коды подтверждения входа. Но теперь у пользователей появилась ещё одна защита — функция «Доверенный контакт», которая поможет обезопасить ваш аккаунт от мошенников.

Это может быть, например, родственник или близкий друг. Он не получит доступ к вашему кабинету и не сможет что-то менять от вашего имени.

Но если вы, скажем, забудете пароль и решите его восстановить, — на телефон доверенного человека придёт дополнительный код подтверждения. Это добавляет лишний уровень защиты и снижает риск взлома.

Как подключить доверенный контакт:

  1. Войдите в личный кабинет на Госуслугах.
  2. Откройте раздел «Безопасность» и выберите пункт «Доверенный контакт».
  3. Нажмите «Добавить» и укажите данные человека:
    • имя (без отчества и фамилии),
    • номер телефона, привязанный к его учётной записи на Госуслугах — именно на него будут приходить СМС-коды.
  4. Отправьте приглашение. Оно появится в личном кабинете вашего доверенного лица.
    Если человек не успеет подтвердить запрос — просто отправьте его снова.
  5. После принятия приглашения информация о доверенном контакте появится у вас в профиле.
    Теперь при восстановлении доступа к аккаунту код сначала уйдёт ему.

Функция доступна всем пользователям старше 14 лет. Добавить можно только одного доверенного человека, но сам доверенный может помогать до пяти пользователям.

Требования к доверенному контакту:

  • возраст — от 18 лет;
  • гражданство Российской Федерации;
  • подтверждённая учётная запись на Госуслугах;
  • указанные в профиле паспортные данные и актуальный номер телефона.

Если захотите — доверенного контакт можно отключить или заменить на другого в любое время прямо в личном кабинете.

«Доверенный контакт» — это простой способ добавить ещё один уровень защиты и обезопасить себя от мошенников. Особенно полезно тем, кто переживает, что аккаунт могут взломать или перехватить СМС-код.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru