Кибератаки на бизнес в России: DarkGaboon использует фишинг и омоглифы

Кибератаки на бизнес в России: DarkGaboon использует фишинг и омоглифы

Кибератаки на бизнес в России: DarkGaboon использует фишинг и омоглифы

Исследователи из компании F6 проанализировали активность киберпреступной группы room155, также известной как DarkGaboon и Vengeful Wolf. По их данным, злоумышленники начали атаки на российские компании как минимум с декабря 2022 года — раньше, чем предполагалось ранее.

Первые публичные упоминания об этой группировке появились в 2025 году благодаря работе специалистов Positive Technologies.

Команда F6 изучила материалы на основе данных своей платформы киберразведки и выявила новые детали. В частности, удалось расширить временные рамки активности группы, уточнить список отраслей, по которым велись атаки, и описать недавние инциденты, произошедшие в мае-июне 2025 года.

Что известно о действиях room155:

Злоумышленники рассылают фишинговые письма с архивами во вложениях. Внутри — вредоносная программа и документ-приманка, часто скачанный с легитимных российских сайтов, связанных с финансовой тематикой.

Ранее фиксировались случаи распространения Revenge RAT и XWorm, но в арсенале группы есть и другие инструменты: Stealerium, DarkTrack, DCRat, AveMaria RAT, VenomRAT.

В одном и том же заражённом окружении нередко встречаются разные типы вредоносных программ, использующие одни и те же управляющие сервера. Злоумышленники подписывают вредоносные исполняемые файлы поддельными сертификатами X.509, а в названиях файлов и темах писем используют омоглифы — символы, которые выглядят похоже, но имеют разный код.

Кого атакуют:

Большинство атак room155 направлено на финансовые организации (51%). Также в списке целей — компании из сфер транспорта (16%), ретейла (10%), промышленности и логистики (по 7%), строительства и ЖКХ (3%), медицины, туризма и ИТ (по 2%).

Почему room155?

Имя «room155» исследователи взяли из названия почтовых аккаунтов, которые использовались злоумышленниками для связи с жертвами. Позже они зарегистрировали и домен с этим же сочетанием.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

19-летнего британца обвинили в атаках Scattered Spider на суды США

Минюст США раскрыл обвинения против 19-летнего жителя Восточного Лондона Талхи Джубайра. По версии следствия, он причастен как минимум к 120 кибератакам, в том числе на систему судов США. Общий ущерб оценивается более чем в $115 млн.

Джубайра арестовали 17 сентября в его доме, сообщило Национальное агентство по борьбе с преступностью (NCA).

В тот же день в Лондоне перед судом предстал и его предполагаемый сообщник — 18-летний Оуэн Флауэрс. Их обвиняют в атаке на ИТ-систему Transport for London в 2024 году, после которой транспортное ведомство несколько месяцев восстанавливало работу.

По данным NCA, за атакой стояла группировка Scattered Spider — англоязычная команда молодых хакеров, известная агрессивными методами социальной инженерии и связями с криминальным сообществом «the Com».

Что известно о действиях Джубайра:

  • В июле 2024 года ФБР изъяло серверы, которые, как утверждается, он контролировал. Там нашли следы взлома более 120 компаний, включая 47 в США.
  • Среди жертв был объект критической инфраструктуры в Нью-Джерси, а также сама система судов США.
  • В январе 2025 года хакеры через техподдержку получили доступ к трем аккаунтам, включая учетку федерального судьи. С их помощью искали данные о Scattered Spider и даже отправили фальшивый запрос в финкомпанию, чтобы выманить пользовательские данные.
  • На сервере обнаружили криптокошелёк примерно с $36 млн, из которых $8,4 млн удалось вывести уже в момент изъятия.

Сейчас оба подростка находятся под арестом, их ждёт новое судебное заседание. Будет ли США добиваться экстрадиции Джубайра, пока неизвестно.

Ранее мы писали, что в США вынесли приговор одному из ключевых участников кибергруппы Scattered Spider — 25-летнему Ноа Майклу Урбану. Суд назначил ему 10 лет лишения свободы и обязал выплатить $13 млн компенсации жертвам.

А в апреле суд Флориды заслушал заявление Ноя Урбана (Noah Michael Urban) о признании вины в рамках двух уголовных дел о коллективной краже криптовалюты через фишинг (второе с тем же фигурантом рассматривают в Калифорнии).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru