Кибератаки на бизнес в России: DarkGaboon использует фишинг и омоглифы

Кибератаки на бизнес в России: DarkGaboon использует фишинг и омоглифы

Кибератаки на бизнес в России: DarkGaboon использует фишинг и омоглифы

Исследователи из компании F6 проанализировали активность киберпреступной группы room155, также известной как DarkGaboon и Vengeful Wolf. По их данным, злоумышленники начали атаки на российские компании как минимум с декабря 2022 года — раньше, чем предполагалось ранее.

Первые публичные упоминания об этой группировке появились в 2025 году благодаря работе специалистов Positive Technologies.

Команда F6 изучила материалы на основе данных своей платформы киберразведки и выявила новые детали. В частности, удалось расширить временные рамки активности группы, уточнить список отраслей, по которым велись атаки, и описать недавние инциденты, произошедшие в мае-июне 2025 года.

Что известно о действиях room155:

Злоумышленники рассылают фишинговые письма с архивами во вложениях. Внутри — вредоносная программа и документ-приманка, часто скачанный с легитимных российских сайтов, связанных с финансовой тематикой.

Ранее фиксировались случаи распространения Revenge RAT и XWorm, но в арсенале группы есть и другие инструменты: Stealerium, DarkTrack, DCRat, AveMaria RAT, VenomRAT.

В одном и том же заражённом окружении нередко встречаются разные типы вредоносных программ, использующие одни и те же управляющие сервера. Злоумышленники подписывают вредоносные исполняемые файлы поддельными сертификатами X.509, а в названиях файлов и темах писем используют омоглифы — символы, которые выглядят похоже, но имеют разный код.

Кого атакуют:

Большинство атак room155 направлено на финансовые организации (51%). Также в списке целей — компании из сфер транспорта (16%), ретейла (10%), промышленности и логистики (по 7%), строительства и ЖКХ (3%), медицины, туризма и ИТ (по 2%).

Почему room155?

Имя «room155» исследователи взяли из названия почтовых аккаунтов, которые использовались злоумышленниками для связи с жертвами. Позже они зарегистрировали и домен с этим же сочетанием.

Старое сообщение выбило Telegram из App Store: Дуров обвинил вымогателя

Павел Дуров (внесён в перечень террористов и экстремистов Росфинмониторинга) объяснил временное исчезновение Telegram из App Store атакой вымогателя. По его версии, злоумышленник отредактировал старое сообщение в публичной группе и добавил туда незаконный контент, предварительно изменённый с помощью ИИ.

Трюк позволил спрятать публикацию от участников активного чата: пользователи её практически не видели и не могли пожаловаться модераторам.

Зато сам автор оперативно отправил жалобу Apple. Компания обнаружила материалы с сексуальным насилием над детьми (CSAM) и удалила Telegram из магазина приложений.

По словам Дурова, за атакой стоял вымогатель, который требует деньги у владельцев публичных групп, угрожая подбросить запрещённые материалы и пожаловаться Apple. Для этого используются автоматизированные аккаунты и технические уловки, способные обойти привычные фильтры модерации.

Telegram и экспериментальный Telegram X пропали из App Store утром 4 августа сразу в нескольких странах, включая Россию, Турцию и США. Примерно через полтора часа приложения вернулись. Всё это время у части пользователей не работали пуш-уведомления на iOS. Версии для macOS и Android инцидент не затронул.

Apple заявила, что восстановила приложения после того, как Telegram удалил запрещённый материал и заблокировал распространившего его пользователя. Дуров, однако, возмутился тем, что корпорация сначала нажала красную кнопку и только потом стала разбираться: перед удалением мессенджера с его администрацией якобы никто не связался.

Основатель Telegram предупредил, что такой механизм опасен для любых платформ с пользовательским контентом. Получается удобная схема: спрятать запрещённый материал, самому же пожаловаться и устроить приложению внезапный вылет из App Store.

Telegram призвал Apple одинаково строго проверять жалобы на все приложения.

RSS: Новости на портале Anti-Malware.ru