Кибершпионаж в России растёт: почти каждая третья атака — ради разведки

Кибершпионаж в России растёт: почти каждая третья атака — ради разведки

Кибершпионаж в России растёт: почти каждая третья атака — ради разведки

В первой половине 2025 года шпионаж стал главной целью почти каждой третьей кибератаки, на долю таких инцидентов пришлось 36%. Для сравнения: в 2023 году этот показатель составлял всего 15%, а к концу 2024 года вырос до 21%. Теперь — уже 36%, и это рекорд.

По данным BI.ZONE, 45% кибергруппировок, которые атакуют российские организации, ориентированы именно на разведку.

Главные цели — госсектор, инженерная отрасль и ИТ. Только на госорганы пришлось почти 30% всех шпионских атак с января по июнь. Инженерные компании — 13%, ИТ — 8%.

При этом растёт не только шпионаж, но и хактивизм. Если в 2024 году только 14% атак были идеологически мотивированными, то в 2025 — уже 20%. То есть каждая пятая.

По словам Олега Скулкина, руководителя направления Threat Intelligence в BI.ZONE, кибершпионы — это далеко не случайные хакеры. Это высококвалифицированные группы, которые используют собственные вредоносные инструменты, модифицируют чужие, подстраиваются под конкретные инфраструктуры и стараются оставаться незаметными как можно дольше. После этого они ещё и усложняют работу исследователей, чтобы максимально скрыть свои следы.

Тем не менее, несмотря на рост шпионажа и хактивизма, главная цель большинства атак остаётся прежней — деньги. Финансово мотивированные атаки всё так же охватывают любые отрасли и компании, вне зависимости от их профиля.

Шпионы PhantomCore просят российский бизнес одобрить ТЗ на пожаротушение

В этом месяце специалисты F6 зафиксировали новые атаки кибергруппы PhantomCore по имейл. Вредоносные письма, разосланные в российские компании, предлагали ознакомиться с ТЗ на создание и тестирование системы пожаротушения.

Рассылка проводилась на адреса организаций разного профиля и затронула такие сферы, как ЖКХ, финансы, муниципальные услуги, аэрокосмическая отрасль, химическая промышленность, строительство, B2C, производство потребительских товаров, ретейл.

Для отправки провокационных посланий PhantomCore использовала легитимные адреса имейл — по всей видимости, результат компрометации аккаунтов.

 

Анализ показал, что вложенный ZIP содержит два файла:

  • ТЗ на согласование сб 54 от 19.01.26.doc;
  • ТЗ на согласование сб 54 от 19.01.26.docx.lnk.

Первый на поверку оказался RAR-архивом, в котором сокрыта одноименная папка с файлами реального документа. Вредоносный LNK при активации выполняет cmd-команду на загрузку по URL скрипта PowerShell и запуск его на исполнение.

Этот сценарий предусматривает загрузку и отображение документа-приманки в формате .docx.

 

Скрипт также скачивает с взломанного хоста исполняемый в памяти PowerShell-бэкдор — вариант PhantomRemote. Для его закрепления в системе в планировщике Windows создается задача на ежедневный запуск зловреда с интервалом в 61 с.

В ходе исследования эксперты суммарно обнаружили десять RU-ресурсов с вредоносными скриптами второй стадии атаки.

В Positive Technologies тоже отслеживают шпионские атаки PhantomCore на территории России и обнаружили, что половина инфраструктуры этой кибергруппы расположена за рубежом.

RSS: Новости на портале Anti-Malware.ru