Vortex Werewolf атакует ОПК через фейковые документы в Telegram

Vortex Werewolf атакует ОПК через фейковые документы в Telegram

Vortex Werewolf атакует ОПК через фейковые документы в Telegram

Специалисты BI.ZONE Threat Intelligence рассказали о серии целевых атак группировки Vortex Werewolf, зафиксированных в декабре 2025 — январе 2026 года. Под удар попали оборонно-промышленные предприятия и органы государственного управления. И начиналось всё максимально буднично — с сообщения в Telegram и «важных рабочих документов».

Атакующие рассылали жертвам ссылки, которые выглядели как обычное файловое хранилище Telegram.

Формулировки были правдоподобными: срочно, по работе, нужно ознакомиться. Но за внешне безобидной ссылкой скрывался многоходовый сценарий — с угоном телеграм-аккаунта и установкой зловреда на Windows-устройство.

По данным исследователей, чаще всего ссылку отправляли напрямую в Telegram, хотя не исключено, что в ряде случаев использовалась и электронная почта. После перехода по ссылке пользователь попадал на поддельный процесс «восстановления доступа» к аккаунту.

Его просили ввести код, полученный на другом устройстве, а при включённой двухфакторной аутентификации — ещё и облачный пароль. Всё это якобы было нужно, чтобы документ «открылся полностью».

На самом деле таким образом злоумышленники получали полный доступ к активной сессии Telegram: перепискам, контактам и сохранённым данным. Как поясняет руководитель BI.ZONE Threat Intelligence Олег Скулкин, угон аккаунтов даёт атакующим сразу несколько преимуществ.

Во-первых, контакты жертвы можно использовать для дальнейшего фишинга — причём уже от имени реального человека, что резко повышает доверие. Во-вторых, многие пользователи хранят в «Избранном» документы, ссылки на рабочие ресурсы и даже логины с паролями. Для шпионской группировки это настоящая находка.

Но на этом атака не заканчивалась. После ввода кодов на устройство жертвы загружался ZIP-архив. Внутри — файл, замаскированный под PDF-документ, и скрытая папка с ещё одним архивом, набитым служебными файлами. Открывая «документ», пользователь запускал вредоносный скрипт, который в итоге предоставлял атакующим удалённый доступ к системе.

Для скрытого управления заражённым устройством злоумышленники устанавливали OpenSSH и Tor. Первый — легитимный инструмент для безопасного удалённого подключения — использовался для связи с командным сервером, а весь трафик прогонялся через Tor, чтобы замаскировать соединение.

Основная цель Vortex Werewolf — шпионаж. Группировка активна как минимум с декабря 2024 года. Незадолго до атак на российские организации аналитики Cyble и Secrite обнаружили похожую кампанию, нацеленную на предприятия ОПК и госструктуры в Беларуси.

На этом фоне эксперты BI.ZONE отмечают и более широкий тренд: ранее специалисты BI.ZONE Digital Risk Protection зафиксировали резкий рост числа мошеннических доменов, созданных специально для угона аккаунтов Telegram. Фишинг по-прежнему остаётся главным вектором атак — и всё чаще он переезжает в мессенджеры.

Сотрудники против: 52% компаний буксуют с переходом на тонкие клиенты

Переход на тонкие клиенты в российских компаниях чаще всего тормозит вовсе не техника, а люди. По данным опроса среди зрителей и участников эфира AM Live «Тонкий клиент: инструмент создания цифровых корпоративных рабочих мест», 52% компаний не могут полноценно перейти на такую модель из-за сопротивления сотрудников, привыкших к обычным компьютерам.

На этом фоне особенно показательно выглядит другая цифра: только 25% компаний уже используют удалённые рабочие места через десктопы или тонкие клиенты.

Иначе говоря, три четверти по-прежнему опираются либо на офисные компьютеры, либо на добросовестность сотрудников, которые работают с собственных устройств. А это, как отмечали участники дискуссии, оставляет бизнес в довольно уязвимом положении: данные и учётные записи оказываются размазаны по множеству конечных точек, и каждая из них потенциально может стать входом в корпоративную сеть.

Идея тонких клиентов как раз в обратном: рабочее место у сотрудника есть, но сами данные и основные процессы остаются внутри защищённой инфраструктуры компании. Директор департамента управления продуктовым портфелем Getmobit Василий Шубин по этому поводу высказался довольно жёстко: когда сотрудникам разрешают работать с личных устройств, компания фактически перекладывает риск на конечного пользователя.

Впрочем, дело не только в привычках. Второй по популярности барьер — поддержка периферии, на неё пожаловались 46% опрошенных. Дальше причины идут уже с заметным отрывом: 32% считают проблемой высокую стоимость внедрения, 28% говорят о несовместимости приложений, 26% — о нехватке экспертизы у ИТ-команд, ещё 22% упомянули ограничения сети и каналов связи.

Некоторых экспертов такой высокий результат у пункта с периферией удивил, но в «Лаборатории Касперского» ничего необычного в этом не увидели. Старший менеджер по продукту Kaspersky Thin Client Михаил Левинский объяснил, что вопрос здесь упирается не только в сами устройства, но и в зрелость поддержки: у кого-то может быть старый монитор или нестандартная периферия, и важно, насколько быстро вендор готов на такие запросы реагировать. При этом, по его словам, сами операционные системы, конечно, должны нормально поддерживать проброс периферийных устройств.

Похожую мысль озвучили и в Uveon — Облачные технологии. Там обратили внимание, что часть проблем, которые пользователи приписывают именно тонким клиентам, на деле относится шире — к тому, как в компании вообще выстроена инфраструктура рабочих мест. Иными словами, не всё здесь упирается в «железку»: многое решается на уровне софта и архитектуры.

При этом в обсуждении прозвучала и осторожно позитивная нота. Генеральный директор «АМ Медиа» Илья Шабанов заметил, что заметно сократилась доля тех, кто считает главным препятствием именно стоимость внедрения. Это может говорить о том, что рынок таких решений в России постепенно взрослеет, а сами технологии перестают восприниматься как что-то слишком дорогое и экзотическое.

RSS: Новости на портале Anti-Malware.ru