Trzy grupy cyberzagrożeń atakują rosyjskie firmy: backdoory, ransomware i destrukcyjne wipery

securitybeztabu.pl 1 dzień temu

Wprowadzenie do problemu / definicja

Rosyjskie przedsiębiorstwa znalazły się w centrum skoordynowanych operacji prowadzonych przez co najmniej trzy odrębne grupy zagrożeń: NightEagle, Hacking Cat oraz Toy Ghouls. Choć każda z nich stosuje inne narzędzia i techniki, wspólnym celem pozostaje uzyskanie trwałego dostępu do infrastruktury ofiary, poruszanie się lateralne w sieci oraz realizacja działań szpiegowskich, finansowych lub destrukcyjnych.

Analizowana aktywność dobrze pokazuje, iż współczesny krajobraz zagrożeń coraz częściej łączy cechy klasycznych operacji APT z ransomware, hacktywizmem i malware typu wiper. Dla organizacji oznacza to konieczność jednoczesnej ochrony tożsamości, serwerów komunikacyjnych, środowisk domenowych i systemów kopii zapasowych.

W skrócie

NightEagle uzyskuje dostęp przez przejęte poświadczenia VPN i wdraża backdoora GhostContainer na serwerach Microsoft Exchange.
Hacking Cat wykorzystuje podatności Exchange do instalacji Gorilla RAT oraz wielowariantowego ransomware Monkey, którego część wersji ma charakter destrukcyjny.
Toy Ghouls rozwija własne zaplecze malware i używa niestandardowego backdoora Bird Agent z komunikacją C2 opartą na MQTT lub Matrix.
Wspólnym mianownikiem kampanii są utrzymanie dostępu, ruch lateralny, eskalacja uprawnień oraz ataki na krytyczne zasoby organizacji.

Kontekst / historia

NightEagle pozostaje aktywny co najmniej od 2023 roku i był wcześniej łączony z ukierunkowanymi operacjami przeciwko organizacjom o wysokiej wartości. W najnowszych incydentach grupa rozwija techniki persystencji i przejmowania infrastruktury, szczególnie w środowiskach opartych na Microsoft Exchange oraz Active Directory.

Hacking Cat pojawił się w 2024 roku i początkowo kojarzono go głównie z działalnością hacktywistyczną, taką jak defacementy i naruszenia danych. Z czasem grupa rozszerzyła aktywność o szyfrowanie systemów i działania o charakterze destrukcyjnym, co zaciera granicę między wymuszeniem finansowym a sabotażem.

Toy Ghouls to z kolei grupa motywowana finansowo, aktywna od 2025 roku. Jej rozwój od korzystania z publicznie dostępnych konstruktorów ransomware do własnych narzędzi wskazuje na rosnącą dojrzałość operacyjną i większe wyzwania dla zespołów detekcji.

Analiza techniczna

NightEagle najczęściej rozpoczyna działania od wykorzystania legalnych, przejętych poświadczeń do dostępu VPN. Po wejściu do środowiska operatorzy wdrażają GhostContainer, modułowy backdoor zapewniający zdalne wykonywanie kodu, operacje na plikach i możliwość doładowywania kolejnych komponentów. Malware maskuje się pod typowe elementy serwerowe, co utrudnia jego wykrycie podczas rutynowego monitoringu.

Istotnym elementem łańcucha ataku jest także manipulowanie mechanizmami aplikacyjnymi i parametrem VIEWSTATE w środowisku ASP.NET, co pozwala uruchamiać ładunki bezpośrednio w pamięci. Następnie grupa wykorzystuje tunele sieciowe oraz RDP do ruchu lateralnego, a w dalszej fazie nadużywa słabości Active Directory, w tym technik takich jak DCSync, w celu pozyskania hashy haseł i przejęcia kontrolerów domeny.

Hacking Cat działa inaczej, koncentrując się na wykorzystaniu podatności w Microsoft Exchange do dostarczenia Gorilla RAT, zdalnego trojana napisanego w Go. Malware pozwala operatorom wykonywać polecenia, zbierać informacje o systemie, przeglądać procesy, przesyłać pliki i tworzyć tunele TCP do dalszej eksploatacji środowiska.

Ważnym komponentem tych operacji jest rodzina Monkey ransomware, występująca w wariantach napisanych w Rust, . NET, C++ oraz Go. Oprogramowanie atakuje systemy Windows, Linux i VMware ESXi, a jego funkcje obejmują podnoszenie uprawnień, wyłączanie mechanizmów odzyskiwania, usuwanie kopii zapasowych oraz ograniczanie działania zabezpieczeń. Część wariantów działa w praktyce jak wiper, ponieważ szyfrowanie lub nadpisywanie danych uniemożliwia ich skuteczne odzyskanie.

W kampaniach powiązanych z Hacking Cat obserwowano również inne destrukcyjne rodziny malware, w tym ClearWater oraz Nemo Wiper. Ten ostatni nadpisuje pliki losowymi danymi i dodatkowo zapełnia wolną przestrzeń dysku, co utrudnia odzyskanie danych i przyspiesza degradację środowiska po incydencie.

Toy Ghouls wdraża natomiast autorski backdoor Bird Agent w dwóch wariantach komunikacyjnych. Jeden wykorzystuje broker MQTT, a drugi komunikator oparty na protokole Matrix. Sam proces wdrożenia realizowany jest przez Windows Remote Management, często z użyciem narzędzi znanych z testów penetracyjnych i działań red teamowych.

Po uruchomieniu Bird Agent odczytuje konfigurację częściowo powiązaną z konkretnym hostem, zbiera informacje systemowe, pobiera polecenia z infrastruktury sterującej i wykonuje je przez PowerShell lub interpreter poleceń. Nietypowe kanały C2, takie jak MQTT i Matrix, mogą wtapiać się w zwykły ruch aplikacyjny, przez co prostsze mechanizmy filtrowania i reguły oparte na znanych wzorcach bywają niewystarczające.

Konsekwencje / ryzyko

Ryzyko dla organizacji jest wysokie, ponieważ kampanie nie kończą się na pojedynczym serwerze czy stacji roboczej. Atakujący dążą do przejęcia całej domeny, długoterminowej obecności w sieci oraz wyłączenia kluczowych mechanizmów odzyskiwania i monitoringu.

Szczególnie niebezpieczne jest połączenie ataku na Microsoft Exchange, ruchu lateralnego w Active Directory oraz działań wymierzonych w backupy, logi i mechanizmy odzyskiwania systemów. Taki zestaw technik może gwałtownie doprowadzić do incydentu obejmującego utratę dostępności usług, kompromitację danych uprzywilejowanych i trwałe uszkodzenie zasobów.

Dodatkowym problemem jest zacieranie granicy między ransomware a wiperem. Obecność notatki z żądaniem okupu nie musi już oznaczać realnej możliwości odzyskania danych, co komplikuje ocenę sytuacji i wybór ścieżki reagowania.

Rekomendacje

Organizacje powinny traktować serwery Microsoft Exchange, systemy zdalnego dostępu i infrastrukturę Active Directory jako aktywa krytyczne. W praktyce oznacza to konieczność wdrożenia wieloskładnikowego uwierzytelniania dla VPN i dostępu administracyjnego, regularnej rotacji poświadczeń uprzywilejowanych oraz ścisłej kontroli kont serwisowych.

Kluczowe pozostaje szybkie łatanie podatności w Exchange i systemach perymetrowych, a także monitorowanie prób nadużycia PowerShell, WinRM, VIEWSTATE, zadań harmonogramu oraz zmian rejestru związanych z persystencją. W środowiskach domenowych warto aktywnie wykrywać anomalie wskazujące na DCSync, nietypowe bilety Kerberos, tworzenie lokalnych kont administracyjnych i niestandardowy ruch RDP.

Wdrożyć MFA dla VPN, kont administracyjnych i uprzywilejowanych dostępu zdalnych.
Regularnie aktualizować Exchange, systemy brzegowe i komponenty katalogowe.
Monitorować PowerShell, WinRM, tunele sieciowe, MQTT oraz ruch oparty na Matrix.
Segmentować sieć i oddzielać strefy administracyjne od środowisk produkcyjnych.
Stosować zasadę least privilege dla kont technicznych i operacyjnych.
Chronić kopie zapasowe przez separację logiczną lub fizyczną oraz regularne testy odtworzeniowe.

Z perspektywy SOC konieczne jest rozszerzenie detekcji o mniej standardowe kanały komunikacji C2 i zachowania charakterystyczne dla niestandardowych backdoorów. Równie ważne jest przetestowanie planów ciągłości działania, ponieważ przy malware o cechach wipera sam backup nie wystarczy, jeżeli środowisko odzyskiwania opiera się na tej samej domenie i tych samych mechanizmach uwierzytelniania.

Podsumowanie

Aktywność NightEagle, Hacking Cat i Toy Ghouls pokazuje, iż współczesne operacje cybernetyczne coraz częściej łączą przejęcie tożsamości, trwałą persystencję, ruch lateralny w środowiskach domenowych oraz destrukcyjne ładunki ransomware i wiperów. To model ataku, który jednocześnie wspiera szpiegostwo, wymuszenia i sabotaż.

Dla obrońców najważniejszy wniosek jest jednoznaczny: skuteczna ochrona wymaga równoczesnego zabezpieczenia warstwy tożsamości, serwerów komunikacyjnych, narzędzi zdalnego zarządzania oraz procesów backupu i odtwarzania. Bez takiego podejścia choćby pojedyncza kompromitacja może bardzo gwałtownie przerodzić się w incydent o charakterze domenowym i destrukcyjnym.