Сложная кампания кибератак, приписываемая группе Advanced Persistent Threat (APT), известной как Librarian Ghouls (также Rare Werewolf и Rezet), активно нацелена на российские и СНГ-организации. Группа использует легитимное стороннее программное обеспечение для установления удаленного доступа, кражи учетных данных и развертывания майнеров криптовалюты XMRig, затрагивая сотни промышленных предприятий и инженерных школ.
Ключевые выводы
-
Сложный фишинг: Librarian Ghouls использует очень убедительные фишинговые электронные письма, адаптированные для русскоязычных целей.
-
Злоупотребление легитимным программным обеспечением: Определяющей характеристикой является широкое использование легитимных сторонних инструментов, что затрудняет обнаружение и атрибуцию.
-
Скрытые операции: Запланированные времена пробуждения и выключения предназначены для скрытия их действий от пользователей.
-
Двойная цель: Группа стремится как к краже данных (учетные данные, криптокошельки), так и к финансовой выгоде через криптоджекинг.
-
Продолжающаяся угроза: Кампания остается активной, с постоянным совершенствованием тактики и инструментов, наблюдаемым исследователями кибербезопасности.
Librarian Ghouls: Постоянная угроза
Rare Werewolf активна как минимум с 2019 года, постоянно фокусируясь на организациях в России и Содружестве Независимых Государств (СНГ). Их операции, которые продолжались до мая 2025 года, в основном нацелены на промышленные предприятия и инженерные вузы, при этом некоторые жертвы также были зарегистрированы в Беларуси и Казахстане. Тактика группы предполагает потенциальную хактивистскую мотивацию, характеризующуюся их зависимостью от легкодоступного, легитимного программного обеспечения, а не от специально разработанного вредоносного ПО.
Модус операнди: Фишинг и легитимные инструменты
Первоначальным вектором заражения для Librarian Ghouls являются высокоцелевые фишинговые электронные письма. Эти письма, часто составленные на русском языке и содержащие русскоязычные имена файлов и приманки, маскируются под официальные сообщения или платежные поручения. Они включают защищенные паролем архивы, содержащие вредоносные исполняемые файлы. Как только жертва открывает эти файлы, запускается сложная цепочка заражения:
-
Начальная полезная нагрузка: Установщик, часто созданный с помощью Smart Install Maker, развертывает легитимное программное обеспечение, такое как 4t Tray Minimizer, чтобы скрыть свое присутствие.
-
Удаленный доступ и эксфильтрация данных: Промежуточные полезные нагрузки извлекают дополнительные инструменты с удаленных серверов, включая:
-
AnyDesk: Для удаленного управления скомпрометированными машинами.
-
Blat: Утилита для отправки украденных данных по SMTP.
-
Defender Control: Для отключения Защитника Windows.
-
Настроенный WinRAR 3.80: Для сжатия данных.
-
WebBrowserPassView: Для кражи учетных данных, хранящихся в браузере.
-
Mipko Personal Monitor: Для мониторинга жертв, включая скриншоты и нажатия клавиш.
-
ngrok: Для безопасных сетевых подключений.
-
NirCmd: Для скрытого выполнения скриптов.
-
-
Запланированные операции: Злоумышленники программируют зараженные устройства на пробуждение в 1 час ночи и выключение в 5 часов утра по местному времени. Это четырехчасовое окно позволяет им проводить свои действия, такие как кража данных и криптомайнинг, минимизируя подозрения пользователя.
-
Кража данных: Группа специально нацелена на:
-
Учетные данные криптовалютных кошельков и сид-фразы.
-
Дампы ключей реестра HKLM\SAM и HKLM\SYSTEM.
-
-
Майнинг криптовалюты: После эксфильтрации данных устанавливается майнер криптовалюты XMRig. Майнер настраивается на основе информации о системе жертвы (ядра ЦП, ОЗУ, ГП) для оптимизации операций майнинга.
Организациям в России и странах СНГ настоятельно рекомендуется усилить свои меры кибербезопасности, внедрить надежные меры безопасности электронной почты и обучать сотрудников угрозам фишинга, чтобы снизить риски, исходящие от этой развивающейся группы APT.
Источники
-
APT-группа Rare Werewolf использует легитимное программное обеспечение в атаках на сотни российских предприятий, The Hacker News.
-
Группа хакеров Librarian Ghouls взламывает сотни устройств для майнинга криптовалюты, Cointelegraph.
-
APT-группа 'Librarian Ghouls' нацелена на организации, GBHackers News.
-
APT-группа Librarian Ghouls проводит атаки с кражей данных и развертыванием криптомайнера, Securelist.
-
Группа хакеров Rare Werewolf захватывает российские устройства для майнинга криптовалюты и кражи данных, Crypto News.
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.