Російські хакери два місяці залишалися непоміченими в мережі оборонного підприємства НАТО

21 жовтня 2026 р. 13:40

21 жовтня 2026 р. 13:40

Російське хакерське угруповання APT28 зламало військово-морське суднобудівне підприємство в одній із країн НАТО. Зловмисники отримали доступ до внутрішньої мережі та залишалися непоміченими щонайменше два місяці.

Як пише Dilo , про це інформує Cyber Press.

Атака була частиною масштабнішої шпигунської кампанії проти організацій у країнах Альянсу. Крім суднобудівної компанії, хакери атакували правоохоронний орган і виробника авіаційних двигунів для військової техніки. Назви постраждалих установ і країн не розголошуються.

Як хакери проникли в мережу підприємства

Перші ознаки атаки зафіксували 24 липня 2026 року. Початковим вектором проникнення став заражений документ Microsoft Word, який відкрили безпосередньо з кешу вкладень поштового клієнта Microsoft Outlook.

Документ містив замаскований макрос, код якого збирався під час виконання. Такий підхід допомагав зловмисникам обходити статичні механізми перевірки захисних систем.

Після запуску макрос непомітно перезапускав браузер Microsoft Edge у вікні, розташованому за межами видимої частини екрана. Через браузер хакери завантажували початкові команди для розвідки системи, перевіряли мережеві налаштування та аналізували запущені процеси.

Уже 27 липня зловмисники перейшли до наступного етапу операції. Використовуючи ключі SSH і стандартний інструмент Windows OpenSSH, вони налаштували прихований тунель, який забезпечив доступ до внутрішньої мережі підприємства.

Хакери збирали облікові дані

Під час операції APT28 використовувала спеціальний скрипт PowerShell для перехоплення даних NTLM-аутентифікації та збору облікових даних користувачів.

Крім того, зловмисники перевіряли доступність популярних хмарних платформ, зокрема Dropbox, Google, Microsoft і Mega. Це могло бути частиною підготовки до виведення інформації за межі корпоративної мережі.

31 липня на скомпрометованому комп’ютері запустили раніше не задокументований рефлексивний завантажувач ld.exe разом із зашифрованим файлом Events.dat.

Для розшифрування вмісту файла безпосередньо в оперативній пам’яті програма потребувала спеціального ключа, переданого через командний рядок. Однак дослідникам не вдалося отримати кінцевий зашифрований модуль, тому його призначення поки залишається невідомим.

Шкідливе програмне забезпечення залишалося активним

Останні прямі команди від операторів атаки дослідники зафіксували 31 липня. Водночас компоненти шкідливого програмного забезпечення продовжували працювати в мережі наприкінці серпня, а 24 вересня їхню активність зафіксували повторно.

Наразі фахівці з’ясовують, чи було повторне спрацювання наслідком автоматизованої роботи завантажувача, чи свідчило про повернення хакерів до скомпрометованої системи.

Остаточний обсяг отриманої зловмисниками інформації та призначення невідомого шкідливого модуля поки не встановлені.

Нагадаємо, кіберзлочинці викрали цифрові активи на суму близько 90 мільйонів доларів США з криптогаманців клієнтів французької компанії "Ledger". Для цього вони вмонтували деталі для зчитування паролів у пристрої ще до того, як люди їх придбали.

Економіка