Эксперты Positive Technologies выявили финансово мотивированную APT-группировку, которая оставалась незамеченной минимум полтора года
Komolov Rostislav 23/01/25
Группа киберразведки экспертного центра безопасности Positive Technologies (PT Expert Security Center – PT ESC) выявил и отследил новую APT-группировку – DarkGaboon. Для злоумышленников характерно использование зловреда Revenge RAT в сочетании с шаблонами финансовых документов, загруженными с легитимных российских ресурсов по финансовой тематике. DarkGaboon атакует финансовые подразделения компаний из России, как минимум, с мая 2023 года.
В середине октября 2024 года специалисты киберразведки PT Expert Security Center зафиксировали таргетированную рассылку Revenge RAT сотрудникам одного из российских банков. Атака началась с отправки электронного письма, которое содержало грамотный с точки зрения синтаксиса и пунктуации сопроводительный текст на русском языке и архив-приманку.
На основе накопленной за многие годы внутренней экспертизы, специалисты группы киберразведки PT ESC сделали вывод, что новая APT-группировка преследует финансовую выгоду. На это указывает то, что все вредоносные файлы содержат в себе бухгалтерский контекст и направлены на финансовые подразделения компаний разных отраслей. Схожие признаки киберпреступной активности наблюдались у другой финансово мотивированной группировки – RTM.
В ходе расследования эксперты установили, что аналогичная активность в отношении российских компаний прослеживается как минимум до мая 2023 года. Однако ранее злоумышленники использовали кластер серверов «rampage», тогда как в октябре 2024 года – «kilimanjaro». Долгое время группировка оставалась в тени, но в августе 2024 года инфраструктура была скомпрометирована после попадания в фиды с индикаторами компрометации от ФинЦЕРТ[1], что и стало причиной смены инфраструктуры, считают специалисты киберразведки PT Expert Security Center.
Целью атак группировки DarkGaboon являются финансовые подразделения российских организаций. Об этом свидетельствует то, что почти половина всех загрузок образцов вредоноса на публичные сервисы проверки файлов приходится на Россию. Кроме того, злоумышленники подписывают вредоносный код поддельными сертификатами Х.509[2], якобы выпущенными на имя российских компаний, и хорошо ориентируются в особенностях русских названий и обсценной лексики. В ходе исследования специалистам Positive Technologies удалось выяснить, что жертвами группировки стали учреждения кредитно-финансовой сферы, крупные торговые сети, объекты спорта и туризма, а также компании сферы услуг.
«DarkGaboon стабильно обновляют используемые комплекты файлов, ежемесячно выпуская в свет порядка десяти новых экземпляров вредоносных сборок с Revenge RAT и пропорциональное им количество файлов-приманок. Регулярное “сбрасывание старой шкуры” позволило группировке более полутора лет скрытно атаковать российские компании, не прибегая к изощренным методикам и редкому вредоносному программному обеспечению», – комментирует Виктор Казаков, ведущий специалист группы киберразведки департамента Threat Intelligence экспертного центра безопасности Positive Technologies.
Более того, по данным экспертов, с марта 2024 года по сравнению с 2023 годом отмечается почти двукратный рост ежемесячных обновлений сборок с Revenge RAT. Это может говорить о том, что группировка не планирует останавливаться на достигнутом. Группа киберразведки экспертного центра безопасности Positive Technologies продолжит отслеживать активность DarkGaboon и своевременно предупреждать жертв о готовящихся кибератаках.
Выявить и своевременно среагировать на подобного рода угрозы компаниям помогают антивирусные продукты, песочницы, например рекомендован PT Sandbox, средства защиты конечных устройств, например MaxPatrol EDR, а также обучение сотрудников безопасному использованию электронной почты и противодействию методам социальной инженерии. Онлайн-сервис PT Knockin может превентивно проверить, справятся ли средства защиты почты, используемые в компании, с атаками группировки с использованием Revenge RAT. Пользователям, в свою очередь, следует быть внимательнее к отправителю сообщения, особенно если с ним отсутствует история переписки, он не является контрагентом, акцентирует внимание на срочности изучения документов, особенно подчеркивает названия государственных учреждений, регуляторов, надзорных ведомств и, если email зарегистрирован в нестандартной доменной зоне. В таких случаях необходимо проверять вложения письма лицензированными средствами антивирусной защиты.
[1] Фиды – потоки данных об индикаторах компрометации (вредоносных доменах, IP-адресах, ссылках и хеш-суммах файлов). Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (FinCERT) информирует о потенциальных компьютерных атаках, актуальных угрозах информационной
безопасности и уязвимостях ПО, используемого организациями, поднадзорными Банку России.
[2] Сертификаты X509 — это цифровые документы, которые представляют пользователя, компьютер, службу или устройство.
- Новости (1520)
- Новости отрасли (1172)
- Пресс-релиз (703)
- Регулирование (369)
- СКУД (226)
- Эксклюзив (226)
- АРМО-Системы (218)
- Транспортная безопасность (193)
- Видеонаблюдение (175)
- Искусственный интеллект (153)
- Пожарная безопасность (136)
- Secuteck ADAPT (131)
- Видеокамеры (129)
- Деловая программа (128)
- Биометрия (126)
- Smartec (102)
- ТБ Форум (88)
- Минтранс (77)
- Защита информации и связи, кибербезопасность (76)
- Цифровая трансформация (76)
- Дайджест (71)
- All-over-IP (64)
- Промышленность (64)
- Киберугрозы (62)
- Киберзащита (57)
- CCTV (54)
- США (48)
- ОПС (47)
- Импортозамещение (46)
- Банки и финансы (45)
- Автоматизация (44)
- Беспилотники (44)
- кибербезопасность (44)
- Видеоаналитика (43)
- Защита от БПЛА (43)
- Центры обработки данных (ЦОД) (43)
- Распознавание лиц (42)
- Ритейл (41)
- ТЭК и нефтегаз (39)
- Новости компаний (38)
- Комплексная безопасность (36)
- Пожаротушение (36)
- Места с массовым пребыванием людей (35)
- ААМ Системз (34)
- Охрана периметра (34)
- Идентификация (33)
- Минцифры (33)
- Роскомнадзор (33)
- Безопасность объектов (31)
- ИТ-инфраструктура (29)
- Исследование (29)
- Пожарная сигнализация (29)
- СОУЭ (29)
- Умный дом (29)
- киберпреступления (29)
- Статистика (28)
- АРГУС-СПЕКТР (27)
- Стрелец-ПРО (26)
- Безопасный город (25)
- Информационная безопасность (25)
- Нейросети (25)
- Охрана труда и промышленная безопасность (ОТиПБ) (25)
- PERCo (24)
- ЛК (24)
- Отрасль (24)
- Systeme Electric (22)
- Госдума (22)
- EKF (21)
- госинициативы (21)
- Антидрон (20)
- Контур СБ (20)
- Источники бесперебойного питания (ИБП) (19)
- Персональные данные (19)
- данные пользователей (19)
- Интернет вещей (IoT) (18)
- Цифровое ЖКХ (18)
- Антитеррор (17)
- К2Тех (17)
- Мошенничество (17)
- Роботизация (17)
- Рынок безопасности (17)
- государственная слежка (17)
- ИТС (16)
- утечка данных (16)
- PERCo-Web (15)
- Беспроводные технологии (15)
- Европа (15)
- Умный город (15)
- Великобритания (14)
- Турникеты (14)
- QR-коды (13)
- Авиакомпании и аэропорты (13)
- Бизнес, идеи и мнения (13)
- Журнал "Системы безопасности" №1/2024 (13)
- Журнал "Системы безопасности" №6/2024 (13)
- Китай (13)
- Смартфоны (13)
- ЦБ (13)
- мессенджеры (13)
- BPM (12)
- Беспилотный транспорт (12)
- Вебинар (12)
- Журнал "Системы безопасности" №2/2024 (12)
- Контроллеры (12)
- сотовые операторы (12)
- Ippon (10)
- Timex (10)
- МВД (10)
- Машинное зрение (10)
- Облачные технологии (10)
- Промышленная автоматизация (10)
- Цифровые технологии (10)
- Securika Moscow (9)
- deepfake (9)
- Автоматизация зданий (9)
- Журнал "Системы безопасности" №5/2024 (9)
- Криптовалюты (9)
- Опрос (9)
- Умные парковки (9)
- Цифровизация (9)
- геолокация (9)
- личные данные (9)
- санкции (9)
- соцсети (9)
- "Госуслуги" (8)
- Tonmind (8)
- VPN-сервисы (8)
- Азия (8)
- Блокировка сайтов (8)
- ЕС (8)
- Журнал "Системы безопасности" №1/2025 (8)
- Журнал "Системы безопасности" №4/2024 (8)
- Закупки и внедрения (8)
- ИТ-отрасль (8)
- Коммутаторы (8)
- Обзор продуктов и решений (8)
- Системы хранения данных (СХД) (8)
- блокировка контента (8)
- кибершпионаж (8)
- кредитные карты (8)
- мнение отрасли (8)
- судебное разбирательство (8)
- 2024 (7)
- AWADA (7)
- Apple (7)
- DDoS-атаки (7)
- Блокировка (7)
- Извещатели (7)
- КИИ (7)
- Микроэлектроника (7)
- Минпромторг (7)
- Прогнозы (7)
- Тепловидение (7)
- Чат-бот (7)
- госзакупки (7)
- 2023 (6)
- Beward (6)
- LoxTop (6)
- Telegram (6)
- Вебмониторэкс (6)
- Домофоны (6)
- Журнал "Системы безопасности" №5/2023 (6)
- Журнал "Системы безопасности" №6/2023 (6)
- ИТРИУМ СПб (6)
- КомплИТех (6)
- МФСБ (6)
- МЧС России (6)
- Машинное обучение (6)
- Метрополитен (6)
- Ростелеком (6)
- Ростехнадзор (6)
- Сбербанк (6)
- Строительная экспертиза (6)
- Телефонные мошенники (6)
- автоиндустрия (6)
- базы данных (6)
- ботнет (6)
- трояны (6)
- 2025 (5)
- Flamax (5)
- IP-камеры (5)
- Австралия (5)
- Главгосэкспертиза (5)
- ЕБС (5)
- Журнал "Системы безопасности" №3/2024 (5)
- Журнал "Системы безопасности" №3/2025 (5)
- Журнал "Системы безопасности" №4/2023 (5)
- ИТ-технологии (5)
- Охранная сигнализация (5)
- ПТК "ИВС" (5)
- Платежные системы (5)
- Пожтехника (5)
- реклама (5)
- фишинг (5)
- AVIX (4)
- AgroTech (4)
- Android (4)
- DJI (4)
- F.A.C.C.T. (4)
- Google (4)
- Microsoft (4)
- Okdesk (4)
- PSIM (4)
- Positive Technologies (4)
- SOC (4)
- Securex Kazakhstan (4)
- Sfitex (4)
- TRASSIR (4)
- itresearch (4)
- Аналитика (4)
- Взрывозащита (4)
- Журнал "Системы безопасности" №2/2025 (4)
- Израиль (4)
- Интеллектуальные транспортные системы (4)
- Мнения экспертов (4)
- Образовательные учереждения (4)
- Онлайн-торговля (4)
- Программное обеспечение (4)
- Технологии распознавания (4)
- Финансовые показатели (4)
- Шифрование (4)
- пароли (4)
- судебный иск (4)
- торговля данными (4)
- хищение данных (4)
- 5G (3)
- Amazon (3)
- CISA (3)
- CRM (3)
- Facebook (3)
- Gotschlich (3)
- Hi-Tech Building (3)
- Hikvision (3)
- Hrtech (3)
- Low-code платформы (3)
- Qrator Labs (3)
- Secumarket: (3)
- Whatsapp (3)
- dormakaba (3)
- ВНИИПО МЧС России (3)
- Германия (3)
- Законодательство (3)
- Индия (3)
- Критически важные объекты (КВО) (3)
- МТС (3)
- Минэкономразвития (3)
- Минюст (3)
- Мобильные приложения (3)
- Проектирование и монтаж (3)
- РЖД (3)
- Рейтинги (3)
- Речевые оповещатели (3)
- Сертификация (3)
- Строительство (3)
- Считыватели (3)
- ТЕНЗОР (3)
- Транспорт (3)
- Тренды и тенденции (3)
- Удаленный доступ (3)
- ФБР (3)
- ФСБ (3)
- ФСТЭК (3)
- Франция (3)
- ЦеСис (3)
- ЧС (3)
- анонс (3)
- бэкдоры (3)
- военное оборудование (3)
- госсубсидии (3)
- инструкции (3)
- контакт-центр (3)
- логистика (3)
- маркетинг (3)
- обновления (3)
- отчет (3)
- пограничные службы (3)
- приложения (3)
- рынок труда (3)
- сим-карта (3)
- сми (3)
- университетские исследования (3)
- "Инфосистемы Джет" (2)
- APT-группы (2)
- BioSmart (2)
- Forbes (2)
- IDC (2)
- IP-адреса (2)
- Infowatch (2)
- Iphone (2)
- Mirai (2)
- Palo Alto Networks (2)
- SIM-карты (2)
- SYMANITRON (2)
- TFortis (2)
- Wizebox (2)
- Антифрод (2)
- Блокчейн (2)
- ГК "ИСП" (2)
- Досмотр (2)
- Европол (2)
- Журнал "Системы безопасности" №3/2023 (2)
- Интралогистика (2)
- Информационные технологии (2)
- Иран (2)
- Кабельная продукция (2)
- Кибератаки (2)
- Колл-центры (2)
- Криптография (2)
- МФЦ (2)
- Мероприятия по безопасности (2)
- Минфин (2)
- Мобильное приложение (2)
- Онлайн-цензура (2)
- Преступления (2)
- Радиоканальные системы (2)
- Туризм (2)
- Шлагбаумы (2)
- Южная Америка (2)
- Южная Корея (2)
- автомобили (2)
- белые хакеры (2)
- блоки питания (2)
- боты (2)
- голосовой помощник (2)
- государственные хакеры (2)
- журналистское расследование (2)
- майнинг (2)
- онлайн-реклама (2)
- политика компании (2)
- последние разработки (2)
- сбор данных (2)
- системы управления (2)
- слежка (2)
- спам (2)
- спутники (2)
- страхование (2)
- фальшивые приложения (2)
- цены (2)
- частоты (2)
- электронная подпись (2)
- электронная почта (2)
- "Доктор Веб" (1)
- API (1)
- Airbnb (1)
- Akamai (1)
- Angara (1)
- BI.Zone (1)
- Big Data (1)
- Bleeping Computer (1)
- Bloomberg (1)
- Bug Bounty (1)
- ByteDance (1)
- CERT (1)
- Cellebrite (1)
- Cloudflare (1)
- Cobalt Strike (1)
- D-link (1)
- Ethernet (1)
- FTC (1)
- Fincert (1)
- GDPR (1)
- GPS (1)
- Gartner (1)
- General Electric (1)
- GitHub (1)
- Google Play (1)
- HR Tech (1)
- Huawei (1)
- IP-коммуникации (1)
- IP-системы (1)
- IaaS (1)
- Juniper Research (1)
- LoRaWan (1)
- Meta (1)
- NSO Group (1)
- NVR (1)
- NetBlocks (1)
- Netcraft (1)
- Nvidia (1)
- OpenAI (1)
- PRO32 (1)
- PoE (1)
- Python (1)
- RAT (1)
- RPA-платформы (1)
- SMS (1)
- SaaS (1)
- Signal (1)
- SpaceX (1)
- StaffCop (1)
- Stormwall (1)
- Streletz-Cloud (1)
- Tor (1)
- Twitter (1)
- Verizon (1)
- WAGNER TITANIUS (1)
- Wi-Fi (1)
- Word (1)
- YouTube (1)
- e-commerce (1)
- АРМ (1)
- АСУ ТП (1)
- АУП (1)
- АФК Система (1)
- Алкотестер (1)
- БАС (1)
- Безопасность данных (1)
- Безопасные дороги (1)
- Белоруссия (1)
- Беспроводные системы (1)
- Бизнес (1)
- Большие данные (1)
- ВТБ (1)
- Виганд (1)
- Видеорегистраторы (1)
- Вымогатели (1)
- ГИС (1)
- ГК "Солар" (1)
- Генетическая информация (1)
- Генпрокуратура (1)
- Государственный надзор (1)
- ДНК (1)
- ЕСИА (1)
- Еврокомиссия (1)
- Журнал "Системы безопасности" №1/2023 (1)
- Журнал "Системы безопасности" №2/2023 (1)
- ИСБ (1)
- Измерение температуры (1)
- Индустрия 4.0 (1)
- Интеграция (1)
- Итоги (1)
- КНДР (1)
- Канада (1)
- Код Безопасности (1)
- Компании (1)
- Конкурс (1)
- Минобороны (1)
- Минобрнауки (1)
- Московский метрополитен (1)
- НКО (1)
- Охрана объектов (1)
- ПАК (1)
- Полупроводники (1)
- РБК (1)
- РОЦИТ (1)
- Росатом (1)
- Роспотребнадзор (1)
- Росреестр (1)
- Росстат (1)
- Ростелеком-Солар (1)
- СБП (1)
- СНГ (1)
- ССОИ (1)
- Семинар (1)
- Сигур (1)
- Симантирон (1)
- Системы безопасности (1)
- СовФед (1)
- Социальные сети (1)
- Спутниковая связь (1)
- Стандарты, нормы и требования (1)
- Турция (1)
- Угрозы (1)
- Управление доступом (1)
- ФАС (1)
- ФНС (1)
- Форум (1)
- Хакерские атаки (1)
- ЦРУ (1)
- Экологическая безопасность (1)
- Электрозамки (1)
- Энергетика (1)
- анализ изображений (1)
- антивирусы (1)
- банкоматы (1)
- выборы (1)
- выключатели (1)
- госзаказы (1)
- гостендеры (1)
- громкоговорители (1)
- данные компаний (1)
- дорожные карты (1)
- железные дороги (1)
- инвестиции (1)
- индустриальные атаки (1)
- индустрия (1)
- интернет-СМИ (1)
- кибепрпреступления (1)
- корпоративные коммуникации (1)
- криптовалюта (1)
- магазины приложений (1)
- маркировка товаров (1)
- маршрутизаторы (1)
- медицина (1)
- мониторы (1)
- налоги (1)
- национальная разведка (1)
- носимые устройства (1)
- ноутбуки (1)
- обработка данных (1)
- онлайн-видео (1)
- операторы связи (1)
- отопление (1)
- отслеживание местоложений (1)
- отслеживание товаров (1)
- паспорт (1)
- патенты (1)
- пиратский контент (1)
- почтовые службы (1)
- правоохранительные органы (1)
- премия (1)
- реестр ОРИ (1)
- реестр российского ПО (1)
- реестр российского оборудования (1)
- рспп (1)
- светодиодное освещение (1)
- серверы (1)
- следственный комитет (1)
- службы доставки (1)
- сотовая связь (1)
- спорт (1)
- страны Брикс (1)
- торговля (1)
- хостинги (1)
- штрафы (1)
- Август 2025 (48)
- Июль 2025 (84)
- Июнь 2025 (52)
- Май 2025 (72)
- Апрель 2025 (107)
- Март 2025 (124)
- Февраль 2025 (91)
- Январь 2025 (77)
- Декабрь 2024 (96)
- Ноябрь 2024 (100)
- Октябрь 2024 (126)
- Сентябрь 2024 (79)
- Август 2024 (98)
- Июль 2024 (94)
- Июнь 2024 (63)
- Май 2024 (81)
- Апрель 2024 (90)
- Март 2024 (104)
- Февраль 2024 (79)
- Январь 2024 (64)
- Декабрь 2023 (73)
- Ноябрь 2023 (75)
- Октябрь 2023 (54)
- Сентябрь 2023 (14)