Гібридна загроза: гроші та шпигунство
Нещодавно викритий сервер російськомовного брокера початкового доступу (IAB) оголив масштабну операцію, що охоплює сотні тисяч цілей по всьому світу. Зловмисник побудував налагоджену систему: він зламує мережеві пристрої, отримує повний контроль над корпоративними мережами, а потім продає цей доступ хакерам-вимагачам. Проте в цій історії є виразний геополітичний підтекст – окрему увагу оператор приділяє об'єктам в Україні, пише GBHackers.
За даними звіту компанії CloudSEK, хакер систематично атакує українські оборонні та аерокосмічні підприємства. Він використовує спеціальні інструменти для крадіжки початкового коду, вивчення вразливостей оборонного сектору та підтримки постійного доступу до мереж енергетики, телекомунікацій і урядових установ.
Цей скомпрометований каталог містить часові мітки та похвилинні записи дій від середини 2025 до кінця 2026 року, фактично виконуючи роль підручника та журналу натискань клавіш оператора,
– прокоментували дослідники CloudSEK.
Як працює "фабрика" зламів
Оператор використовує автоматизовані інструменти для пошуку вразливостей у популярних пристроях від Fortinet, SonicWall, Citrix та SAP. Його арсенал включає понад 100 спеціальних шаблонів для сканування, які дозволяють миттєво реагувати на появу нових дірок у захисті. Після проникнення хакер швидко захоплює контроль над усією інфраструктурою, створюючи "бекдори", що дозволяють залишатися в системі роками.
Попри суто кримінальну діяльність, таку як злам американської медичної компанії Greater Pittsburgh Orthopaedic Associates, оператор виконує і розвідувальні завдання. На його сервері знайшли сотні кадрів із камер спостереження на чутливих українських об'єктах. Це збігається з тактикою російських спецслужб, які використовують зламані камери для вистежування переміщень військових і техніки.
Подвійний профіль – продаж комерційного доступу до екосистеми програм-вимагачів у поєднанні зі специфічним збором даних проти української оборони – відповідає практиці РФ залучати кримінальних підрядників,
– додали експерти CloudSEK.
Така діяльність підкреслює небезпечний тренд: Кремль дедалі частіше наймає кіберзлочинців для виконання державних завдань. Це дозволяє спецслужбам отримувати дані, зберігаючи можливість заперечувати свою причетність до атак. Виявлені дані свідчать, що за кіберзлочинцем стоїть реальна інфраструктура в Росії, а його робочі години збігаються з московським часом.