Иранские хакеры атаковали ведущего южнокорейского производителя электроники

Как иранским хакерам удалось незаметно проникнуть в сеть?

Иранская хакерская группировка MuddyWater, также известная под названиями Seedworm, Static Kitten и Temp Zagros, провела широкую кампанию кибершпионажа, нацеленную на высокотехнологичные сектора по всему миру. По данным Bleeping Computer, злоумышленники провели целую неделю внутри сети "крупного южнокорейского производителя электроники" в период с 20 по 27 февраля 2026 года, однако ни один отчет не называет, кто именно это был – Samsung или какая-то другая компания.

Смотрите также Главный завод Apple атаковали хакеры: похищены важные документы и проекты устройств

Эта атака стала частью более масштабной операции, жертвами которой стали правительственные учреждения, международный аэропорт на Ближнем Востоке, промышленные предприятия в Юго-Восточной Азии, финансовые учреждения в Латинской Америке и образовательные учреждения в разных странах.

Эксперты кибербезопасности компании Symantec считают, что группировка Seedworm тесно связана с Министерством разведки и безопасности Ирана. Основной целью злоумышленников была кража промышленной и интеллектуальной собственности, государственный шпионаж, а также получение доступа к списку клиентов. Каждая из целей могла обладать материалами, имеющими разведывательную ценность для Тегерана.

Методы, которые использовали хакеры, свидетельствуют о существенном росте их профессионального мастерства.

Нападающие последовательно сбрасывали пары файлов, состоящие из легитимного, подписанного исполняемого файла третьей стороны и вредоносной библиотеки DLL, разработанной для загрузки этим файлом– прокомментировали исследователи Symantec.

Эта техника, известна как замена динамических библиотек (DLL sideloading), позволяла злоумышленникам маскировать вредоносную активность под видом работы надежного программного обеспечения.

В частности, хакеры использовали утилиту Fortemedia fmapp.exe и компонент антивирусной защиты SentinelOne sentinelmemoryscanner.exe.

Использование бинарного файла продукта безопасности – это сознательный выбор, направленный как на обход детектирования по путям или подписям, так и на то, чтобы запутать анализ– добавили в Symantec.

Вредоносные библиотеки содержали инструмент ChromElevator, предназначен для похищения паролей, файлов cookie и данных платежных карт из браузеров на базе Chromium.

Как осуществили атаку?

• Процесс атаки на южнокорейскую компанию начался с разведки домена и хоста, после чего хакеры с помощью инструментария WMI проверили наличие антивирусных средств.
• Для закрепления в системе они вносили изменения в реестр Windows, что обеспечивало повторный запуск вредоносного кода при каждом входе пользователя в систему.
• Связь с командным сервером происходила автоматически каждые 90 секунд.

Для похищения учетных данных использовались поддельные окна запроса пароля Windows и инструменты для считывания файлов реестра SAM, SECURITY и SYSTEM. Кроме того, хакеры применяли специализированное программное обеспечение для повышения привилегий и перехвата билетов Kerberos без знания паролей администраторов.

Особенностью этой кампании стало использование Node.js для координации действий вместо прямого использования PowerShell, что делало атаку тише и сложнее для обнаружения. Для вывода украденных данных злоумышленники использовали публичный сервис обмена файлами sendit.sh. Это позволяло смешивать шпионский трафик с обычным пользовательским трафиком облачных сервисов.

Какие выводы делают исследователи

По мнению аналитиков, расширение географии атак и использование более сложных инструментов указывает на то, что разведывательные потребности Ирана выросли, а сама группировка Seedworm перешла к "более дисциплинированным и скрытым операциям".

Активность в начале 2026 года происходила на фоне напряженности вокруг ядерной программы Ирана и региональных конфликтов.

Смотрите также Иранские хакеры взломали почту директора ФБР и слили данные за последние 10 лет

Вам также будет интересно узнать: кто такие Seedworm, чем они известны и как работают

Хакерская группировка Seedworm, также известная под названиями APT34, OilRig или Helix Kitten, считается одной из самых известных иранских кибершпионских групп. Специалисты по кибербезопасности связывают ее с иранскими государственными структурами, в частности со спецслужбами и Корпусом стражей Исламской революции.

Группу начали активно отслеживать примерно с 2014 года, хотя отдельные операции могли проводиться и раньше. Seedworm специализируется прежде всего на кибершпионаже, похищении данных, проникновении в корпоративные сети и долговременном скрытом доступе к системам.

Основными целями Seedworm становились правительственные структуры, энергетические компании, телекоммуникационные операторы, оборонные предприятия, банки и инфраструктурные организации на Ближнем Востоке, в США и Европе. Особенно часто атаки направлялись против Саудовской Аравии, Объединенных Арабских Эмиратов, Израиля и американских организаций.

Эксперты по кибербезопасности неоднократно сообщали, что группа активно использует фишинговые письма, поддельные страницы входа, похищение учетных данных и вредоносное программное обеспечение для проникновения в сети жертв, пишет CSIS.

Seedworm известна тем, что адаптирует инструменты под конкретные цели. В различных кампаниях группа использовала бэкдоры, PowerShell-скрипты, вредоносные документы Microsoft Office и поддельные VPN-страницы. Часто атаки строились вокруг социальной инженерии – сотрудников компаний заставляли самостоятельно передавать пароли или открывать зараженные файлы. Исследователи кибербезопасности считают, что главной целью группировки является шпионаж, сбор разведданных и геополитическое влияние.

Смотрите также Участника российской группы хакеров приговорили к 102 месяцам заключения: в чем его обвинили

Иран и хакеры: как страна аятолл терроризирует весь мир

Иранская хакерская активность в целом начала резко расти после 2010 года, как проанализировал 24 Канал. Одним из ключевых моментов стала атака вируса Stuxnet на иранские ядерные объекты. Эта операция, которую связывают с США и Израилем, фактически стала переломным моментом для киберстратегии Тегерана. После этого Иран начал активно инвестировать в собственные киберподразделения, создавать сеть связанных группировок и расширять цифровые возможности.

Сегодня Иран считается одним из самых активных государств в сфере кибервойн. Иранские группы регулярно атакуют правительственные системы, промышленную инфраструктуру, энергетические объекты, водоснабжение и телекоммуникации. В последние годы особое внимание уделяют критической инфраструктуре. Например, аналитики CSIS описывали атаки связанных с Ираном хакеров на американские системы водоснабжения и промышленные контроллеры PLC.

Главные группировки

Кроме Seedworm, с Тегераном связывают и ряд других группировок – Charming Kitten, MuddyWater, CyberAv3ngers и Infy. Часть из них занимается шпионажем, часть – деструктивными операциями, а некоторые действуют под видом "хактивистов", чтобы скрыть государственный след. Аналитики считают, что Иран активно использует модель прокси-групп – формально независимых хакеров, которые фактически работают в интересах государства.

Цели хакеров

Основные цели Ирана в киберпространстве – политическое давление, шпионаж, ответ на санкции, борьба с Израилем и США, а также демонстрация силы. Через кибератаки Тегеран получает относительно дешевый способ влиять на соперников без прямой военной эскалации. Кроме того, хакерские операции позволяют собирать стратегическую информацию и наносить экономический ущерб.

Какие компании Южной Кореи могли стать целью Ирана?

Отчет Symantec не указывает на конкретную компанию, которая пострадала в Южной Корее. Однако мы имеем подсказку: это производитель электроники, которого аналитики называют "большим", заметил 24 Канал. Учитывая это, мы можем делать определенные предположения, ведь Южная Корея сегодня является одним из центров мирового производства микросхем, дисплеев, смартфонов и бытовой техники.

• Крупнейшим производителем электроники страны является Samsung Electronics. Компания занимается производством смартфонов, телевизоров, дисплеев, памяти DRAM и NAND, процессоров, сенсоров и бытовой техники. Samsung также является одним из крупнейших производителей полупроводников в мире.
• Еще одним гигантом является LG Electronics. Компания специализируется на телевизорах, OLED-дисплеях, бытовой технике, автомобильной электронике и системах кондиционирования. LG также активно работает в области дисплейных технологий через LG Display.
• Ключевым производителем памяти и ИИ-чипов является SK Hynix. Компания является одним из крупнейших в мире производителей DRAM и HBM-памяти, которая используется в системах искусственного интеллекта и серверах NVIDIA. В последние годы SK Hynix резко усилила позиции благодаря буму ИИ-индустрии.