Российские хакеры продают доступ к сетям, шпионящим за оборонным сектором Украины
Российские брокеры доступа превратили взлом сетей в настоящий конвейер. Одна из таких группировок не только зарабатывает миллионы на продаже "входных билетов" в ИТ-системы бандам-вымогателям, но и параллельно шпионит за украинским оборонным сектором в интересах спецслужб РФ.
Гибридная угроза: деньги и шпионаж
Недавно раскрытый сервер русскоязычного брокера первоначального доступа (IAB) обнажил масштабную операцию, охватывающую сотни тысяч целей по всему миру. Злоумышленник построил отлаженную систему: он взламывает сетевые устройства, получает полный контроль над корпоративными сетями, а затем продает этот доступ хакерам-вымогателям. Однако в этой истории есть явный геополитический подтекст – особое внимание оператор уделяет объектам в Украине, пишет GBHackers.
Согласно отчету компании CloudSEK, хакер систематически проводит атаки на украинские оборонные и аэрокосмические предприятия. Он использует специальные инструменты для кражи исходного кода, изучения уязвимостей оборонного сектора и поддержания постоянного доступа к сетям энергетики, телекоммуникаций и правительственных учреждений.
Этот скомпрометированный каталог содержит временные метки и поминутные записи действий с середины 2025 по конец 2026 года, фактически выполняя роль учебника и журнала нажатий клавиш оператора,
– прокомментировали исследователи CloudSEK.
Как работает "фабрика" взломов
Оператор использует автоматизированные инструменты для поиска уязвимостей в популярных устройствах от Fortinet, SonicWall, Citrix и SAP. Его арсенал включает более 100 специальных шаблонов для сканирования, которые позволяют мгновенно реагировать на появление новых дыр в защите. После проникновения хакер быстро захватывает контроль над всей инфраструктурой, создавая "бэкдоры", что позволяет оставаться в системе годами.
Помимо чисто криминальной деятельности, такой как взлом американской медицинской компании Greater Pittsburgh Orthopaedic Associates, оператор выполняет и разведывательные задачи. На его сервере обнаружили сотни кадров с камер наблюдения на важных украинских объектах. Это совпадает с тактикой российских спецслужб, которые используют взломанные камеры для отслеживания передвижений военных и техники.
Двойной профиль – продажа коммерческого доступа к экосистеме программ-вымогателей в сочетании со сбором специфических данных против украинской обороны – соответствует практике РФ по привлечению криминальных подрядчиков,
– добавили эксперты CloudSEK.
Такая деятельность подчеркивает опасный тренд: Кремль все чаще нанимает киберпреступников для выполнения государственных задач. Это позволяет спецслужбам получать данные, сохраняя возможность отрицать свою причастность к атакам. Обнаруженные данные свидетельствуют о том, что за киберпреступником стоит реальная инфраструктура в России, а его рабочие часы совпадают с московским временем.