В конце 2025 - начале 2026 года российский промышленный и авиастроительный секторы столкнулись с новой волной целенаправленных кибератак. За ними, как установили специалисты Positive Technologies, стоит группа CapFix, известная своими финансово мотивированными кампаниями. Однако в этот раз тактика и выбор целей указывают на возможную эскалацию угрозы в сторону методов, характерных для APT-групп, что вызывает серьёзную озабоченность у экспертов по информационной безопасности.
Описание
Атаки начинались с фишинговых рассылок, где документы в форматах PDF или HTML маскировались под официальные обращения от государственных структур. Вредоносные файлы, например, носили названия вроде "Приказ № ФСБ-1412025" или "Перечень_документов_для_отчета_по_тренингу_ИБ_ФСБ", что явно рассчитано на доверие сотрудников. Вместо ожидаемого содержания документ сообщал об ошибке и предлагал нажать кнопку для "разблокировки" или повторной загрузки. Этот клик запускал цепочку заражения, приводящую к установке сложного вредоносного инструментария.
Ключевой особенностью последних операций CapFix стало активное использование скомпрометированной легитимной инфраструктуры. Злоумышленники размещали вредоносные архивы на взломанных корпоративных серверах, а для управления использовали подконтрольные им поддомены популярных почтовых веб-клиентов. Эксперты предполагают, что первоначальный доступ к этим ресурсам мог быть получен путём эксплуатации критической уязвимости CVE-2025-49119 в почтовом клиенте Roundcube Webmail, что подчёркивает важность своевременного обновления всех публично доступных систем. Такой подход позволяет атакующим дольше оставаться незамеченными, так как трафик на легитимные домены реже вызывает подозрения у систем защиты.
Основным инструментом в арсенале группы стал бэкдор CapDoor, который за время наблюдений претерпел значительные изменения. Если ранние версии представляли собой классический исполняемый файл, то в новых атаках он доставляется в виде сложного многоступенчатого шеллкода. Для его запуска используется изощрённая цепочка DLL sideloading - техника, при которой легитимное подписанное приложение загружает вредоносную динамическую библиотеку из-за неправильного порядка поиска DLL. Это позволяет зловреду работать в контексте доверенного процесса, обходя многие защитные механизмы. Полезная нагрузка CapDoor при этом часто скрыта внутри обычных WAV-файлов с мелодией будильника, что ещё больше затрудняет её обнаружение.
После успешного заражения CapDoor собирает детальную информацию о системе, включая имя компьютера, учётные данные пользователя и данные об операционной системе. Затем он устанавливает постоянное соединение с командным сервером (C2), ожидая инструкций. Функционал бэкдора позволяет выполнять произвольные PowerShell-команды, загружать и запускать дополнительные модули (EXE, DLL, MSI), а также тайно делать скриншоты экрана жертвы и передавать их злоумышленникам. Этот набор возможностей превращает CapDoor из простого загрузчика в полноценный инструмент для удалённого доступа и сбора данных.
Особое внимание исследователей привлекла эволюция группировки. Ранее CapFix была известна в основном по атакам с использованием техники ClickFix, когда жертвам для разблокировки контента предлагалось решить капчу, что на самом деле запускало вредоносный код. В качестве приманки тогда использовались темы, связанные с криптовалютой или бронированием отелей. Об этом свидетельствует обнаруженный экспертами Positive Technologies в своём отчёте архив данных об активности группы. Однако в новых кампаниях акцент сместился на фишинг под государственные учреждения, а цели стали включать стратегически важные предприятия. Это может указывать на смену мотивации или на расширение спектра интересов группировки.
Для специалистов по безопасности инциденты с участием CapFix служат очередным напоминанием о важности комплексной защиты. Критически важно проводить регулярное обучение сотрудников для распознавания фишинговых атак, даже если они искусно замаскированы под внутренние документы. Технические меры должны включать не только периметровую защиту, но и механизмы контроля целостности приложений, способные обнаруживать аномалии в поведении легитимных процессов, такие как попытки несанкционированной загрузки DLL. Мониторинг сетевой активности на предмет подозрительных соединений, особенно с нестандартных поддоменов, также может помочь в раннем выявлении угрозы. Активность CapFix демонстрирует, что граница между финансово мотивированными группами и более опасными APT-игроками продолжает размываться, требуя от организаций повышенной бдительности и готовности к сложным многоэтапным атакам.
Индикаторы компрометации
