Атака под чужим флагом: за атакой Chaos ransomware стояла иранская группировка MuddyWater

Атака началась с целевой социальной инженерии через корпоративный мессенджер Microsoft Teams. Злоумышленники, выдавая себя за сотрудников технической поддержки, вступали в диалог с работниками компании-жертвы и инициировали сеансы удалённого доступа с демонстрацией экрана. В ходе этих сеансов они не только собирали информацию о конфигурации сети, но и в буквальном смысле заставляли сотрудников вводить свои учётные данные в текстовые файлы, создаваемые прямо на рабочем столе. Мало того - атакующие требовали от жертв изменить настройки многофакторной аутентификации, добавляя туда собственные устройства.

Такой подход резко контрастирует с типичными атаками программ-вымогателей. Обычно злоумышленники действуют скрытно, используют фишинговые письма для кражи паролей или эксплуатируют уязвимости программного обеспечения. Здесь же атакующие работали практически в открытую, полагаясь на доверчивость сотрудников и слабую осведомлённость в вопросах безопасности.

После получения доступа к учётным записям группа использовала протокол удалённого рабочего стола (RDP) для перемещения по сети. Особое внимание они уделили контроллеру домена - ключевому серверу, управляющему всеми пользователями и компьютерами в корпоративной инфраструктуре. Для закрепления в системе применялись легитимные инструменты удалённого администрирования AnyDesk и DWAgent, что позволяло поддерживать постоянный канал связи с скомпрометированной сетью.

Следующим этапом стала загрузка вредоносных файлов. С помощью утилиты curl злоумышленники скачали на сервер исполняемый файл ms_upd.exe, который действовал как загрузчик. Он собирал базовую информацию о системе, регистрировал её на командном сервере moonzonet[.]com и затем загружал три компонента: легитимную библиотеку WebView2Loader.dll, основную вредоносную программу Game.exe и зашифрованный конфигурационный файл.

Исследование Game.exe показало, что это собственноручно написанный троян удалённого доступа (RAT), замаскированный под официальный образец Microsoft WebView2. Разработчик взял проект из открытого репозитория Microsoft и встроил в него вредоносную функциональность. Программа реализует 12 команд, включая выполнение произвольных команд через командную строку и PowerShell, загрузку и удаление файлов, а также создание интерактивных сессий. При этом она проверяет, не запущена ли в среде анализа: ищет характерные библиотеки песочниц, названия процессоров виртуальных машин, проверяет таймеры на пропуски времени.

Критическим элементом, позволившим установить связь с Ираном, стал сертификат цифровой подписи, которым были подписаны вредоносные файлы. Он был выпущен на имя Donald Gay и подтверждён центром сертификации Microsoft. Отчёт специалистов Rapid7 показывает, что этот же сертификат ранее связывали с операцией MuddyWater под названием "Олалампо", которая была направлена против организаций в США и на Ближнем Востоке. Вместе с сертификатом "Amy Cherne" этот набор инструментов считается характерным признаком иранской разведки.

Помимо сертификата, на принадлежность к MuddyWater указывает инфраструктурное совпадение: домен moonzonet[.]com, использовавшийся как командный центр для загрузчика, уже фигурировал в атаках на израильские и западные компании в начале 2026 года. Также характерным является применение pythonw.exe для инжекции кода в приостановленные процессы - типичный приём этой группы.

Самое примечательное в этой истории - полное отсутствие шифрования файлов. Несмотря на то что атакующие вывесили данные на сайте утечек Chaos и вели переговоры о выкупе, они ни разу не запустили процесс шифрования. Вместо этого они сосредоточились на краже информации и установке средств долговременного доступа. Это коренным образом отличает данную операцию от типичных вымогательских программ, где главная цель - как можно быстрее зашифровать данные и потребовать выкуп.

Специалисты пришли к выводу, что использование бренда Chaos было лишь камуфляжем. Истинная цель атаки - кибершпионаж и, возможно, подготовка к будущим деструктивным операциям. MuddyWater уже прибегала к подобной тактике в конце 2025 года, когда имитировала действия группировки Qilin. После того как ту атаку публично связали с иранской разведкой, группа сменила вывеску на Chaos, чтобы снизить риски разоблачения.

Такая стратегия усложняет работу защитников. Когда инцидент выглядит как работа вымогателей, внимание сосредотачивается на переговорах и восстановлении данных, а не на поиске скрытых бэкдоров и анализе тактики злоумышленников. В данном случае именно отсутствие шифрования и чрезмерно "ручной" характер атаки стали ключевыми сигналами, указывающими на истинный характер угрозы.

Происходящее отражает общую тенденцию слияния государственного шпионажа и киберпреступности. Злоумышленники всё чаще используют криминальные бренды и тактики, чтобы запутать следы и выиграть время. Для защиты от подобных атак недостаточно полагаться на внешние признаки - необходим комплексный анализ всего жизненного цикла вторжения, от первой точки входа до методов закрепления в системе. Особое внимание стоит уделять социальной инженерии через корпоративные коммуникационные платформы и инструменты удалённого доступа, которые в руках обученного противника становятся мощным оружием.