Специалисты компании F6 опубликовали детальный анализ недавних кампаний прогосударственной APT-группы Cloud Atlas. Согласно отчету, в 2025 году хакеры сохранили высокую активность против российских и белорусских компаний, но начали заметно менять свои тактики. В частности, эксперты зафиксировали переход на нетипичные доменные зоны и эксперименты с новыми методами доставки вредоносного ПО.
Описание
Cloud Atlas, известная с 2014 года, традиционно специализируется на кибершпионаже и краже конфиденциальных данных. Группа использует сложные многоэтапные атаки, собственные загрузчики и шифрованные каналы связи для скрытного сбора информации. В середине октября 2025 года F6 зафиксировала атаку на российское предприятие агропромышленного комплекса. Злоумышленники рассылали фишинговые письма с адреса mkrutij@list[.]ru, используя в качестве приманки документ с программой отраслевого форума. Вложение «Программа Форум Зерно и масличные.doc» содержало реальную информацию о мероприятии, но при открытии инициировало цепочку загрузки.
Механизм доставки вредоносной полезной нагрузки (payload) остался прежним. Загрузчиком выступал DOC-файл, который через шаблон загружал RTF-документ, эксплуатирующий старую уязвимость CVE-2017-11882. В результате на компьютер жертвы загружался дроппер, доставляющий бэкдор VBShower. Однако ключевое изменение коснулось инфраструктуры. В этой атаке использовался домен kommando[.]live, что нехарактерно для группы, которая годами работала преимущественно в зонах .com, .net, .org и .info. Более того, для первых двух этапов атаки применялся один и тот же домен, хотя ранее Cloud Atlas обычно использовала отдельные домены для каждого шага.
Аналитики обнаружили на VirusTotal еще два файла, связанных с этим доменом. Их названия - «Запрос_демографических_данных_предприятий_на_2025_год_для_медицинского_обслуживания.doc» и «Приложение_ Запрос на проведение закупки.doc» - указывают на возможное расширение целей. Специалисты предполагают, что под удар могли попасть и предприятия оборонно-промышленного комплекса. Дальнейшее расследование позволило выявить дополнительный сервер atelierdebondy[.]fr, использовавшийся для загрузки шаблона.
Эксперименты группы не ограничиваются сменой доменов. Начиная с 2023 года, Cloud Atlas активно тестирует новые методы доставки. Например, в ноябре 2023 года вместо привычных документов использовался ZIP-архив с BAT-файлом, который создавал и запускал PowerShell-скрипт для загрузки следующей стадии атаки. В конце 2024 года исследователи наткнулись на LNK-файлы (ярлыки Windows). При их запуске жертве показывался легитимный PDF-документ, а в фоновом режиме выполнялся скрипт, загружающий команды с удаленного сервера. Тогда атрибутировать эти атаки Cloud Atlas не удалось, так как сервер с полезной нагрузкой был недоступен.
Однако в июле 2025 года на VirusTotal появились почти идентичные LNK-файлы, что подтвердило гипотезу экспертов. В новых образцах злоумышленники лишь немного модифицировали команды, добавив в строку User-Agent упоминание ms-office и изменив способ передачи ответа сервера для обхода детектирования. Глубокий анализ инфраструктуры, использованной в этих атаках, позволил с высокой степенью уверенности связать их с Cloud Atlas.
Проведенное исследование демонстрирует высокую адаптивность группы. Cloud Atlas постоянно меняет подходы к использованию инфраструктуры и тестирует новые загрузчики. При этом группировка сохраняет ряд неизменных тактик, техник и процедур (TTPs, по фреймворку MITRE ATT&CK) и продолжает успешно эксплуатировать давно известные уязвимости. Это указывает на эффективность их атак, которая обеспечивается за счет наличия в сетях жертв непропатченных систем и человеческого фактора. Сочетание консервативных, но рабочих методов с постоянными экспериментами делает Cloud Atlas серьезной и динамичной угрозой для информационной безопасности организаций в регионе.
Индикаторы компрометации
