С февраля по начало сентября 2026 года работала операция CSuite. Она соединяет кражу учётных данных, перехват действующих сессий Microsoft 365 и установку легитимных программ удалённого управления. Название дала административная панель, вокруг которой построена вся инфраструктура. Больше половины пострадавших организаций, а именно 60%, находятся в США. Остальные распределены по Европе и Азии. Схема устроена по партнёрскому принципу: поставщик выдаёт сообщникам хостинг, домены и доступ к удалённому рабочему столу, а те ведут собственные кампании.
Описание
Атака начинается с письма. Отправитель выдаёт себя за службу обмена документами, а само письмо уходит с уже взломанного ящика, поэтому фильтры почти не реагируют. Жертва получает приглашение посмотреть файл в Adobe Document Cloud, DocuSign, Zoom, SharePoint либо уведомление о голосовом сообщении в Microsoft 365. Затем срабатывает перенаправление, которое проверяет, не открыт ли браузер в режиме автоматизации. Дальше появляется поддельная страница просмотра документа: файл будто бы загружается, но так и не открывается. Работает на ней только одна кнопка, и та скачивает архив либо небольшой файл-загрузчик.
По данным ANY.RUN, за семь месяцев наблюдений собрано 351 связанное исследование в изолированной среде и 170 затронутых узлов. Административная панель хранила 216 подтверждённых жертв сбора паролей, 29 захваченных сессий Microsoft 365 и почти шестнадцать тысяч адресов, выгруженных из скомпрометированных почтовых ящиков. Отдельно операторы разослали более полутора тысяч поддельных документов через угнанные учётные записи Adobe Document Cloud. Масштаб говорит о том, что открытые источники фиксируют лишь малую часть активности.
Загрузчик запускается от имени администратора. Он устанавливает на компьютер программу удалённого управления - одну из легитимных разработок для обслуживания парка техники. Сами по себе такие программы не вредоносны, и на этом строится весь расчёт. Программа регистрируется в арендованном злоумышленниками тенанте, то есть в обособленном пространстве облачной инфраструктуры, и стартует даже в безопасном режиме. Жертва при этом видит всплывающее окно с сообщением об ошибке, которое быстро исчезает.
Второй путь ведёт не к устройству, а к аккаунту. Человеку предлагают ввести короткий код на настоящей странице входа Microsoft. Такой приём называют входом по коду устройства: жертва своими руками разрешает доступ мошеннику и не отдаёт пароль напрямую. Получив токен, цифровой ключ доступа, злоумышленник читает почту без второго фактора. Смена пароля ему не мешает, поскольку ключ живёт отдельно от учётных данных.
Операторы тщательно прячутся от автоматического анализа. Поддельные страницы распознают служебные программы, поисковых роботов и браузеры без живого пользователя. Проверяется и манера поведения посетителя: движение курсора, нажатия клавиш, время на странице. Тем, кто не прошёл проверку, показывают безобидное сообщение о технических работах. Кнопки на такой странице запускают бесполезные вычисления, которые нагружают процессор и мешают разбору образца.
Основной удар приходится на технологические компании, производство, госсектор, консалтинг, образование и некоммерческие организации. Последние особенно уязвимы: у них небольшие бюджеты на защиту и активные платёжные процессы. География шире отраслевой картины. Больше половины проверок в изолированной среде пришлось на США, 18% - на Индию, активность замечена также на Филиппинах, в Австралии, Великобритании и Канаде. Среди подтверждённых жертв - окружная администрация с тремя взломанными ящиками, два школьных округа в Техасе, публичная библиотека, благотворительный фонд и архитектурное бюро во Франции.
Последствия выходят за рамки одной утечки. Захваченная почта открывает путь к мошенничеству со счетами и подмене платёжных реквизитов. Доступ к рабочим машинам позволяет перемещаться по внутренней сети и развивать атаку дальше. Разбор инцидента требует отозвать активные сессии, проверить правила обработки почты, снять чужие программы управления и обследовать пострадавшие компьютеры. На всё это уходят часы работы команды реагирования, а иногда и несколько дней.
Базовая защита остаётся прежней. Сотрудников важно предупредить о поддельных страницах просмотра документов и о просьбах вводить коды подтверждения. Вложения и ссылки из неожиданных писем лучше открывать в изолированной среде, а не на рабочем компьютере. Двухфакторная аутентификация обязательна, однако от перехвата сессии и кода устройства она сама по себе не спасает. Поэтому полезно регулярно просматривать список приложений, которым выданы права доступа к корпоративной почте. Появление нового агента удалённого управления на рабочей машине должно вызывать вопросы: без ведома администратора он устанавливается редко.
CSuite показывает, что граница между кражей учётных данных и атакой на устройства стирается. Необычный вход в почту, свежее приложение с правами доступа и установленный агент управления могут принадлежать одной кампании. Связывать эти сигналы между собой приходится быстрее, чем раньше, поскольку инфраструктура злоумышленников меняется каждую неделю.
Индикаторы компрометации
