Открытый каталог на сервере оператора DarkLunnen показал, чем он занимался больше года: доступом к европейским сетям, промышленным интерфейсам и инфраструктуре оборонных разработчиков. Рядом с инструментами лежали украденные конфигурации устройств и пароли удалённого доступа. Это не утечка у жертвы, а ошибка самого оператора. Она вскрыла куда больше, чем одна атака.
Описание
Сервер стоял в Латвии и отдавал содержимое рабочего каталога через простой HTTP-сервер на Python. Внутри нашлись инструменты, списки целей и история команд за более чем 14 месяцев. Оператор работал в момент обнаружения: последняя команда датировалась тем же днём. Выгрузить целиком каталог не удалось, в руки исследователей попали 35 файлов из 457. Полное дерево каталогов в публикацию не попало, часть файлов к моменту выгрузки осталась недоступной. Отсюда первое ограничение: выводы строятся по неполной выборке.
По данным Group-IB, вход в сети шёл через уязвимость CVE-2024-55591 в FortiGate. Оператор взял публичный эксплойт исследователей watchTowr и доработал его под свои задачи. Проверка выявила около 600 уязвимых устройств, преимущественно в Турции. География целей показывает приоритет региона, а не разовую проверку.
Доработка дала конкретный результат: эксплойт создавал на устройстве суперпользователя с именем service. Тот же аккаунт нашёлся в украденной конфигурации румынской организации. Рядом лежали пароли VPN в открытом виде. Совпадение аккаунта связывает два набора данных, но само по себе не доказывает, что доступ к внутренней сети состоялся.
Список целей шире сетевого оборудования. Среди них есть украинские оборонные и авиационные организации: в истории команд сохранились запуски инструмента для выгрузки репозиториев. Похищенный исходный код в каталоге не найден, поэтому успех этих попыток не подтверждён. Сам запуск инструмента ещё не означает, что репозиторий был выгружен. Выгрузка могла идти на другой сервер, и этот вопрос остаётся открытым.
Отдельная кампания перебирала VNC - протокол удалённого управления рабочим столом. Оператор нашёл 5775 доступных endpoint, примерно у четверти в именах стояли обозначения HMI и ICS. Это говорит о возможной экспозиции промышленных интерфейсов, но доступа к технологическим процессам записи не доказывают. Похожая картина со сканированием камер Hikvision с уязвимостью CVE-2017-7921: уязвимые устройства есть, подтверждённой компрометации нет.
Остальные эпизоды держатся на записях в истории команд, включая попытки эксплуатации Roundcube CVE-2025-49113. Второго подтверждения у большинства из них нет. Инфраструктура распределена: сервер в Латвии, промежуточный хост в Oracle Cloud, подключения по SSH через несколько стран и отдельный сервер управления. Исследователи не связывают DarkLunnen с известной группировкой. Раскладка клавиатуры и комментарий на русском языке указывают на рабочий язык оператора, но не на гражданство и не на связь с государством. Полный состав целей и судьба остальных файлов неизвестны: каталог закрыли раньше, чем его удалось выгрузить целиком.
Для защиты в первую очередь нужен контроль периметра: интерфейсы управления FortiGate, VNC, Hikvision и Exchange не должны быть доступны из интернета. Проверяйте учётные записи с именем service и другими нестандартными именами администраторов, а также входы с незнакомых адресов. На серверах с открытыми каталогами ищите Python HTTP-серверы, слушающие нестандартные порты. Историю команд и конфигурации стоит хранить вне хоста, который доступен злоумышленнику: в отчёте именно открытый каталог раскрыл многомесячную активность.
Индикаторы компрометации
