Группа киберпреступников Datacarry провела серию целенаправленных атак против 11 европейских и международных организаций с июня 2024 по июнь 2025 года. Первой жертвой стала литовская страховая компания Balcia Insurance. Эксперты по кибербезопасности изучили методы работы злоумышленников и обнаружили, что они активно использовали открытые источники информации (OSINT) для разведки, находили уязвимости и внедряли вредоносное ПО.
Описание
Одной из главных проблем, позволивших хакерам проникать в системы, стала уязвимость CVE-2023-48788 в Fortinet EMS, связанная с SQL-инъекцией. Через неё злоумышленники получали возможность удалённого выполнения кода с помощью функции "xp_cmdshell". Эксплуатация этой уязвимости давала атакующим контроль над системами жертв. Для маскировки своей активности группа использовала ротирующиеся прокси-серверы и нестандартные методы связи через WebSocket, что значительно усложняло их обнаружение.
Среди пострадавших организаций значатся компании из различных секторов: финансы, страхование, здравоохранение, IT и профессиональные услуги. В список вошли Balcia Insurance (Литва), Mammut Sports (Швейцария), Alliance Healthcare IT (Италия), V² Development (Греция) и другие.
Исследование показало, что злоумышленники использовали инструменты для сканирования интернета, такие как Shodan, и работали через Tor, чтобы скрыть своё местоположение. Их командная инфраструктура включала прокси-серверы, работающие на порту 8081, а связь с заражёнными системами поддерживалась через WebSocket. В качестве туннелирующего инструмента применялся Chisel, который активировался через скрипт "/version.js".
На заражённых машинах злоумышленники запускали несколько видов вредоносного ПО:
- KB332.ps1 - PowerShell-скрипт, открывающий RDP (порт 3389), отключающий ограничения PowerShell и создающий правило брандмауэра для удалённого доступа.
- audiofg.exe - исполняемый файл на Go, основной имплант, обеспечивающий устойчивое соединение через WebSocket и туннелирование данных.
В конце июня 2025 года часть инфраструктуры хакеров была выведена из строя - возможно, группа сменит тактику или перейдёт к новым атакам.
Индикаторы компрометации
Технический отчет
