Эксперты Insikt Group обнаружили новую инфраструктуру, связанную с угрозой GrayAlpha - группой, пересекающейся с финансово мотивированным коллективом FIN7. В ходе расследования выявлены домены, используемые для распространения вредоносных нагрузок, а также дополнительные IP-адреса, предположительно принадлежащие злоумышленникам.
Описание
Среди ключевых находок - кастомный PowerShell-лоадер PowerNet, который распаковывает и запускает NetSupport RAT, а также обфусцированный загрузчик MaskBat, содержащий строки, связанные с GrayAlpha.
Аналитики выделили три основных вектора заражения: поддельные страницы обновления браузеров, фейковые сайты для скачивания 7-Zip и систему распределения трафика (TDS) TAG-124. Примечательно, что использование TAG-124 ранее не документировалось в открытых источниках. Хотя все три метода применялись одновременно, на момент публикации активными оставались только страницы с фальшивыми дистрибутивами 7-Zip, причем новые домены регистрировались вплоть до апреля 2025 года. В ходе исследования также удалось установить личность, предположительно связанную с операцией GrayAlpha.
Тенденции киберпреступности указывают на рост профессионализации атакующих: группы становятся более специализированными и кооперируются по модели RaaS (ransomware-as-a-service). GrayAlpha демонстрирует уровень настойчивости, сравнимый с APT-группами, что подчеркивает необходимость комплексного и адаптивного подхода к защите.
FIN7, с которой ассоциируется GrayAlpha, известна с 2013 года и считается одной из самых технически продвинутых преступных группировок. В 2018 году Министерство юстиции США предъявило обвинения трем ее участникам, однако инфраструктура и методы работы группы продолжили использоваться. В последнее время FIN7 расширила деятельность, включив в арсенал ransomware и NetSupport RAT, распространяемый через фейковые страницы обновлений.
Анализ инфраструктуры показал, что большинство доменов, связанных с атаками, размещены у провайдера Stark Industries Solutions (AS44477), а также на AS29802 (HIVELOCITY) и AS41745 (FORTIS-AS). Последний неоднократно использовался в операциях FIN7, включая развертывание POWERTRASH и DiceLoader. WHOIS-данные указывают на причастность к инфраструктуре организации Baykov Ilya Sergeevich (ORG-HIP1-RIPE), связанной с хостинг-провайдером hip-hosting.
Эксперты настаивают: мониторинг киберпреступного ландшафта и своевременное обновление защитных механизмов - ключевые элементы противодействия развивающиеся-угрозам.
В прошлом году Silent Push уже упоминал аналогичную активность (доменные имена) связанную с Carbon Spider.
Индикаторы компрометации
Технический отчет
