Группа Hydra Saiga: как казахстанские хакеры годами шпионят за критической инфраструктурой Евразии

Суть угрозы: целевой шпионаж в стратегических отраслях

Группа Hydra Saiga, активная как минимум с 2021 года, демонстрирует все признаки киберподразделения, действующего в рамках государственной программы. Её основная цель - сбор разведывательных данных путём проникновения в сети государственных учреждений и компаний критической инфраструктуры. Анализ выявил компрометацию как минимум 34 организаций в 8 странах, при этом разведывательная активность наблюдалась в отношении более чем 200 целей по всему миру. География жертв охватывает Центральную Азию (Россия, Туркменистан, Киргизия, Узбекистан и другие), Европу (Болгария, Словакия, Нидерланды), Ближний Восток (Турция, Оман, Иран) и даже Южную Америку. Особое внимание злоумышленники уделяют энергетическому сектору, водным ресурсам, правительственным структурам, здравоохранению и промышленности.

Ключевым атрибуционным признаком, связывающим группу с Казахстаном, стали цифровые следы, оставленные самими операторами. Анализ временных меток их активности выявил чёткий рабочий график в часовом поясе UTC+5. Более того, в дни казахстанских государственных праздников - 10 марта (перенос выходного с Международного женского дня) и 25 марта (Наурыз) - любая активность полностью прекращалась, что является сильным косвенным доказательством географической и культурной привязки операторов.

Технический арсенал: от Telegram-ботов до утилит Living off the Land

Отличительной чертой Hydra Saiga является активное использование Telegram Bot API в качестве канала управления и контроля (Command-and-Control, C2). Этот подход позволяет легко разворачивать и поддерживать связь со своими вредоносными программами-имплантами, маскируя трафик под легитимные запросы к популярному мессенджеру. Группа использует как собственные разработки, написанные на Rust, Go и Python, так и общедоступные фреймворки вроде Havoc, а также широко применяет тактику Living off the Land (LotL), используя встроенные системные утилиты Windows для выполнения задач.

Процесс заражения обычно начинается с фишинговых писем, содержащих вредоносные вложения - архивы RAR или ISO с исполняемыми файлами или документами Microsoft Office с макросами. Эти документы часто маскируются под официальные письма, связанные с региональными событиями или организациями. После выполнения начальной полезной нагрузки на систему загружается бэкдор, который устанавливает связь с оператором через Telegram и ожидает дальнейших инструкций.

Ручное управление и операционные провалы

Постэксплуатационная активность Hydra Saiga характеризуется как высоко ручная, «с клавиатурой в руках». Операторы последовательно, шаг за шагом, выполняют команды для закрепления в системе (persistence), сбора учётных данных, перемещения по сети и извлечения данных. Для этого они используют стандартные утилиты: "nltest" для обнаружения контроллеров домена, "PsExec" для удалённого выполнения, "curl" для загрузки инструментов и выгрузки данных.

При этом исследователи зафиксировали критические ошибки операционной безопасности (OPSEC) со стороны злоумышленников. В частности, некоторые операторы случайно заразили собственные промежуточные серверы своими же имплантами. Это привело к утечке истории их браузеров, поисковых запросов и деталей внутренней инфраструктуры, что стало бесценным источником информации для аналитиков. В истории поиска, например, обнаружились запросы о сканерах уязвимостей вроде Acunetix, поиск эксплойтов для SCADA-систем и инструкции по настройке фреймворка Havoc.

Стратегические кампании: вода и энергия

Действия Hydra Saiga не являются хаотичными; они чётко соответствуют стратегическим интересам Казахстана в регионе. В период с сентября 2024 по март 2025 года группа провела целенаправленную кампанию против водной инфраструктуры Центральной Азии, сфокусировавшись на объектах, связанных с бассейнами рек Сырдарья и Амударья. Были атакованы министерства водных ресурсов, научно-исследовательские институты и операторы гидроэлектростанций в Узбекистане, Таджикистане и Киргизии. Доступ к такой информации имеет критическое значение для управления водными ресурсами в засушливом регионе.

Параллельно группа проявляла активный интерес к энергетическому сектору. В конце апреля 2024 года операторы пытались получить доступ к системам газораспределения в приграничном с Казахстаном регионе России, а также тестировали уязвимости SCADA-систем на объектах в Аргентине, Бразилии и Индии. Эти попытки, вероятно, были частью разведки или подготовки к более масштабным операциям.

Рекомендации для защитников

Для противодействия угрозе со стороны Hydra Saiga специалистам по информационной безопасности целевых организаций и регионов следует предпринять ряд превентивных мер. В первую очередь, рекомендуется рассмотреть возможность блокировки исходящих соединений с доменом "api.telegram.org" на периметре сети, чтобы пресечь основной канал управления имплантами. Не менее важно усилить мониторинг сетевой активности на предмет соединений с хостами от хостинг-провайдеров, известных поддержкой анонимной оплаты криптовалютой (например, ASN, используемые BitLaunch или PSB Hosting), которые предпочитает группа.

Учитывая активное использование тактики Living off the Land, необходимо внедрять решения для обнаружения аномалий в поведении легитимных системных утилит (PowerShell, WMI, "certutil" и др.). Особое внимание стоит уделить мониторингу почтовых серверов на предмет всплеска исходящей корреспонденции с компрометированных ящиков, которые часто используются для фишинга следующей цели. Регулярный аудит учётных записей с привилегированным доступом и анализ логов на предмет подозрительной активности в нерабочее время также являются обязательными элементами защиты.

Вывод: устойчивая и эволюционирующая угроза

Группа Hydra Saiga представляет собой не временную вспышку киберпреступности, а устоявшуюся, резилиентную и эволюционирующую угрозу. Несмотря на публикации отчётов и разоблачения со стороны исследовательского сообщества, группировка продолжает адаптироваться, разрабатывая новые инструменты для обхода современных средств защиты, как, например, в случае с обходом app-bound encryption в браузере Chrome в июле 2025 года. Её деятельность, тесно связанная с геополитическими интересами, указывает на долгосрочные цели в сфере цифрового шпионажа. Для организаций в Центральной Азии и сопредельных регионах понимание тактик, техник и процедур (TTP) этой группы и внедрение упреждающих мер защиты должно стать одним из приоритетов в построении комплексной системы кибербезопасности. Индикаторы компрометации и подробные данные об используемых методиках были опубликованы в угрозном фиде VMRay UniqueSignal Threat Intelligence Feed для оперативного использования защитниками.