Эксперты Лаборатории Касперского выявили новую серию атак продвинутой постоянной угрозы (APT) Tomiris, начавшуюся в начале 2025 года. Целями киберпреступников стали министерства иностранных дел, межправительственные организации и государственные учреждения, что демонстрирует их фокус на критически важной политической и дипломатической инфраструктуре. В нескольких случаях исследователям удалось отследить действия злоумышленников от первоначального заражения до развертывания пост-эксплуатационных фреймворков.
Описание
Эти атаки подчеркивают заметный сдвиг в тактике Tomiris, в частности, расширенное использование имплантов, которые задействуют публичные сервисы, такие как Telegram и Discord, в качестве командных серверов (C2). Такой подход позволяет смешивать вредоносный трафик с легитимной активностью служб для уклонения от обнаружения системами безопасности.
Большинство заражений начинается с развертывания инструментов обратной оболочки (reverse shell), написанных на различных языках программирования, включая Go, Rust, C/C++ и Python. Некоторые из них затем доставляют фреймворки с открытым исходным кодом: Havoc или AdaptixC2.
Технические детали кампании раскрывают сложную многостадийную атаку. Изначальное проникновение осуществляется через фишинговые письма, содержащие защищенные паролем архивы. Внутри архивов находятся исполняемые файлы, часто маскирующиеся под документы Office с двойными расширениями вида .doc<много_пробелов>.exe. Длинные имена файлов скрывают их настоящие расширения от пользователей.
Особый интерес представляет имплант Tomiris C/C++ ReverseShell, который после быстрой проверки окружения загружает бэкдор AdaptixC2. Злоумышленники используют встроенные утилиты ОС для загрузки вредоносной полезной нагрузки, включая bitsadmin, curl, PowerShell и certutil. Затем они обеспечивают постоянство (persistence) через добавление в реестр Windows и проверяют успешность внедрения.
Обнаружен также ранее не документированный загрузчик на Rust, который собирает системную информацию и передает ее на Discord через webhook. Интересно, что троянец передает только пути к файлам с определенными расширениями, но не сами файлы. После сбора данных он создает скрипты для загрузки и выполнения дополнительных компонентов.
Питоновский имплант Tomiris Python Discord ReverseShell использует мессенджер Discord в качестве канала управления. Его функциональность включает выполнение команд и загрузку последующих компонентов, таких как AdaptixC2 и Tomiris Python FileGrabber, который специализируется на сборе файлов с определенными расширениями.
В арсенале группы присутствуют и другие инструменты, включая бэкдор Distopia на Python, различные варианты обратных оболочек на C#, Rust и Go, а также прокси-серверы обратного SOCKS. Многие из этих инструментов основаны на открытых проектах с GitHub с минимальными модификациями.
Анализ жертв показывает, что более 50% фишинговых писем и файлов-приманок использовали русские имена и содержали текст на русском языке. Остальные письма были адаптированы для пользователей в Туркменистане, Кыргызстане, Таджикистане и Узбекистане с контентом на национальных языках.
Атрибуция к группе Tomiris подтверждается многочисленными пересечениями в методах распространения, включая использование специфических длинных имен файлов и паролей к архивам в формате "xyz@2025". Различные образцы вредоносного ПО часто распространялись под одинаковыми именами файлов, что указывает на их связь.
Эволюция тактики Tomiris подчеркивает фокус группы на скрытности, долгосрочном persistence и стратегическом таргетинге правительственных и межправительственных организаций. Использование публичных сервисов для C2-коммуникаций и многоязычных имплантов требует применения продвинутых стратегий обнаружения, включая поведенческий анализ и инспекцию сетевого трафика.
Индикаторы компрометации
