Аналитики компании F6 Threat Intelligence впервые зафиксировали целенаправленные масштабные атаки международной хакерской группировки Kinsing на российские компании. Как следует из отчета весной 2025 года группировка, известная также как H2Miner и Resourceful Wolf, атаковала организации финансового сектора, логистики и телекоммуникаций с целью незаконного майнинга криптовалюты Monero (XMR).
Описание
Смена географического вектора
До 2025 года Kinsing, действующая с 2019 года, преимущественно атаковала цели в Северной Америке, Западной Европе и Азии. Инцидент начался с обращения российского клиента F6, зафиксировавшего в апреле подозрительную активность на внешних серверах. Предоставленные IP-адреса, проанализированные с помощью открытых песочниц и Threat Intelligence-платформ, показали признаки ботнет-инфраструктуры: массовый перебор учетных данных SSH, сканирование уязвимостей и автоматизированные атаки на веб-сервисы.
Ключевой находкой стал открытый порт 2375 (Docker Remote API) без аутентификации на одном из хостов. Анализ контейнеров выявил команду, загружающую и исполняющую скрипт d.sh с IP-адреса 194.38.20.2. Этот скрипт, содержащий свыше 800 строк кода, выполняет три разрушительные функции: отключает системные защиты (iptables, AppArmor), удаляет конкурирующее вредоносное ПО (включая другие криптомайнеры) и устанавливает бинарный файл Kinsing вместе с майнером XMRig.
Техника и инфраструктура атак
Фаззинг-атака на хост 194.38.20.2 позволила обнаружить 90 вредоносных файлов с именами по шаблону *[символ].sh* (a.sh, x.sh и др.). Анализ конфигурационного файла config.json выявил адрес майнинг-пула и криптокошелек злоумышленников. Сопоставление TTP (тактик, техник и процедур) с известными шаблонами Kinsing подтвердило атрибуцию:
- Группировка избегает фишинга, фокусируясь на эксплуатации уязвимостей в ПО (CVE-2017-9841 в PHPUnit, CVE-2021-44228 в Log4j и др.) и ошибках конфигурации, особенно в Docker, Kubernetes и облачных средах.
- Атака трехуровневая: сканирование инфраструктуры → доставка вредоносов через скрипты → формирование ботнета для майнинга и горизонтального перемещения.
- Основные цели - Linux-серверы в облачных и контейнерных средах, при этом Kinsing использует специализированные скрипты для разных сервисов (например, lh.sh для атак через уязвимость Log4Shell).
Уникальные особенности
F6 подчеркивает новизну атак Kinsing на российский сегмент: ранее группировка практически не проявляла активности в СНГ. Кроме того, обнаруженные скрипты демонстрируют высокую агрессию к конкурирующим вредоносам - они целенаправленно завершают процессы других майнеров и очищают системы для монопольного использования ресурсов.
Эксперты предлагают компаниям следующие меры защиты:
- Блокировать неавторизованный доступ к Docker API (порт 2375) и другим управляющим интерфейсам.
- Мониторить POST-запросы, содержащие URL/IP-адреса в теле - это ключевой индикатор доставки полезной нагрузки Kinsing.
- Регулярно обновлять ПО для закрытия уязвимостей в PHPUnit, Apache, Confluence и других компонентах, эксплуатируемых группой.
Заключение
По данным F6, атаки Kinsing демонстрируют растущую адаптацию международных киберпреступных группировок к российской ИТ-инфраструктуре. Несмотря на экономическую мотивацию (криптоджекинг), методы группы включают сложные техники эксплуатации, требующие профессионального уровня защиты. Раскрытые индикаторы компрометации (IoC), включая криптокошельки и шаблоны скриптов, переданы в CERT-команды для предотвращения новых инцидентов.
Индикаторы компрометации
