В 2026 году активность группы TA458 не снижается. Злоумышленники продолжают эксплуатировать уязвимости веб-почтовых клиентов, которые позволяют перехватывать данные без какого-либо действия со стороны жертвы. Для компрометации достаточно просто открыть вредоносное письмо в веб-интерфейсе почты - ни клика по ссылке, ни открытия вложения не требуется. Такой метод получил название "полущелчок" (half-click).
Описание
Основной целью TA458 остаются государственные учреждения Украины, а также военные и правительственные структуры Восточной Европы - в частности Албании, Греции, Молдовы и Турции. В поле зрения группы также попадают предприятия химической, телекоммуникационной и технологической отраслей. Для кражи данных используется вредоносное ПО SpyPress, написанное на JavaScript и адаптируемое под конкретный почтовый сервер жертвы. Атаки продолжаются с момента первой публикации об операции RoundPress в мае 2025 года.
По данным Proofpoint, в марте 2026 года была обнаружена эксплуатация уязвимости нулевого дня в платформе SOGo. Этот баг, получивший идентификатор CVE-2026-8496, был устранён в версии 5.12.8. Кроме того, TA458 использует уязвимости в почтовых клиентах Zimbra, mDaemon, Roundcube и Kerio. Некоторые из них также были нулевого дня, другие - уже известные, но не исправленные вовремя. Злоумышленники либо разрабатывают эксплойты самостоятельно, либо получают их из цепочки поставок - не исключено, что через структуры ГРУ.
Механизм атаки основан на недостаточной очистке данных в веб-почтовых интерфейсах. Вредоносное письмо содержит внедрённый JavaScript-код, который срабатывает при отображении сообщения. В результате SpyPress получает доступ к учётным данным, контактам и содержимому писем. Начиная с февраля 2026 года в коде SpyPress используется кастомная версия инструмента обфускации Obfuscator IO, что усложняет его обнаружение.
Особый интерес представляет эволюция SpyPress при атаках на Roundcube. С июля 2025 года злоумышленники начали заменять модули кражи данных на механизмы, обеспечивающие долгосрочный доступ к почтовому серверу. Для этого используется дополнительная уязвимость, позволяющая выполнить произвольный код через небезопасную десериализацию. SpyPress пытается установить до шести различных способов закрепления в системе: обратная оболочка, загрузка дополнительного кода через штатные утилиты, а также размещение простого веб-шелла по нескольким путям.
Атрибуция TA458 остаётся предметом дискуссий. Proofpoint не обнаружил совпадений по целям и тактике с известной группой APT28 (она же TA422). Однако есть основания предполагать связь с подразделением 20728, о котором в апреле 2025 года упомянуло французское Агентство национальной безопасности систем (ANSSI). TA458 использует отдельную инфраструктуру и методы, что позволяет рассматривать её как самостоятельный кластер.
Прогнозируется, что в краткосрочной перспективе использование больших языковых моделей может ускорить поиск новых уязвимостей как TA458, так и другими злоумышленниками. Однако почтовые платформы, в свою очередь, смогут быстрее закрывать обнаруженные бреши благодаря автоматизации. В долгосрочной перспективе эффективность вектора "полущелчка" снизится, и TA458, вероятно, переключится на более редкие веб-почтовые решения или изменит тактику, сфокусировавшись на прямом взломе почтовых ящиков.
Индикаторы компрометации
