С начала 2026 года российские государственные структуры и компании из сфер промышленности и авиационных систем столкнулись с целенаправленными атаками новой хакерской группировки HeartlessSoul. Злоумышленники активно используют фишинговые письма, поддельные рекламные кампании и даже легитимную платформу SourceForge для внедрения сложного вредоносного ПО на JavaScript, способного красть геопространственные данные, перехватывать нажатия клавиш и похищать содержимое буфера обмена. В ходе расследования специалисты также обнаружили пересечения инфраструктуры HeartlessSoul с другой известной APT-группой GOFFEE, что указывает на возможную координацию действий между ними.
Описание
Группа HeartlessSoul активна как минимум с сентября 2025 года. Основной вектор заражения - фишинговые письма, содержащие архив с LNK-, XLL- или MSI-файлами. При открытии вложения на устройство жертвы загружается загрузчик JavaScript, который затем доставляет основной вредоносный модуль - RAT-троянец (удалённый доступ к системе) и дополнительные модули. В дополнение к фишингу атакующие размещают вредоносную рекламу, имитирующую сайты с программным обеспечением для авиационных систем. Например, на поддельном домене battleflight[.]pro был найден установщик BattleFlight-Installer.exe, который после запуска скачивал загрузчик index.js и продолжал цепочку заражения.
Особую тревогу вызывает использование злоумышленниками платформы SourceForge. Они создали поддельный проект, маскирующийся под легитимный сервис GearUP для улучшения соединения в онлайн-играх. Вредоносный архив GearUP-2.54.1-win.zip содержал MSI-установщик, который запускал скрипт install.ps1, устанавливающий Node.js и загружающий JS-загрузчик index.js. Таким образом, даже пользователи, доверяющие открытым репозиториям, могли стать жертвами атаки.
Аналитики компании "Лаборатория Касперского" обнаружили в ходе исследования несколько ранее не описанных функций JavaScript-троянца. Среди них - кейлоггер, инструмент для захвата экрана и функция получения текущего содержимого буфера обмена. RAT умеет собирать подробную информацию о системе жертвы: версию ОС, параметры процессора и памяти, имя домена, настройки UAC, а также определять местоположение устройства. Для закрепления в системе загрузчик добавляет себя в автозагрузку через VBS-скрипт и запланированную задачу с именем ZeroDriveBackupTaskSystem141.1.7272.0. Троянец также способен выполнять произвольные PowerShell-команды, загружать и запускать сторонние бинарные файлы, а при необходимости - полностью удалять все свои компоненты, заметая следы.
Однако главная цель атакующих - сбор конфиденциальных данных, особенно геоинформационных форматов (GIS). Встроенная команда FileUploadingCommand нацелена не только на офисные документы, архивы и изображения, но и на файлы с расширениями .kml, .kmz, .gpx, .shp, .dbf, .geojson, .mxd, .qgs, .qgz, .dem, .tif. Такие данные содержат сведения об инфраструктуре, дорогах, инженерных сетях и рельефе местности, что представляет большую ценность для организаций промышленного и государственного секторов. Кроме того, RAT способен красть cookie-файлы и мастер-ключи из браузеров Google Chrome, Microsoft Edge, Яндекс Браузер и Opera, а также выкачивать данные из мессенджера Telegram, копируя содержимое папки tdata.
Инфраструктура HeartlessSoul состоит из C2-серверов (командных центров), зарегистрированных через регистратора Tucows Domains Inc., и виртуальных частных серверов в разных странах. Примечательно, что домен battleflight[.]pro разрешается в IP-адрес 104.194.158[.]63, на котором ранее были размещены поддельные ресурсы, связанные с APT-группой GOFFEE. Обе группы используют PowerShell для доставки и выполнения вредоносных модулей, а также применяют схожие приманки, связанные с авиационным программным обеспечением. Это пересечение говорит о возможном сотрудничестве или координации кампаний.
Атаки HeartlessSoul продолжаются и на момент написания материала. Предприятиям российской промышленности и госструктурам необходимо усилить защиту своих сетей. В первую очередь следует обращать внимание на необычные цепочки процессов: запуск LNK-файлов из временных директорий, скрытые аргументы командной строки в PowerShell, появление подозрительных файлов в папке автозагрузки. Защитные решения на базе поведенческого анализа способны детектировать подобную активность по аномалиям запуска интерпретаторов и нетипичным параметрам команд.
Ситуация демонстрирует, что даже открытые платформы распространения ПО могут стать оружием в руках целенаправленных злоумышленников. Сочетание фишинга, вредоносной рекламы и атак через SourceForge делает группу HeartlessSoul гибкой и опасной. Связь с GOFFEE добавляет элемент неопределённости: возможно, в будущем эти группы объединят усилия или расширят список целей. Российским компаниям и ведомствам стоит воспринимать эту угрозу со всей серьёзностью и оперативно проверять свои системы на наличие признаков компрометации.
Индикаторы компрометации
