В июле 2025 года российские государственные учреждения столкнулись с целевой кибератакой со стороны хакерской группировки Cavalry Werewolf. Инцидент был выявлен специалистами антивирусной лаборатории «Доктор Веб» после обращения клиента из государственного сектора, который зафиксировал подозрительную рассылку писем с корпоративного почтового ящика. Расследование показало, что злоумышленники проводили кампанию по сбору конфиденциальной информации и данных о конфигурации сети, используя сложную цепочку заражения с применением как собственных разработок, так и инструментов с открытым исходным кодом.
Описание
Первоначальное проникновение в систему осуществлялось через фишинговые письма, содержащие вредоносные вложения, замаскированные под документы. Атакующие использовали бэкдор BackDoor.ShellNET.1, основанный на открытом проекте Reverse-Shell-CS, который позволяет устанавливать обратное соединение с зараженным компьютером. Файлы маскировались под служебные документы с названиями вроде «Служебная записка от 16.06.2025.exe» или «О проведении личного приема граждан список участников.exe». Для усиления правдоподобности злоумышленники размещали вредоносные программы в запароленных архивах и указывали пароли непосредственно в тексте писем.
После получения доступа Cavalry Werewolf использовали стандартные системные утилиты Windows для загрузки дополнительных вредоносных модулей. Через инструмент Bitsadmin злоумышленники загружали троянскую программу-стилер Trojan.FileSpyNET.5, предназначенную для кражи документов и изображений, а также бэкдор BackDoor.Tunnel.41 на базе открытого прокси-сервера ReverseSocks5 для создания скрытых туннелей. Это позволило им оставаться незамеченными и продолжить разведку в инфраструктуре жертвы.
Арсенал группировки включает разнообразные инструменты, адаптированные под конкретные цели. Среди точек входа обнаружены скрипты BAT.DownLoader.1138, которые запускают PowerShell-бэкдоры, и упакованные трояны типа Trojan.Packed2.49708, скрывающие в себе нагрузки для удаленного управления. Отдельное внимание привлекает BackDoor.Siggen2.5463, управляемый через Telegram-бота, что упрощает координацию атак. Для последующих стадий заражения Cavalry Werewolf применяют такие угрозы, как Trojan.Inject5.57968, который внедряет код в легитимные процессы, и BackDoor.ReverseProxy.1, обеспечивающий обратное прокси-соединение.
Характерной чертой группировки стало использование модифицированных легитимных приложений, включая архиваторы WinRar и 7-Zip, редактор AkelPad и даже Sumatra PDF Reader, который выдавался за мессенджер MAX. Подмененные программы теряют основную функциональность и выполняют только вредоносные сценарии, такие как запуск бэкдоров Havoc, CobaltStrike или клейперов (clipper), крадущих криптовалюты.
Внутри скомпрометированной сети злоумышленники действуют методично: собирают данные о пользователях и сетевой конфигурации через команды whoami, ipconfig и net user, проверяют настройки прокси с помощью PowerShell и curl, а для доставки инструментов используют легитимные средства вроде Bitsadmin и curl. Для обеспечения персистентности они прописывают автозагрузку в реестр Windows, а после выполнения задач удаляют следы через PowerShell.
Особенностью Cavalry Werewolf является активное использование открытого ПО, включая Reverse-Shell-CS и ReverseSocks5, что ускоряет разработку и усложняет атрибуцию. Управление через Telegram API позволяет им гибко контролировать инфраструктуру, а фишинговые рассылки имитируют переписку госорганов, повышая доверие жертв. Для хранения инструментов группировка часто использует публичные каталоги Windows, такие как C:\users\public\pictures и C:\users\public\downloads.
Эксперты отмечают, что атаки Cavalry Werewolf демонстрируют растущую угрозу для государственного сектора, где уязвимости в цепочке поставок и человеческий фактор становятся ключевыми векторами проникновения. Для защиты рекомендуется усилить фильтрацию вложений в почтовых системах, мониторить аномальную активность в сетевых логах и регулярно обновлять средства обнаружения, включая сигнатуры для инструментов с открытым исходным кодом. Важно обучать сотрудников распознаванию фишинговых писем и ограничивать права доступа к критическим ресурсам.
Индикаторы компрометации
