В марте-апреле 2026 года украинские специалисты по кибербезопасности зафиксировали резкую эскалацию целевых атак на критическую инфраструктуру. Основными мишенями злоумышленников стали органы местного самоуправления и, в особенности, учреждения здравоохранения - клинические и экстренные больницы. Однако, как выяснилось, под угрозой также находятся и военные подразделения. Атаки демонстрируют высокий уровень технической изощренности, сочетая социальную инженерию, сложные многоэтапные процедуры загрузки вредоносного кода и широкий арсенал инструментов для последующего закрепления в системе и перемещения по сетям.
Описание
Кампания начинается с классического, но оттого не менее эффективного фишинга по электронной почте. Злоумышленники представляются от лица гуманитарных организаций, предлагая обсудить помощь. Для придания правдоподобности они могут создавать с помощью искусственного интеллекта целые фейковые веб-сайты или даже использовать уязвимости реальных легитимных ресурсов, например, внедряя вредоносные скрипты через XSS-атаки. Цель - заставить жертву перейти по ссылке.
В случае успеха на компьютер жертвы загружается архив. Внутри него находится файл ярлык (LNK), открытие которого запускает штатный системный инструмент "mshta.exe" для обработки HTA-файлов. Этот файл обращается к удаленному веб-ресурсу и выполняет размещенный на нем HTA-скрипт. Последний отображает пользователю фишинговую форму-приманку, одновременно в фоновом режиме загружая и запуская через планировщик задач исполняемый EXE-файл.
Особенностью последних атак стал двухэтапный лоадер. Первый этап загружает второй, который, в свою очередь, написан с использованием собственного формата исполняемых файлов, поддерживающего все основные функции PE-файлов. Финальная полезная нагрузка дополнительно сжата и зашифрована. В качестве начального средства удаленного доступа злоумышленники используют либо стандартный обратный TCP-шелл, либо инструмент, классифицированный как RAVENSHELL. Последний устанавливает TCP-соединение с сервером управления, шифрует трафик с помощью 9-байтового XOR-ключа и выполняет команды через командную строку (CMD).
Для закрепления в системе злоумышленники развертывают более функциональную вредоносную программу, получившую название AGINGFLY. Это инструмент удаленного доступа, написанный на C#. Его отличительная черта - модульная архитектура: основные обработчики команд не вшиты в код, а динамически загружаются с сервера C2 в виде исходного кода и компилируются прямо на зараженной машине. Это затрудняет статический анализ и позволяет оперативно обновлять функционал. Параллельно используется PowerShell-скрипт SILENTLOOP, который обеспечивает выполнение команд, автообновление и, что любопытно, получение актуального IP-адреса сервера управления через Telegram-канал как основного источника, имея при этом резервные механизмы.
Анализ десятка инцидентов, о которых сообщили в CERT-UA, показал, что после проникновения злоумышленники активно занимаются хищением данных. Они используют специализированные инструменты, такие как CHROMELEVATOR для извлечения учетных данных из браузеров и ZAPIXDESK для кража данных из мессенджера WhatsApp. Далее следует этап разведки и горизонтального перемещения по локальной сети. Хакеры применяют как простые самописные сканеры подсетей, так и публично доступные инструменты вроде RUSTSCAN. Для создания скрытых туннелей и поддержания доступа используются программы LIGOLO-NG и CHISEL. В одном из случаев был даже обнаружен майнер криптовалюты XMRIG, замаскированный под библиотеку DLL и загружаемый с помощью патченного легитимного исполняемого файла программы WIREGUARD.
Отдельное внимание привлекает вектор атаки на военных. 10 марта 2026 года через мессенджер Signal распространялась якобы обновленная версия программного обеспечения для операторов FPV-дронов под названием "BACHU". Однако архив содержал вредоносную нагрузку, которая через механизм DLL side-loading запускала на компьютере тот же самый AGINGFLY. Это указывает на то, что злоумышленники целенаправленно ищут уязвимые места в цепочках поставок программного обеспечения для армии.
С технической точки зрения, эта кампания демонстрирует тренд на усложнение цепочек заражения и использование легитимных системных утилит (Living off the Land), что затрудняет обнаружение. При этом начальный вектор - фишинг - остается ахиллесовой пятой, зависящей от человеческого фактора. Эксперты подчеркивают, что вероятность успешной атаки можно значительно снизить, ограничив политиками AppLocker или аналогичными средствами выполнение потенциально опасных типов файлов (LNK, HTA, JS) и запуск таких утилит, как "mshta.exe", "powershell.exe" и "wscript.exe", на тех рабочих местах, где их использование не обусловлено производственной необходимостью.
Индикаторы компрометации
IPv4
- 109.237.97.4
- 109.237.97.43
- 138.124.228.103
- 138.124.229.250
- 159.255.38.19
- 193.124.56.218
- 194.87.108.110
- 197.129.62.225
- 2.27.19.81
- 5.104.75.193
- 63.250.43.96
- 77.239.98.97
- 89.125.189.118
- 89.22.234.92
- 91.108.248.20
- 91.108.248.95
- 91.108.249.106
- 91.108.249.60
- 91.149.221.9
- 91.149.253.100
- 95.154.227.16
IPv4 Port Combinations
- 109.237.97.43:11601
Domains
- buttrocket.work.gd
- declaration.linkpc.net
- dsszzi.linkpc.net
- edbo.work.gd
- form.zip
- frontforce.org
- he335f2d353d.publicvm.com
- nazk.linkpc.net
- paste.c-net.org
- ukrdopomoga.space
- ukrvarta.online
- vizcpalsuvnbhjltpnrxcc5fo7lw95uy7.oast.fun
URLs
- http://193.124.56.218/dc
- http://193.124.56.218/wg
- http://194.87.108.110:8000
- http://194.87.108.110:8000/api/client//state
- http://194.87.108.110:8000/api/commands
- http://194.87.108.110:8000/api/register
- http://194.87.108.110:8000/api/result
- http://194.87.108.110:8000/api/status
- http://197.129.62.225/dc
- http://197.129.62.225/wg
- http://89.125.189.118:8000
- http://91.149.221.9:8000
- http://91.149.253.100:8000
- http://95.154.227.16:8000/api/client//state
- http://95.154.227.16:8000/api/commands
- http://95.154.227.16:8000/api/file/client.ps1
- http://95.154.227.16:8000/api/register
- http://95.154.227.16:8000/api/result
- http://95.154.227.16:8000/api/status
- https://89.22.234.92:8443/
- https://buttrocket.work.gd/nld/license_ua.txt
- https://buttrocket.work.gd/nld/updater
- https://declaration.linkpc.net/declaration.zip
- https://declaration.linkpc.net/DocViewer.exe
- https://dsszzi.linkpc.net/OneDriveUpdater.exe
- https://edbo.work.gd/DocViewer.exe
- https://edbo.work.gd/Форма.zip
- https://frontforce.org/
- https://nazk.linkpc.net/nazk/form.hta
- https://nazk.linkpc.net/nazk/request.html?id=937259-26
- https://nazk.linkpc.net/nazk/script.js
- https://nazk.linkpc.net/nazk/updater.txt
- https://paste.c-net.org/HobsonTarnish
- https://pastebin.com/zpdvMVAJ
- https://t.me/psyberia_alpinequest
- https://t.me/sdgsersergser
- https://ukrvarta.online/conference/conference.hta
- https://ukrvarta.online/conference/updater.txt
- https://ukrvarta.online/court/first.js
- https://ukrvarta.online/court/notification.hta
- https://ukrvarta.online/court/script.js
- https://ukrvarta.online/court/updater.txt
- https://ukrvarta.online/dopomoga/dopomoga.hta
- https://ukrvarta.online/dopomoga/dopomoga.html
- https://ukrvarta.online/dopomoga/form.html
- https://ukrvarta.online/dopomoga/script.js
- https://ukrvarta.online/dopomoga/updater.txt
- https://ukrvarta.online/hospital/form.zip
- https://ukrvarta.online/hospital/hospital.hta
- https://vizcpalsuvnbhjltpnrxcc5fo7lw95uy7.oast.fun/consumer
- https://vizcpalsuvnbhjltpnrxcc5fo7lw95uy7.oast.fun/mfa
- https://vizcpalsuvnbhjltpnrxcc5fo7lw95uy7.oast.fun/nerc
Emails
- canc.court@outlook.com
- nazk.kharkiv@ukr.net
MD5
- 017ac66be86dcbd9f539ba91c0b04f5f
- 031f87dc90425661c47839aefbd535de
- 0487a1ca8bb854f2a28644849f645722
- 09dbbada80f0198936d073fae9d1fdf9
- 0c883112be08398d5bbc686a933ac6bc
- 0d3ad791985b179604fc5dba184a40e9
- 12898c851bb409ae06b2ff7a67b2a336
- 1958a8d7b6cb83326b719e0587cd5d48
- 1d04536714bb22a3e909525a7dd627f0
- 21975c94467458c4ebffe458c5eaec71
- 24909335a110650fbd9b5633b3855534
- 26626b3dd0d47ca67ca7c573b2d2acb2
- 26f5f39e7e22ee43ad45b84da70b56a4
- 26f94d2cb5e178db22a4ef364135e303
- 283ba6abfe5606dde0df31d38c533101
- 2a218860021a14b8f2766cb2dc99953e
- 2da0d5a00920753d3ecba2c514d21c3d
- 324b95d5121d0c4363dff2f55f9a67e8
- 32a68cacb96f3b2e67f4d2889094cb6f
- 36c4dd58b17ab8878bcf1dfa74dd6858
- 38b8c8cf78050eabeab24b83b4e350d7
- 3fa655df754bf0edd313f29be8606d27
- 3fa804f64a59117ad7f77013647105be
- 44fe18a23d6d2ca53a7234a934f438db
- 47b35575794f602fd1584ef75dff5576
- 4917232fe3fd7fcbe8ca9b5866e00281
- 494b29a98d846ed03e96b8691007ac2d
- 4abfbe1fe6d467a28ccc2697284c86e8
- 4cca317b3f810b24fb25212170af4461
- 4e679b35fc6e23403d369fc1e93ef2b9
- 5493eec4cadbbd7c8d6668e12cf12f60
- 58c6ab5142e5b6e8806a4142fd829e28
- 5a2941330dbb405313f4d9f4c74a6a23
- 5c6399960807835e2328b8e51ec0fbb3
- 5cf94d3db151a200ffd72a2b9bc17a75
- 5e0070c50c82c6b30de51393a01988d8
- 608e2704a6d90f6c2712ae46cfcac6c8
- 622b490d80943ab25e524ccef12783e3
- 63657b025709468b6b4120ae7bb2bffe
- 6ae81a9b752ada83d451a2f75b19018c
- 6b38c1ee0495476455b6b4a1364a4f67
- 6e1a03bfbdc178e4eefb04fc9de2446b
- 70d05b70ab15f7818bf70c36829d5a26
- 70f0042ae4f3e1ea71dce10cc2da0aae
- 720235db313502d636a69d8ec118a924
- 7204bb8bcc40b833fc3fac65d537e725
- 74d98c81d7b9df7dbf480f99f3a461a6
- 7626f997057a8db6ffd9e5c3cffa0cef
- 7719b90aabc892354a7bd5ccf6ab3970
- 7b29ad0c8f4db5ed175f1076ceac75ab
- 83850c7c688f99ca241d39d7fb6779df
- 8440fc8a282d98f36e04308eb04acddb
- 882d69bd0159fe7d709f3d4b31f415da
- 88d0009e357809bd1455eafd07dc04ff
- 8b2a9635f729c68cddedc00c70c8b4f2
- 8cf7f95c1062800ce1bd2af2a2be789f
- 92c084578bfb149acbea41eabb0627fc
- 93c72fe81131eec53a4b3cbc8534d4a9
- 9493ecceeb99406626c84de42cc046e4
- 96b64318d8409b23572e4e5a2b4284c7
- 9a6a7b12557d6a077cf410830c72f2da
- 9bdb0c756eb6e4af9a58c0bdbb0099fb
- 9e545e8065cdaf4ee15ed501bda9191c
- a2b1c0f45961a4fb58d6cab5de9ac4bc
- aa526a8d5c32aa9a5722575efbac8f8c
- ac48c0436ee191a4b2bbe6a19a4948ea
- b334b95d269f40d1fafb173bb4649831
- b3a43f01addd074cfc614f20ba1b1207
- b60ffad8f8f5f5e8d9ab2fbd2f15ea5b
- b8533f370e9e7377dd50b5af2095e221
- bb3e5ac80cfcff6d81644e624da79c4a
- be30b8d47b7485a7f59f414c60cf12c8
- c51769e943944b4334a31148a4d4e23f
- c59162c429b034fa2952b74d1bfdc735
- c842e479a2350d848af64bb2cf04d595
- c9715c012b512f373caf2da6c7280abc
- cbeb2dfe8488923179ac829e108634e5
- cc13fcfe2a7e78fcaa1963fb35aa4357
- ce61a846a0b292b20404742ffb91445e
- d1bee5b108556db0c1943edd819a88f9
- d2b006d6f435560ab3698204a2742423
- d5662d329303312c17559b30db08dac4
- d6b435d886d99ad4c8995c6eeabf16b3
- d88ba3021657d4afb2e800ad67282707
- d9ca565d07b7c99e1f9c7aaf59673ba2
- dc709e460dd74abc02e9f912c66f27ad
- e39bbb156fc64fc0e095b0f5edee2c11
- e4e9540383fa6a389bc8f5453033a69a
- e7a0b364c94ab38a88ae9a942808acc1
- ea5b6f3b9929a0379a8653624105d42f
- ec82e01548ee2d02a29ebc9676c932b9
- ee2050e3d594dc4f057963984a3c1e5f
- ef01bdcaf083122cb302ed9a03a7e9d4
- f2c06d95e95ca67a433778145e2d51c4
- f8058857fd936d4f3daff9e2d0c50a66
- fc00d35e951ce2fd154c13770ebabda0
- fc85541f66d643c32e30fa8e15563517
- ff0a0d47229a92d95139f1d6bd8ac691
SHA256
- 0290f1c8ef7baf3330bd83ce1db197487421f6010244e54cbd08da70579c4c1e
- 0337fffa8df404a3e6b996548821c9e86c46cd7ae58140d107dda03e57502052
- 041e6b1e041b1048e91cf9b3dab24cc76fd95dba22f06a9039f1c392918cdf40
- 083c160fe1c380f553fb3f112eebc83fbbe41728f718e64871669b9956b68c51
- 08913c9f30a013085037e49cc6aca80ac010417f6fb31a954eff9e5793939ff3
- 0ddd730a9df4d71e1a4df6a1a6060348c50db08930763f87ddb55504db83d043
- 108eddf0e17d449ef56ca78fe6a20aeed8458c85d90dfbc5a1f34012febc3f55
- 10a3cb196db7981b1e6ad64cef51b13270cf14e3f2dc688d6410c610307fb089
- 13a83e8becb91e7884400214cddd96f5890960992d263815193db3eb18814456
- 145064e57fa51c4da495d5e2560ccfeba9c4065c3519445804b2de0bc09854f3
- 1b64c30d9c2de9d589156892fbfb5740cee8d97581728763c488410e6c82ca30
- 1b6507b600bf628bb87cef0c2acbbb9b8f1b286c59e0d6cdc6b2f1573446b2c8
- 2120457b22c124b5671eb985b0628e8c08e6c9a4356d74a87e2954730533daff
- 2244469442edacc7d539ea999d8c89263619589b088f778f629a22ef7034d5e9
- 22c96b2e5fb474ada47eab436692880848d3b84c8b78fc552c320d9d454c561f
- 273a1d95b66f9f4dd8a36669a7834c3648fd9871b75071249cb5b080a15050df
- 2ab7a035d78e7721feab67c4a60ae12106aef9c0e6acfa27b12d0ab2e8958da6
- 2cfc0ad9bbebbfe8eee70edec9955dd43effe580c1d1975319c97d9285fb3fda
- 2f0b749486071d37e3669cbd87fce60d330af405027b4716c93e34efb3432938
- 2f8bb95837f68b34f30ae8a1e06342a4249d13db09188363e73e3f5190b85408
- 301369b1e02c89b40f358f4a5f1213f1b0bfec8c9211e852fd0e23b874a1406c
- 335561b2d40c02a1002c3da80793218474cdc8a53a5ce4c18ffb1cfb4a8a0b2c
- 39e90d5f6875a9e65629d25566dbc1dca21ce1846040dd56fc973cfdc2de2187
- 40b68d6f8e54f29c41a224adda2b1146b1e78db8ac71d7529dbf97ae0b65f74d
- 480ee91706901f0d190209131126194c8c62c1304a7aeca494d749875667cf60
- 4a41901d0bd852206ddd72f4acbcdb9fba0abcc9917bd677180f9d43a9eff110
- 4b41f36f82db6da8767a0a1c2997c8242d80b2d10a8f1d28c252a9306ec152b5
- 5250736eff7f487f79bed1af01e94a57ebb728bd704702d02fcda688a5ba8982
- 53ba5fd24bbf81d3a2fc53af19884b8ebb6344281891bdb78adb924a1f65b40b
- 5751574ecbce6611ae0e2accbdb1b2eaf09278fbb168f02ecc39c1471c756d70
- 57c6b2e25330b2385a0f3bcd8c7ae531b745a3e7e50657d7f78eaef7ad3d3f8d
- 5805f886f41eef041103b2ac4fc7298c3545f8bd2e74e3e8bd4a9f40f72ec48e
- 58d1c2edc57ed02e7cf932608f10686f44cc57432749b8894f29a8e7390c8297
- 5a1f37938a2462c036905e1d21f40831178000b45634d4ee0070883089576639
- 5b484577f1aeacde601ceb1a96f21e528eea2cdef67b6438ec99e8d0d7ed3cb7
- 5db5e7f655c4ee94411df8110d1b6d02bb15574ac199fa7a553ce6c3cb25bf03
- 63d8bec7b8e0f5d597a6b4d2dea310943f9287c7740edc1da1c691036520ef5a
- 6635e02be395748604877c57347bda9e008e44a72124684574e9176fd347e38f
- 6964067a3a9aededc653691b80cd9d52db5581cf8159d0b2e30d0de40fd54126
- 6e228f2fc1bc6d4bb9db024dfe2850e9bf35039cba8b73abc4be2dcd07f48ee4
- 6f615f084d17ccd5fa075cf393525cbce0b25cda8f2ea70b416ab097e3994600
- 6fb81529a2d0477ffc85abf1a5eaadb5cdec692a1c5f428c8d1296d6770efa9b
- 73c733f4e60a06f18635c259f067d9aff438ee177dc487b7dab884647c6f0dc9
- 758948b06d9a4ae4bfa75b8dfbe007600ce98f26db544f24d5318659132c36d5
- 7c77bd170ad19279ebec6d014ee5ea59da9267de0117e1f4a1ec50fc3934e91c
- 7d6d58f91d13b21e54d8c72a5036cf80efd97f426f8983fb81d6e1ad7e8e8329
- 7df9324c7f74c6e2a5d55e3145882bb26cd1d516aebe41460e8f43c7be606d94
- 8040da63a8f5be3fec9724d6d6e6f101f5336d99be309bf0b7cd781f12aace15
- 814a3dd631e767354104b54b972af5766faa48f7e0514eda4369c15af60b7a27
- 847808a455b715918fb2640a49d311ebc695d7a31353127c86a759c634288b89
- 855aa94f872d6ccafea38020c03ca4dc609a505787190b0c0a12a445fa954bf4
- 8984d6896aaa5cace9cf80d4c16205f2f7c0cc7349b0d1bf8dae4930db5f89d5
- 8a040a2955447462f1fda39334412a7072c9f02925f0b701c7ccb3c632f4dc4d
- 90f88aaed18e3c8855d7d925984c68aa3e8988a1c7ac347e24ce60918ac4a0c1
- 91003d2f9a091cbb125a05fdd323ac31038e36b556aef08f20d8c1df1d049593
- 9406148ba138d4e212a9f9e961186635cd00193473a2f653ac129f98badcb9fe
- 94ac9db9a6bbf603b93cc58ca206dec9dc2f0addf937f7fb7399cb4c46b1a442
- 97544105269e9fc39b5cf2b01f3bedae5901739eb6b7d3444546e86f1bfc884f
- 984ab1e993c7a2f61598af9deadc0355e46ad1d9fbce9cfbe524dafb0cb95d82
- 98f3773888a2f5aa3730bdec08803fd31477d42b41cce2adc1f0e31b2340e5d6
- a1a67fbceac6b3b840893e375da5c449d0dacb22b4a914c5ff9827d42c991758
- aae81ae7528f6515051e601705d498b349161f264e10b6d2ee364d36943aa06e
- ab7d9b4b692ce6353441f483333df5b3ca7889bec3299803cf06c2877ab25439
- abdf14bdba262975882ae3d547da2f7ccdb9d181aa0b4bbc758d0f8ec5b8280b
- accd691363141df03caf3fe086d3e7ae2f7308a2305975728328384f8888676b
- afa98fc6bfc336c00910177fb6af6c1c67ff92da295bf2c4d80884be6eceb678
- b0e04141bf6ef7f463a6dff6f3662e0614b7bf2b091aa1efc01e1d5a93e49956
- b1bdaaa148c36236a71410fede2539417136d1152646c9fc5e2dac0f04216a68
- b1d765f50f5c53702658b7a59a9bd05cfb042ea6b2d150191a84c53d373b9e4a
- b6cf060db84324abe273ce4a6ef1cd9d1a013ddc5d23c0eef3b19ef51f3d484c
- bad3b1fbb4f98513fa4f5600c20253bd0a8cf77c723ecaaf5b9533873336a35b
- bd2e0f7877ae0ab1a0938fb0f3e96c525eebc06c0a9cd1bc0df04302ce222b13
- c06cc6122b798f88a05a088bfed39594af86ba714da89fec5ca62d7119782df9
- c20726dccf1671bb21be3d513d75c2360f1b2ccb163630fd19ca3d1beaf271fd
- c4261acc2c1d4dbf84c3a9aad576eff0b0295b3a04ca4186ce41629eda18e52d
- c5c9edac78de2e1114f5dc64da24b596a0cff0c351dcba8a18bcf56bccd20919
- cb065e8ece7482cc625561c92c4e31ae3ec61a8259b0725a4f59b291154e6f0e
- cd17006bd5fc6b0f009257291ba0602089d0da0554805654f69c5183112fdc73
- cdef6eeaa553228d8f2065e80ccf6f1e230e092f39de0918e78139ce57153bc7
- ce4b6f15831b6461803eae431da88cfb45dda401cc9d4ac136d164afe65640e1
- cf123bf5ccc036101b50bd2e20534afaa5edcbc348e05b7b59b55c5359b48709
- d100feb93a9990b3990e72eb9128e3d909c2d58f2b95e70a00c503636dfcd1d3
- d1675d835845b24b0835139cb8ed0f22a32426c87b1ef17031d905d405960942
- d209b9e5c833f0ddbaa5664a69a9e7f2854f1491a855f8e249949d87e75e20b3
- d3ca347bbe250e50048a8db08de253211f517939df579b07c53aee7f796b49a6
- d5dd5ff3f7cdac526cff6dc8aa166e553665656a31ea331c8634dff60f52525e
- db1776cc96cb89c3bb39314363ae8476fea3421877214f362005d1ed59574c10
- e26c16f3adccb3c9dd737068941d1de850939b80193c5156218079582f5a7685
- e857298fd2f8d1c7d48780769433f33e7b3ceaae5ea5a74c13ce8c10bcc7b690
- ed401886b771152687f6fc844e8c2c296705456e810a1ec5886c7065735f2951
- ef73a528e37f30fd84d41763b7f62f972407ec5ad6754ed86576a3bebbc053a7
- f527a04bf13d075d0159a3a64840a0b76762638e7e1f412ece201f830a640ef0
- f8381233e7e648bf6d618d8e3d898c7d7f31feb6fe79bf66e22a0494366b8c14
- f8c4434c3edbc6d2d47a73cc11df2fa23f1c652b6740c6770559b07dd2dbd58b
- f949ecbb9f59c35d11020dde4ff4cb6c4c5b7346f07fefc8637609024f51fd04
- fa78ef8340db28be02e1737c883e832d9babc0812f6ea4a59fded1f91fd7bb33
- fb0daadd1a84f9fc6d228fcf37c10fad5bd9db68ed7b86ac9bd33c20e3766e7b
- fc4249a875e1111fedfa2cff24d1ade936fbe7a9a1a31ab42d35a347ff69971a
