В сентябре 2024 года российские компании столкнулись с новой волной кибератак, которые эксперты связывают с активностью двух хактивистских группировок - Head Mare и Twelve. Расследование инцидентов выявило тревожные признаки возможного сотрудничества между этими группами, включая использование общих инструментов и инфраструктуры. Аналитики отмечают, что Head Mare активно заимствует методы и командные серверы, ранее применявшиеся Twelve, что может свидетельствовать о совместных операциях или даже слиянии тактик.
Описание
Атаки отличаются высокой степенью изощренности: злоумышленники комбинируют проверенные инструменты с новыми разработками на базе PowerShell, что усложняет их обнаружение. В арсенале Head Mare обнаружены как общедоступные утилиты, такие как mimikatz, ADRecon и ProcDump, так и специализированные бэкдоры, включая CobInt и PhantomJitter. Последние, по мнению исследователей, могли быть разработаны совместно с Twelve, что подтверждает гипотезу о тесном взаимодействии групп.
Особую опасность представляют новые тактики проникновения. Злоумышленники активно используют скомпрометированные учетные записи подрядчиков, имеющих доступ к корпоративным RDP-соединениям и системам автоматизации бизнеса. Кроме того, они эксплуатируют известные уязвимости, такие как CVE-2023-38831 в WinRAR и CVE-2021-26855 (ProxyLogon) в Microsoft Exchange, чтобы получить первоначальный доступ к инфраструктуре жертв.
После проникновения атакующие применяют методы туннелирования трафика через инструменты вроде ngrok и cloudflared, обеспечивая себе скрытый и устойчивый доступ к зараженным системам. Для усложнения обнаружения они также маскируют свои действия: переименовывают вредоносные файлы, удаляют следы активности и используют легитимные административные утилиты, такие как PSExec и smbexec.
Эксперты подчеркивают, что Head Mare продолжает эволюционировать, адаптируя как классические, так и инновационные подходы. Эта группа демонстрирует высокую гибкость, что делает ее особенно опасной для корпоративного сектора. Учитывая возможную координацию с Twelve, риски для российских компаний возрастают, требуя усиления мер кибербезопасности, включая мониторинг подозрительной активности и своевременное обновление ПО.
В текущих условиях организациям рекомендуется уделять особое внимание защите периметра, контролю доступа сторонних подрядчиков и регулярному аудиту уязвимостей. Без оперативных мер противодействия атаки Head Mare и Twelve могут привести к масштабным утечкам данных и финансовым потерям.
Индикаторы компрометации
