В марте 2026 года на фоне резкого обострения ближневосточного конфликта специалисты зафиксировали волну кибератак со стороны иранской группы Seedworm. Злоумышленники использовали нестандартный вектор проникновения - корпоративный мессенджер Microsoft Teams, а в качестве инструмента для скрытного закрепления в системе применили комбинацию легитимного runtime-окружения Deno и резидентного бэкдора в памяти. Эта атака наглядно демонстрирует, как геополитическая напряжённость напрямую влияет на активность APT-групп, а также почему традиционные методы защиты перестают быть достаточными.
Описание
Событиям предшествовала эскалация в феврале 2026 года. После согласованных военных действий США и Израиля против целей в регионе Иран нанёс ответные удары с использованием ракет и беспилотников. Уже через несколько недель специалисты CyberProof, компании, предоставляющей услуги MDR (управляемого обнаружения и реагирования на инциденты), отметили резкий рост подозрительной сетевой активности, связанной с иранскими хакерами. Одна из таких атак была приписана группе Seedworm, известной также под именами APT33 и Elfin.
Взлом начинался с изощрённой социальной инженерии. Атакующий связывался с жертвой через Microsoft Teams, используя учётную запись внешнего пользователя. Злоумышленник представлялся сотрудником IT-поддержки по имени Сара Уилсон и утверждал, что компьютер другого коллеги заражён вредоносным кодом. Для убедительности использовался домен seqhelpsitdevsupportops[.]onmicrosoft.com, который визуально имитировал адрес реального корпоративного сервис-деска. В ходе переписки жертву склоняли скачать и запустить файл с именем update_ms.msi, якобы являющийся обновлением Windows.
На самом деле этот MSI-установщик содержал загрузчик под названием Dindoor. Файл был подписан сертификатом, выданным на имя Anquesia Gray, но на момент расследования сертификат уже был отозван. После запуска Dindoor разворачивал в скрытую директорию несколько компонентов, включая deno.exe, легитимную среду выполнения JavaScript и TypeScript, а также скрипты Falcon_module63.vbs и tango13.ps1. Сообщили аналитики CyberProof в своём техническом отчёте, ключевой особенностью этой атаки стало использование Deno для выполнения закодированной полезной нагрузки непосредственно в оперативной памяти. Такой подход практически не оставляет следов на диске и серьёзно затрудняет детектирование традиционными антивирусами.
Закодированный в Base64 полезная нагрузка, отслеживаемая экспертами под именем DINODANCE, после декодирования устанавливал связь с сервером управления и контроля (C2). Через этот канал злоумышленники получали базовую информацию о системе - имя пользователя, имя хоста, версию операционной системы. Анализ инфраструктуры C2 показал пересечения с инструментами, ранее описанными компанией Cisco в марте 2026 года в контексте деятельности другой иранской группы - MuddyWater. Это указывает на возможное использование общих ресурсов или координацию между разными кластерами иранских хакеров.
Методология Seedworm в этой кампании объединила три фактора, которые делают атаку особенно опасной. Первое - высокая достоверность социальной инженерии, основанная на знании корпоративных процессов и использовании доверенного канала связи. Второе - применение легитимных утилит (в данном случае Deno) в качестве оболочки для вредоносного кода. Третье - полное выполнение полезной нагрузки в памяти, что позволяет обойти файловые сканеры и системы поведенческого анализа, ориентированные на запись на диск.
С точки зрения защиты подобные инциденты сигнализируют о необходимости пересматривать границы мониторинга. Традиционные почтовые шлюзы и антифишинговые фильтры уже не охватывают весь ландшафт угроз. Современные коллаборационные платформы - Teams, Slack, Zoom - становятся новыми точками входа для атакующих. Организациям приходится учиться отслеживать подозрительные внешние контакты, анализировать домены на предмет схожести с легитимными, а также внедрять политики, ограничивающие выполнение скриптов и установок из мессенджеров.
Стоит отметить, что Seedworm - группа с многолетней историей. Её связывают с разведывательными структурами Ирана, и ранее она атаковала предприятия авиакосмической, энергетической и технологической отраслей. В данном случае жертва не раскрывается, но, судя по описанию вектора, целью могла быть международная компания с развёрнутой IT-инфраструктурой и удалёнными сотрудниками.
Заключение этой истории - не просто констатация факта очередного взлома. Она иллюстрирует новую реальность: в условиях геополитической нестабильности киберугрозы синхронизируются с военными и дипломатическими конфликтами. Атакующие действуют терпеливо, используют контекст и тщательно маскируют свои действия под рутинные ИТ-операции. Пассивная защита, основанная на ожидании сигналов тревоги, перестаёт работать. Необходим проактивный подход - охота за угрозами (threat hunting), позволяющая выявлять аномалии, которые не укладываются в существующие правила детектирования. Только так можно заметить скрытую активность до того, как злоумышленники достигнут своей цели.
Индикаторы компрометации
