Эксперты по информационной безопасности из Insikt Group, исследовательского подразделения компании Recorded Future, впервые опубликовали детальный отчет о деятельности угрозы, получившей обозначение GrayCharlie. Эта группа, также известная как SmartApeSG, активна с середины 2023 года и специализируется на компрометации сайтов на платформе WordPress. Её конечная цель - заражение компьютеров посетителей этих сайтов программами для удаленного доступа и похитителями данных. Особое внимание исследователей привлекла целенаправленная атака на кластер сайтов американских юридических фирм, которая, вероятно, была осуществлена через поставщика общих ИТ-услуг, что указывает на сложную атаку на цепочку поставок.
Описание
Суть угрозы и механизм атаки
Группа GrayCharlie внедряет вредоносный код JavaScript в легитимные, но скомпрометированные сайты на WordPress. Посетители таких ресурсов перенаправляются на поддельные страницы, которые маскируются под обновление браузера (например, Chrome, Edge или Firefox) или используют технику социальной инженерии, известную как ClickFix. В обоих сценариях пользователю предлагается загрузить и запустить вредоносный файл, который в итоге устанавливает на компьютер NetSupport RAT - легальный инструмент для удаленного администрирования, часто используемый злоумышленниками. В редких случаях вслед за ним могут развертываться более опасные вредоносные программы, такие как похититель данных Stealc и троянец удаленного доступа SectopRAT.
Аналитики выделили два основных кластера инфраструктуры группы, связанных с хостинг-провайдерами MivoCloud и HZ Hosting Ltd. Эти серверы используются для управления атаками, размещения промежуточных нагрузок и администрирования всей кампании. Интересно, что в марте-апреле 2025 года группа перешла с классических фейковых обновлений браузера на технику ClickFix, следуя общей тенденции в мире киберпреступности.
Целенаправленный вектор: атака на юридический сектор
Хотя большинство скомпрометированных сайтов носят случайный характер и охватывают множество отраслей, исследователи обнаружили целенаправленный кластер из как минимум пятнадцати веб-сайтов американских юридических фирм. Все они были заражены примерно в ноябре 2025 года. Анализ показал, что на многих из этих сайтов присутствуют логотипы и ссылки на компанию SMB Team, которая позиционирует себя как провайдера услуг по ускоренному развитию для юридических фирм.
Этот факт, а также временное совпадение между появлением домена злоумышленников и утечкой учетных данных, связанных с платформой хостинга WordPress, используемой SMB Team, указывает на возможную атаку через цепочку поставок. Злоумышленники, вероятно, получили доступ к общей инфраструктуре или учетным данным поставщика услуг, что позволило им массово скомпрометировать все сайты его клиентов. Альтернативным объяснением может быть эксплуатация уязвимости в конкретной версии WordPress или плагина, которую использовала SMB Team. Подобные атаки особенно опасны, так как позволяют злоумышленникам через одну точку входа поражать множество организаций, доверяющих одному провайдеру.
Тактики, техники и процедуры (TTP)
GrayCharlie демонстрирует высокую степень операционной дисциплины, используя одни и те же тактики на протяжении более двух лет. Аналитики задокументировали два четких сценария атаки. Первый, классический, ведет к загрузке NetSupport RAT через поддельное обновление браузера. Второй, более современный, использует обманчивую страницу с фальшивой капчей (ClickFix), которая копирует вредоносную команду в буфер обмена пользователя. Инструкция предлагает вставить эту команду в окно «Выполнить» (Win+R), что запускает сложный цепочку PowerShell-скриптов, в итоге загружающих и устанавливающих троянец.
После заражения NetSupport RAT обеспечивает себе закрепление в системе через ключ автозагрузки в реестре Windows. Это позволяет ему выживать после перезагрузок. Наблюдаемая активность операторов группы включает сбор информации о системе и домене, что является первым шагом для дальнейшего перемещения по сети или кражи конфиденциальных данных. Конечные мотивы группы до конца не ясны, но текущие данные указывают на финансовую выгоду от кражи данных, с возможной последующей перепродажей доступа к зараженным системам другим преступным группам.
Рекомендации по защите
Для противодействия угрозам, подобным GrayCharlie, специалистам по безопасности необходимо применять комплексный подход. Во-первых, критически важно блокировать на сетевом уровне IP-адреса и доменные имена, связанные с инфраструктурой группы, используя предоставленные индикаторы компрометации (IoC). Во-вторых, следует внедрить и регулярно обновлять правила обнаружения в системах SIEM и EDR для выявления NetSupport RAT и сопутствующих вредоносных программ.
Кроме того, необходимо усилить фильтрацию электронной почты для блокировки фишинговых сообщений, которые могут быть одним из векторов первоначального перенаправления, а также настроить мониторинг на предмет аномальной эксфильтрации данных. Организациям, использующим WordPress, следует уделить первостепенное внимание своевременному обновлению ядра CMS, всех плагинов и тем, а также применять строгую политику управления учетными записями и доступом. Компаниям, полагающимся на внешних ИТ-провайдеров, рекомендуется провести аудит безопасности своих поставщиков и убедиться в наличии у них адекватных мер защиты, чтобы минимизировать риски атак через цепочку поставок.
Группа GrayCharlie остается активной и, судя по истории её операций, будет продолжать целенаправленные атаки на организации по всему миру, в особенности в США. Постоянный мониторинг тактик таких групп и оперативное внедрение защитных мер являются ключевыми условиями для обеспечения киберустойчивости в современной цифровой среде.
Индикаторы компрометации
Технический отчет
