Эксперты по информационной безопасности из Insikt Group, исследовательского подразделения компании Recorded Future, впервые опубликовали детальный отчет о деятельности угрозы, получившей обозначение GrayCharlie. Эта группа, также известная как SmartApeSG, активна с середины 2023 года и специализируется на компрометации сайтов на платформе WordPress. Её конечная цель - заражение компьютеров посетителей этих сайтов программами для удаленного доступа и похитителями данных. Особое внимание исследователей привлекла целенаправленная атака на кластер сайтов американских юридических фирм, которая, вероятно, была осуществлена через поставщика общих ИТ-услуг, что указывает на сложную атаку на цепочку поставок.
Описание
Суть угрозы и механизм атаки
Группа GrayCharlie внедряет вредоносный код JavaScript в легитимные, но скомпрометированные сайты на WordPress. Посетители таких ресурсов перенаправляются на поддельные страницы, которые маскируются под обновление браузера (например, Chrome, Edge или Firefox) или используют технику социальной инженерии, известную как ClickFix. В обоих сценариях пользователю предлагается загрузить и запустить вредоносный файл, который в итоге устанавливает на компьютер NetSupport RAT - легальный инструмент для удаленного администрирования, часто используемый злоумышленниками. В редких случаях вслед за ним могут развертываться более опасные вредоносные программы, такие как похититель данных Stealc и троянец удаленного доступа SectopRAT.
Аналитики выделили два основных кластера инфраструктуры группы, связанных с хостинг-провайдерами MivoCloud и HZ Hosting Ltd. Эти серверы используются для управления атаками, размещения промежуточных нагрузок и администрирования всей кампании. Интересно, что в марте-апреле 2025 года группа перешла с классических фейковых обновлений браузера на технику ClickFix, следуя общей тенденции в мире киберпреступности.
Целенаправленный вектор: атака на юридический сектор
Хотя большинство скомпрометированных сайтов носят случайный характер и охватывают множество отраслей, исследователи обнаружили целенаправленный кластер из как минимум пятнадцати веб-сайтов американских юридических фирм. Все они были заражены примерно в ноябре 2025 года. Анализ показал, что на многих из этих сайтов присутствуют логотипы и ссылки на компанию SMB Team, которая позиционирует себя как провайдера услуг по ускоренному развитию для юридических фирм.
Этот факт, а также временное совпадение между появлением домена злоумышленников и утечкой учетных данных, связанных с платформой хостинга WordPress, используемой SMB Team, указывает на возможную атаку через цепочку поставок. Злоумышленники, вероятно, получили доступ к общей инфраструктуре или учетным данным поставщика услуг, что позволило им массово скомпрометировать все сайты его клиентов. Альтернативным объяснением может быть эксплуатация уязвимости в конкретной версии WordPress или плагина, которую использовала SMB Team. Подобные атаки особенно опасны, так как позволяют злоумышленникам через одну точку входа поражать множество организаций, доверяющих одному провайдеру.
Тактики, техники и процедуры (TTP)
GrayCharlie демонстрирует высокую степень операционной дисциплины, используя одни и те же тактики на протяжении более двух лет. Аналитики задокументировали два четких сценария атаки. Первый, классический, ведет к загрузке NetSupport RAT через поддельное обновление браузера. Второй, более современный, использует обманчивую страницу с фальшивой капчей (ClickFix), которая копирует вредоносную команду в буфер обмена пользователя. Инструкция предлагает вставить эту команду в окно «Выполнить» (Win+R), что запускает сложный цепочку PowerShell-скриптов, в итоге загружающих и устанавливающих троянец.
После заражения NetSupport RAT обеспечивает себе закрепление в системе через ключ автозагрузки в реестре Windows. Это позволяет ему выживать после перезагрузок. Наблюдаемая активность операторов группы включает сбор информации о системе и домене, что является первым шагом для дальнейшего перемещения по сети или кражи конфиденциальных данных. Конечные мотивы группы до конца не ясны, но текущие данные указывают на финансовую выгоду от кражи данных, с возможной последующей перепродажей доступа к зараженным системам другим преступным группам.
Рекомендации по защите
Для противодействия угрозам, подобным GrayCharlie, специалистам по безопасности необходимо применять комплексный подход. Во-первых, критически важно блокировать на сетевом уровне IP-адреса и доменные имена, связанные с инфраструктурой группы, используя предоставленные индикаторы компрометации (IoC). Во-вторых, следует внедрить и регулярно обновлять правила обнаружения в системах SIEM и EDR для выявления NetSupport RAT и сопутствующих вредоносных программ.
Кроме того, необходимо усилить фильтрацию электронной почты для блокировки фишинговых сообщений, которые могут быть одним из векторов первоначального перенаправления, а также настроить мониторинг на предмет аномальной эксфильтрации данных. Организациям, использующим WordPress, следует уделить первостепенное внимание своевременному обновлению ядра CMS, всех плагинов и тем, а также применять строгую политику управления учетными записями и доступом. Компаниям, полагающимся на внешних ИТ-провайдеров, рекомендуется провести аудит безопасности своих поставщиков и убедиться в наличии у них адекватных мер защиты, чтобы минимизировать риски атак через цепочку поставок.
Группа GrayCharlie остается активной и, судя по истории её операций, будет продолжать целенаправленные атаки на организации по всему миру, в особенности в США. Постоянный мониторинг тактик таких групп и оперативное внедрение защитных мер являются ключевыми условиями для обеспечения киберустойчивости в современной цифровой среде.
Индикаторы компрометации
IPv4
- 144.172.115.211
- 172.86.90.84
- 185.163.45.130
- 185.163.45.16
- 185.163.45.30
- 185.163.45.41
- 185.163.45.61
- 185.163.45.73
- 185.163.45.87
- 185.163.45.97
- 185.225.17.74
- 185.231.245.158
- 185.33.84.131
- 185.33.84.153
- 185.33.84.169
- 185.33.85.20
- 185.33.85.26
- 185.33.85.33
- 185.33.85.38
- 185.33.85.52
- 185.33.86.11
- 185.33.86.37
- 185.80.53.79
- 193.111.208.100
- 193.111.208.17
- 193.111.208.19
- 193.111.208.2
- 193.111.208.23
- 193.111.208.24
- 193.111.208.46
- 193.111.208.75
- 193.111.208.97
- 193.42.38.11
- 193.42.38.79
- 193.42.38.85
- 193.42.38.86
- 194.15.216.118
- 194.180.191.121
- 194.180.191.168
- 194.180.191.17
- 194.180.191.171
- 194.180.191.18
- 194.180.191.189
- 194.180.191.209
- 194.180.191.51
- 217.114.15.253
- 23.140.40.66
- 45.153.191.245
- 45.61.134.76
- 46.29.163.28
- 5.181.156.234
- 5.181.156.244
- 5.181.159.112
- 5.181.159.139
- 5.181.159.140
- 5.181.159.142
- 5.181.159.143
- 5.181.159.29
- 5.181.159.38
- 5.181.159.60
- 5.181.159.62
- 5.181.159.9
- 5.252.177.120
- 5.252.177.15
- 5.252.178.123
- 5.252.178.23
- 5.252.178.35
- 77.83.199.112
- 77.83.199.123
- 77.83.199.132
- 77.83.199.142
- 77.83.199.15
- 77.83.199.162
- 77.83.199.170
- 77.83.199.3
- 77.83.199.31
- 77.83.199.42
- 77.83.199.73
- 77.83.199.82
- 77.83.199.88
- 77.83.199.90
- 79.141.160.24
- 79.141.160.34
- 79.141.161.171
- 79.141.161.50
- 79.141.162.132
- 79.141.162.135
- 79.141.162.149
- 79.141.162.169
- 79.141.162.177
- 79.141.162.181
- 79.141.162.187
- 79.141.162.204
- 79.141.162.229
- 79.141.162.35
- 79.141.162.37
- 79.141.162.50
- 79.141.163.138
- 79.141.163.169
- 79.141.163.176
- 79.141.172.204
- 79.141.172.223
- 79.141.172.229
- 79.141.172.232
- 79.141.172.240
- 79.141.173.161
- 79.141.173.168
- 79.141.173.60
- 85.158.111.126
- 85.158.111.29
- 85.158.111.38
- 85.158.111.53
- 85.158.111.75
- 85.158.111.81
- 89.169.12.48
- 89.253.222.156
- 89.253.222.25
- 89.46.38.34
- 89.46.38.48
- 89.46.38.88
- 91.193.19.127
- 91.193.19.163
- 91.193.19.188
- 91.193.19.190
- 91.193.19.220
- 91.193.19.32
- 91.193.19.64
- 91.193.19.78
- 94.158.245.104
- 94.158.245.111
- 94.158.245.115
- 94.158.245.118
- 94.158.245.13
- 94.158.245.131
- 94.158.245.135
- 94.158.245.137
- 94.158.245.140
- 94.158.245.153
- 94.158.245.170
- 94.158.245.174
- 94.158.245.63
- 94.158.245.66
- 94.158.245.81
- 95.182.123.86
- 98.142.240.165
- 98.142.240.188
- 98.142.240.214
- 98.142.240.221
- 98.142.240.246
- 98.142.251.26
- 98.142.251.32
- 98.142.251.42
- 98.142.251.53
IPv4 Port Combinations
- 85.158.110.179:15847
Domains
- 108zhao.shop
- 1sou.top
- 6hms.top
- 789pettoys.shop
- 7serv.top
- 99wc.top
- abocamuseum.icu
- actionmovies.top
- alcmz.top
- alhasba.com
- amxdh1.icu
- anoteryo.top
- arearugs.top
- as5yo.top
- ashesplayer.top
- avodaride.top
- azyaamode.shop
- baihao.shop
- baihuah.top
- bedoueroom.top
- bestproductreviews.xyz
- bestrollerballpen.top
- bianchilawgroup.com
- blogdojhow.com
- bnpparibas.top
- bokra.top
- bond007.xyz
- boxworld.top
- brattonlawgroup.com
- brighterdaylaw.com
- bstionline.com
- buildingjobs.xyz
- buscavuelosbaratos.top
- buyedmeds.top
- buylisinopril.top
- celebrex.top
- chaojiwang.top
- chenyiwen.top
- chinapark.top
- christianlouboutin2017.top
- cialissale.top
- cinselurunler.xyz
- coinseasygenerator.top
- couterfv.top
- couturella.shop
- covaticonstructioncorp.shop
- cozartan.top
- cryptohardware.shop
- dcdh4.shop
- dealermobil.top
- defensegroup.com
- depechemode.shop
- directoryframework.top
- discountmontblanc.top
- discoveronline.top
- doodstream.shop
- downloadfreak.top
- dwicriminallawcenter.com
- erectilehelp.top
- filmezz.top
- filmlerzltyazilimsx.shop
- fisherstonelaw.com
- fjs95.shop
- fmovies123.top
- foolowme.com
- forging.top
- fragzone.top
- franquicias.top
- fuckhdmov.top
- gededewe.shop
- getin.top
- glitterygadgets.shop
- gmartph.shop
- gmt-a.shop
- grandzxc.bet
- guosong.top
- haidao10.top
- headtechnologies.xyz
- healthcareplans.top
- heim-k.shop
- helperection.top
- hilfe-ed.top
- hirek.top
- howtogetaloan.top
- ida-ci.com
- islighting.top
- iwine.top
- izone.digital
- jarrettfirm.com
- jerseysus.top
- jiezishijie.top
- jkse.shop
- joiner.best
- jsmakert.shop
- k2bsc.top
- kaestner.top
- kamagrafr.icu
- kanshuwang.top
- kazumaka.top
- kfzversicherungskosten.top
- khusinhthaidanphuong.top
- kingdomholding.top
- krediteonlinevergleichen.top
- lang3666.top
- langwonet.top
- layardrama21.top
- lebensversicherungvergleich.top
- levciavia.top
- linhua97.top
- linksoflondononsale.top
- linksoflondonsale.top
- liruo.top
- liveskortv.shop
- loanonline.top
- loispaigesimenson.com
- losartan.top
- lovedou.top
- lowi1.com
- lqsword.top
- lx7v9.top
- lycosex.top
- machine-a-plastifier.com
- manwithedhelp.top
- marmocer.top
- mbpen163.top
- medicamentsbonmarche.top
- meimei68.top
- menjimmychooonline.top
- milebox.shop
- mindsetgrowth.shop
- mm37.icu
- monclerjackets.top
- morniksell.com
- moruk.xyz
- motocyclenews.top
- moviefone.top
- moviesone.top
- movtime76.shop
- movtime78.shop
- musicdownloader.top
- mybeststream.xyz
- my-privatebanker.top
- nackt-bilder.top
- nana44.shop
- newbalancesport.top
- palcomp3.top
- parisforrent.top
- pasangiklan.top
- patekphillipwatches.top
- persistancejs.store
- pielsteel.top
- pomofight.com
- port4loms.com
- pravaix.top
- rag382.top
- raineyandrainey.com
- rasin.shop
- rbbfirm.com
- refanprediction.shop
- regopramide.top
- rmvlawyer.com
- rnsddse.top
- sales2016.top
- sdnews.top
- searchgo.shop
- searchweb.top
- semikeren.icu
- signaturepl.com
- simvascor.icu
- simvascor.top
- snapcans.top
- sneakermall.top
- soap2dayfree.top
- socialsignals.shop
- socksforrocks.shop
- streaming-films.xyz
- syavsp5.top
- tdsc.top
- techradar.top
- tiffanyearringforwomen.top
- todoarmarios.top
- todocalefactores.top
- todocarritos.top
- travelplace.top
- trendings.top
- universaltechnology.top
- uochut.shop
- via345.top
- villahome.top
- viloriterso.icu
- viptravelcentres.com
- vog168.top
- wandan.top
- wap9.top
- warpdrive.top
- watchesbest.top
- wavob.top
- wdwnp.top
- www.brentadams.com
- www.cfblaw.com
- www.gerlinglaw.com
- www.immigration-defense.com
- www.schwartzandschwartz.com
- xelesex.top
- ydh7.shop
- yntz6.shop
- yourcialsupply.top
- youtubevideo.top
- yungask.com
- yxta.top
- yybvf.top
- zaheirx.shop
- zakachka.top
- zerolendnow.top
- zt45gg.top
Emails
- oreshnik@mailum.com
SHA256
- 06a0a243811e9c4738a9d413597659ca8d07b00f640b74adc9cb351c179b3268
- 0e9df9294c36702eee970efcb4a70b6ddb433190ab661273e2e559185c55b6c1
- 112bf17e7c0d0695e9229d60f0d2734c6b96d7edfb41ea3e98e518f4fb1ae6e9
- 11370e108c8e7a53e52f01df0829c8addb5833145618a7701fbedbb1d837a43d
- 15dfe9d443027ba01b8f54f415fd74d373b3a06017db8ef110fb55b33357b190
- 16c8b5e10135d168d73a553a4bda51628e5b4fd419c0ecd47ca4cd7aa864ebd5
- 18df68d1581c11130c139fa52abb74dfd098a9af698a250645d6a4a65efcbf2d
- 1900ca9b482273df3127e221526023c025808d8fd65769a418fe1f346e7d41e2
- 1c389bf1859a00c58b6a97c02fc26c2fe9766c43e06242a94e92b6585b62398b
- 21a24922b29742977c4f7e25dd2be056dc02bc5e70c98e32ec3e0c6206f4d9ef
- 312a0e4db34a40cb95ba1fac8bf87deb45d0c5f048d38ac65eb060273b07df67
- 31804c48f9294c9fa7c165c89e487bfbebeda6daf3244ad30b93122bf933c79c
- 31f69d67eca6f3fc837e8d10dff4e2fb6643e33c118cff87df4fee2b183bf0e0
- 37e8b57ff4d724053b1917dc6edaca0708d44ceecd00cab7e4cabb336c2868d7
- 3ac57bea954ce68dc937f6954ae8a6a19a367a579aeeda7cc93ddd5968fae250
- 3ada20fbd80ec7f536db8303a5fa029af741a6914de61376ac8f81ac3ac728fd
- 3b5658532bc4058131689c5641def85d7ae25d5b837d3d1aff3af7bb25581f17
- 3c499faac4b973c237670f046973691a245ecd735ffebcca3e93337d94b71cde
- 3c4b87be8450e3120b7ad2b11ff59850950beb39906dc1636b3ee7b6390f2086
- 4732f025a2a69f6c40787854c5da122689702f00f4f423061bb30ab7fa1e98d3
- 5381b2a7a77448c4908f5c79d21631f56c88ead0365981cac1dcaafe493c313e
- 53e9511401000f61c9d910b92cd6d5a58e38ae541975135944885e53fa91ecb7
- 59e7e7698d77531bfbfea4739d29c14e188b5d3109f63881b9bcc87c72e9de78
- 5dfbd8cf98ebd4977d4f240dcabd5cd67b936c0095c2d5b9a77896daea877df6
- 5eebdb584a1acd6aacc36c59c22ec51bbd077d2dbbe0890b52e62fa6fb9cf784
- 5f1bd92ad6edea67762c7101cb810dc28fd861f7b8c62e6459226b7ea54e1428
- 5ff742e134e3d17ec7abea435f718e8f5603b95e7984e024b2310ac9ef862ddf
- 60ff43424c0ba9dc259ab32405345ef325a4cb4d0baf0c0b0c13f9d3672e99eb
- 68c6411cc9afa68047641932530cf7201f17029167d4811375f1458cae32c7bd
- 6b2c41b42f75e64d435ba56c2f2b6d79a11b862a2d994487dab3e51e298bc5c9
- 6b93b7372941a09f1ea69f8b71c5c4e211ea0f8a24061e702002ca84457bcddd
- 6d0857a9c77f9c5f2a5e6921e1cb9f7e1a5d6b947ad63b364d291157d3f840fb
- 70f3a6fdbbc5e2ae79c28b48b6478ee3c8ea6f2b705ca9dc9bf8e63a4f6e0c8d
- 72baf2ecb0a9df607e54b64c0925ffc6739ab5a8b18900bf5c1930bcc799395d
- 748d546c6db44f6aa4bbb8e586d79f56c63fa87580eb19a0f2d5079cbe0952b7
- 79040421b5a48dcc6e611dfe187b2f3e355791ad8511adb84f5c0948aa1d6c89
- 797ae2dbb2c538710fefe75dbe380b9f55b614cb03c4ae09bb3172e8234dd9d9
- 7a73ae8cca6ce6fa88f89d6154811cb453d6e6db9fa8ed5fbdaf8895aae601a5
- 7b19538dcf6d4bb84590c458f09c5707c8db53a42861fa56533c49c1a3acd953
- 7e3634bfd66e601d7585b237437f11f7d614b33705ba5f7bd75ab176c8250d38
- 858dfa529b960c6f6226b53beb55ba1900d3f498ba7be40724ed5c16d7d5a44b
- 871e5629d9c8898babf3ed579586e3f5f94a6c4623d3a0a7f9a99bf9d95ffc7b
- 8763749fd09245e7fa8c0ee2cc797d5520a9ef5d6846f044a0cd7c969c4bd7d4
- 89d839bbdc786c006304f3c6c6939150380aaa9e84d82bc31cdf0cf7609a6243
- 8b21fbd40c89763f51d5e06680c0971623500f4724c25958446bac794797057b
- 8baebd525324297faf86639266060172ded963767c832a609a991fa92c8463ab
- 8d1ed904d90e08048f42cdc9a25c2159f0f8dc4aa9dc01b0207645ea53abe189
- 957ab8417606ad41ad31f006d997af3f647dd5215af899551d08b3b472a4bc85
- a0332fe0baa316fe793e757f9cf5938b099e97dc4624ead6f3bad8555c8a419b
- a1482e62ecc89696a75adea7052c2e98a75c9d37304723abd110d60962bafdb7
- a28d0c82a2a37462c2975b5eda7f91e8fc3c2ed50abfe357948ec4faabbd4951
- a6637685091835826e62af279cc6c648188797f9edc05a2399a6686349102774
- a6f1f68827303e655488c8d54b3be3ce8b1097f3ff374a2e4bc82ff96812781c
- abc5b2118bc1d8c82f3726a5e30cf22ae3fa1c572dd3327b281ea6fd97ae9c06
- afc45cc0df7f7e481bff45c6f62a6418b6ae4c8b474ec36113e05ab7ca7e2743
- b1f91355a8472e364e07f05dc69bbd9c74dc1943e9c4475f46c2b448bb6d6e5d
- b2b7218c3f649b9077510aac309357e884c314e0f488abed391415defb249f4c
- b6b685fe020c481161060df9dbef0fc205cde479056c18aaeae184daa3f8a9c0
- b784301cb2edafea875f779cf24e018f06732561069f6c4c3d86548029671642
- ba557bd6b2c1d3297b2c9bd7294e47b9ad9ec6a937cddc879dd563c61a9abcbd
- bb451151e52f0868f98e32d26ffa7c2be412b47cd470bf90d3cfe777b4a19f85
- bd39f32177dc7a20f5087c5460ebf589035d9051336c69f07a26398f76aec40e
- bf37542e9eb7a3b2f51d107e56d7551e6248f06ce18918e3dda2ebe9da1b0e80
- bf97c4ff35b5e2c039aa1f1a9a164b7ec4d9339a631c84910b9a4d03b7927b8a
- c2ba0018de8dcf0abfb2669cce95ed09377e9a9da7ff8e74e95688c99a025634
- c3d797e67edf0dd435808f2f79ff4bfd0cf9177307f4a112b7da09f7dfdd8f2e
- c441afb337c4803eed20ae255fbad3cdfac2800475c51e00a55369909efb4c89
- cc6ad344d30178e04e49ab16cd43744925676562aded051835fb3f73401f31fa
- ceab18331f785d0bf215f551b90f00567e36d339ba8e3ed8e45c0ad410b25808
- d02a1eb597c66b602ac7d55095f771345ff5e90905ea12e523df2095030752b6
- d6142f48664208710bab9fcab8dfcda66ad75ad756d2ce9c3aa243dcbc29bf4a
- d665a8547baf067f2216821ecd4145eab1c75868f024d09140fb265b819d5194
- d8d2092e174240d7bac63a9e1c199b442e1cb0f39d7fa32510b1aa7717c3ae38
- e24de02415946133176b66017d54a5dcd7270c83f5ef01d79faff4e64d13c63b
- e5502722c2bb84876903549445534c47cdaa586a0bb1e5b3a53162d75cc6cb28
- e66ae0ac443b5140a1b35b5aaa6899eea296d9d633988eb044a395a34a887431
- e92e01977d85f6834f57bd09e29e654b10da798844e4a64470cb22dac78bef93
- e9723a2a9ca45787c35b864605a6be71ccf12b2d96dad8e7fc39117f7ba29abb
- f28bb7bc5c801d5444ba6816e3a91d5bfaf0307578b7a1529415fc220fd9e9e8
- f86b6aa11a276c24dd80db48f43c8a2f0c8df6e5426a7a0fee322c0427421ebb
