Группа кибербезопасности Seqrite Labs APT-Team раскрыла детали новой целевой кампании, направленной против ключевых организаций нефтегазовой отрасли Казахстана. Операция, получившая название BarrelFire, проводится угрозовой группой, отслеживаемой под именем NoisyBear. Активность группировки была впервые зафиксирована в апреле 2025 года, а в мае того же года началась её наиболее активная фаза, нацеленная на сотрудников национальной компании «КазМунайГаз» (KMG).
Описание
Кампания началась с фишинговых писем, отправленных через скомпрометированный корпоративный ящик сотрудника финансового департамента KMG. Сообщение имело пометку «СРОЧНО!» и касалось темы обновлённого графика зарплат, что создавало ощущение срочности и легитимности. Вложение представляло собой ZIP-архив с именем «График.zip», внутри которого находился вредоносный файл ярлыка (LNK) «График зарплат.lnk» и документ-приманка, имитирующий официальное сообщение IT-отдела компании.
Документ-приманка содержал логотип KMG и инструкции на русском и казахском языках, в которых пользователю предлагалось извлечь архив и запустить файл, не закрывая появившееся окно консоли. Это делалось для минимизации подозрений и обеспечения беспрепятственного выполнения вредоносного кода.
Технический анализ кампании выявил многоступенчатую цепочку заражения. Вредоносный LNK-файл использовал утилиту PowerShell для загрузки и выполнения BAT-скрипта с удалённого сервера. Скрипт, в свою очередь, загружал PowerShell-загрузчики, названные исследователями DOWNSHELL. Первый скрипт предназначался для отключения механизма сканирования AMSI (Antimalware Scan Interface), что позволяло обойти защитные решения. Второй загрузчик использовал технику отражённой загрузки (reflective loading) для внедрения в процесс explorer.exe шелл-кода Meterpreter, обеспечивающего обратное соединение с сервером злоумышленников.
Финальная стадия атаки включала запуск вредоносной DLL, которая использовала семафоры для избежания множественного запуска и внедряла шелл-код в процесс rundll32.exe с помощью классической техники hijacking потока выполнения.
Инфраструктура группы NoisyBear размещалась у провайдера Aeza Group LLC, который находится под международными санкциями. Аналитики также обнаружили на этих же серверах подозрительные веб-приложения, связанные с тематикой оздоровления для русскоязычной аудитории, что может указывать на дополнительную деятельность злоумышленников.
На основании таких артефактов, как русскоязычные комментарии в коде, использование санкционного хостинга и схожесть тактик с ранее известными русскоязычными группами, эксперты склоняются к предварительной атрибуции NoisyBear к акторам русского происхождения. Основной целью кампании, вероятно, был шпионаж и длительное присутствие в сетях стратегически важного энергетического сектора Казахстана.
BarrelFire демонстрирует растущую угрозу целевых атак на критическую инфраструктуру стран Центральной Азии и подчёркивает важность повышения осведомлённости сотрудников и внедрения многоуровневой защиты, включающей анализ почтовых вложений, мониторинг необычной активности PowerShell и блокировку подключений к подозрительным внешним ресурсам.
Индикаторы компрометации
