Кибервойна в белых халатах: усовершенствованный иранский вымогатель Pay2Key атаковал американское здравоохранение

Исторически активность Pay2Key коррелирует с обострением геополитической напряжённости вокруг Ирана. Группа, публично появившаяся в 2020 году, неоднократно атаковала западные, в первую очередь американские и израильские, организации. Ещё в августе 2024 года ФБР, Агентство кибербезопасности и инфраструктурной безопасности США (CISA) и Киберпреступный центр Министерства обороны США в совместном отчёте оценили Pay2Key как "информационную операцию", а финансовые следы указывали на иранские государственные интересы. Последняя волна атак, судя по всему, совпала с новой фазой конфликта между США, Израилем и Ираном.

Особенностью недавнего инцидента стало полное отсутствие признаков эксфильтрации данных, что является резким отклонением как от собственной практики группы, так и от общеотраслевого тренда на двойное вымогательство. Это может указывать на смену тактики или на особо тщательную зачистку следов. Между тем, техническая сторона атаки стала только изощрённее. Аналитики Beazley Security и Halcyon детально восстановили цепочку действий злоумышленника, которая началась с компрометации учётной записи администратора за семь дней до активных действий. Угроза провела в сети жертвы несколько дней в состоянии покоя, используя для первоначального доступа уже установленный в организации TeamViewer, что позволило ей слиться с фоновой ИТ-активностью.

После установки плацдарма операторы приступили к сбору учётных данных с помощью таких инструментов, как Mimikatz, LaZagne и ExtPassword, а затем перемещались по сети, используя легитимные средства вроде консоли управления Active Directory (dsa.msc). Финальная стадия - развёртывание шифровальщика - была проведена с беспрецедентной скоростью: полное шифрование среды заняло около трёх часов, при этом активная фаза заняла лишь час. Однако главные новшества кроются в механизмах уклонения от защиты. Вредонос использовал самораспаковывающийся архив, который в памяти расшифровывал и исполнял скрипты, избегая записи на диск. Для отключения защитных решений был применён хитрый трюк с регистрацией в Windows Security Center поддельного антивируса Avast, что заставило встроенный защитник Windows отключиться.

Кроме того, шифровальщик продемонстрировал высокую осведомлённость о среде. Он приостанавливал BitLocker, переводя ключи в открытый текст, принудительно отключал спящий режим и гибернацию, останавливал и отключал виртуальные машины Hyper-V, а также методично уничтожал пути для восстановления: отключал среду восстановления Windows и удалял каталоги резервных копий. После завершения шифрования, добавлявшего файлам расширение .6zldh_p2k, вредонос очищал журналы событий и удалял собственные артефакты маскировки, что существенно затрудняет последующий криминалистический анализ. Этот уровень внимания к антифорензике ранее у данной группы не наблюдался.

Параллельно с техническим развитием сама будущность проекта Pay2Key остаётся под вопросом. В конце 2025 года операторы пытались продать всю свою инфраструктуру и исходный код через форумы даркнета и свой аккаунт в X, однако судьба этого предложения неизвестна. Одновременно группа, традиционно считавшаяся иранской, активно вербует партнёров на русскоязычных киберпреступных форумах, что указывает на возможное расширение круга соучастников или смену руководства. Подобная неопределённость, сочетающаяся с явной политической подоплёкой атак, делает Pay2Key особенно непредсказуемой и опасной угрозой. Её мотивация явно выходит за рамки финансовой выгоды, смещаясь в сторону нанесения стратегического ущерба целевым секторам в периоды международных кризисов. Для специалистов по безопасности это означает необходимость повышенного внимания к индикаторам компрометации, связанным с данной группой, и активного обмена информацией внутри сообщества, особенно в моменты обострения геополитической обстановки на Ближнем Востоке.