С мая по август 2026 года кластер Feral Wolf провёл серию атак на российские компании из розничной торговли, строительства, обрабатывающей промышленности и сферы информационных технологий. На финальном этапе злоумышленники применяли вредоносное ПО GenieLocker для шифрования данных, что останавливало рабочие процессы. Пострадали организации разного масштаба, от небольших предприятий до крупных производственных площадок. Каждая из них потеряла доступ к собственным системам и столкнулась с риском утечки конфиденциальной информации. Атаки шли волнами, и между эпизодами злоумышленники меняли тактику, подстраиваясь под инфраструктуру конкретной жертвы.
Описание
Способы проникновения различались. В одном случае злоумышленники эксплуатировали уязвимость CVE-2023-22515 в общедоступном сервисе Atlassian Confluence. В других эпизодах доступ открывали через инфраструктуру подрядчиков либо небезопасную конфигурацию менеджера кластера "1С". Такая настройка позволяла загрузить и запустить подготовленный 1С-шелл - набор команд, выполняемых от имени учётной записи серверного процесса. Во всех случаях атакующие действовали неторопливо и старались не привлекать внимания средств защиты.
Расследование инцидентов раскрыло ранее неизвестный арсенал, который описали в BI.ZONE DFIR. Среди найденных средств выделяются несколько программ. MQTTDoor использует как канал управления протокол MQTT (облегчённый протокол обмена сообщениями, распространённый в интернете вещей). MatrixDoor взаимодействует с командно-контрольным сервером через протокол Matrix (открытый протокол для децентрализованных чатов). RDPSocksProxy проксирует сетевой трафик через канал удалённого рабочего стола. Общая идея одна: спрятать управляющие команды внутри обычного трафика, который ничем не выделяется на фоне служебных соединений.
Отдельный кейс показывает изобретательность атакующих. Через уязвимость в Confluence они создали учётную запись и добавили её в группу администраторов, после чего установили вредоносный плагин. Через заражённый контейнер злоумышленники закрепились в системе, замаскировав имя своего процесса под поток ядра Linux. Затем в контейнер попали средства для локального повышения привилегий и утилита сетевого сканирования. Последняя выявила экземпляр PostgreSQL (систему управления базами данных) с простым паролем от служебной учётной записи. Полученный доступ позволил вырваться за пределы контейнера и закрепиться уже на самом сервере, минуя изоляцию.
Feral Wolf активно использовал небезопасную конфигурацию кластеров серверов "1С:Предприятие". Сервер был доступен из внешней сети, а настройки кластера позволяли выполнять административные действия без предварительной аутентификации. Причина - отсутствие настроенных администраторов кластера: пароль по умолчанию мог не устанавливаться вовсе. Злоумышленники подключались к менеджеру кластера, создавали информационную базу и направляли её на внешний сервер под своим контролем. Применённая конфигурация давала возможность выполнять команды операционной системы.
В другой атаке злоумышленники подключались к менеджеру кластера "1С", запущенному в режиме отладки. Такой режим открывал дополнительные возможности взаимодействия с кластером, включая механизм вычисления выражений. Через него можно было запускать внешние приложения и выполнять команды операционной системы. После серии подключений в системе начали появляться временные файлы. Это указывало на выполнение команд встроенными средствами платформы. Попытка повысить привилегии до системного уровня через отдельную утилиту успехом не увенчалась: у учётной записи не хватало нужного разрешения.
Для получения учётных данных кластер применял легитимные средства анализа памяти. Утилиты DumpIt и MemProcFS позволяли работать с памятью системного процесса, отвечающего за проверку подлинности пользователей, не прибегая к более заметным специализированным инструментам. В рамках сеанса удалённого рабочего стола злоумышленники скопировали архив с набором исполняемых файлов, создали полный дамп физической памяти и смонтировали его как виртуальную файловую систему. Содержимое они, вероятно, перенесли на свою систему для дальнейшего анализа и извлечения паролей. Обычные средства защиты такое поведение часто пропускают: утилиты подписаны и не считаются вредоносными.
Удалению следов уделили не меньше внимания. В одной из атак зафиксирована команда, которая загружала сценарий очистки с внешнего ресурса и сразу его исполняла, не сохраняя на диск. Сценарий рассчитан на уничтожение криминалистически значимых артефактов: журналов событий, истории команд, записей реестра, данных о подключённых USB-устройствах, теневых копий и журналов средств защиты. Такой подход заметно усложняет восстановление картины взлома и работу служб реагирования.
Общая черта всех эпизодов - ставка на слабости конфигурации, а не на сложные уязвимости нулевого дня. Доступ к Confluence открыла уязвимость, исправленная производителем ещё в 2023 году. Кластеры "1С" оставались доступными из интернета с настройками по умолчанию. Пароль служебной учётной записи базы данных подбирался мгновенно. Компаниям стоит проверить публикацию административных сервисов во внешнюю сеть, закрыть доступ к ним средствами фильтрации трафика, установить пароли администраторов кластеров "1С" и регулярно обновлять Atlassian Confluence. Отдельного внимания требуют подключения со стороны подрядчиков: они часто становятся обходным путём в защищённый периметр. Простые меры вроде двухфакторной аутентификации и контроля учётных записей дают здесь больше, чем любые сложные системы обнаружения.
Индикаторы компрометации
