В начале августа 2026 года началась кампания Operation Conflict Compass. Её целями стали украинские специалисты и организации, работающие с темой конфликта вокруг Украины. Авторы кампании собирали сведения о ходе специальной военной операции и пытались оценить среднесрочные перспективы конфликта. Атаку приписывают северокорейской группировке Konni, связанной с государственными структурами КНДР. Первые образцы вредоносных файлов появились в публикациях сторонних наблюдателей в начале сентября. Сетевые адреса, использовавшиеся для управления заражёнными машинами, фиксировались с 3 августа. Название операции присвоила команда аналитиков, изучавшая связанные артефакты.
Описание
Первым шагом стали письма с вложениями. Внутри архива лежал ярлык, внешне неотличимый от обычного PDF-документа. Получатель открывал вложение и видел правдоподобный текст. В это же время на компьютер попадал вредоносный код. Темы приманок подобраны под интересы конкретной аудитории. Одна из них - книга о столетней архитектуре мира для Европы, построенной на принципах инженерного подхода к цивилизации. Вторая - резюме украинского социолога, которое будто бы отправляли для участия в проекте. Третья - материал о росте мировых цен на продовольствие из-за кризиса вокруг Ормузского пролива и ситуации с поставками российского зерна. Такой набор приманок указывает на интерес к внешней политике, обороне и международным переговорам. Значит, круг целей охватывает дипломатические ведомства, аналитические центры и некоммерческие организации.
На заражённой машине сценарий на языке VBScript (встроенный в Windows язык программирования для служебных задач) создавал задание в планировщике. Название маскировалось под обновление OneDrive. Задание запускало следующий скрипт каждую минуту. Исследование SOCRadar Threat Research Unit показало, что такая частота превращает разовый файл в почти непрерывный канал связи с оператором. Основной компонент - загрузчик VelvetCake. Он почти не хранит функции у жертвы. Вместо этого программа запрашивает готовые модули у сервера управления, выполняет их и возвращает результаты.
Логика VelvetCake напоминает очередь задач. Программа подключается к серверу, забирает доступные сценарии, выполняет их, отправляет собранные данные обратно и стирает следы. Лишние файлы удаляются сразу после передачи. Стойкость в системе обеспечивает не сам загрузчик, а задание планировщика: оно перезапускает цикл каждую минуту. Оператор получает свежие результаты почти в реальном времени, а разрыв связи не останавливает работу. Дополнительный модуль, найденный на сервере управления, занимался разведкой. Он собирал перечень установленных средств защиты, сведения о системе и сети, список запущенных процессов, недавно открытые файлы и карту дисков. Отдельная функция делала снимок экрана.
Наблюдался и второй способ доставки. Злоумышленники прятали те же компоненты внутрь установочного файла программы для видеоконференций. Вероятно, жертву убеждали скачать приложение, чтобы попасть на встречу. Скачать поддельный установщик можно было с ресурса, который выглядел как страница организаторов мероприятия. Отдельная сборка запускала код прямо в памяти, не сохраняя его на диск. Оба варианта приводили к одному итогу: сведения о пользователе и его окружении уходили на внешний сервер вместе с именем учётной записи и рабочего домена.
Атрибуция опирается на несколько признаков. Konni известна как подгруппа более широкого объединения Kimsuky и действует как минимум с 2014 года под началом северокорейского разведывательного ведомства. Группа традиционно работает по Южной Корее, но регулярно расширяет географию на Японию, Россию и страны Европы. Совпадение инфраструктуры, характерные приёмы и тематика приманок указывают именно на неё. Жёстко прописанные в коде константы - постоянный пароль, фиксированный сетевой порт, неизменный служебный заголовок - говорят о спешке или автоматической сборке. Похожие приёмы встречаются в других инструментах этого семейства, включая наборы FlowerPower, GitPower и BabyShark. Рабочие часы операторов, вычисленные по меткам времени в служебном репозитории, совпадают с корейским графиком: активность приходится на утро и вторую половину дня по местному времени.
Для организаций, работающих с чувствительными темами, риски конкретны. Утечка внутренних документов, переписки и планов наносит ущерб репутации и переговорным позициям. Перехваченные снимки экрана раскрывают состав команды и используемое программное обеспечение. Защита строится на нескольких правилах. Проверяйте отправителя письма, особенно если тема касается переговоров или кадровых вопросов. Не открывайте ярлыки внутри архивов, присланных незнакомыми людьми. Обновляйте систему и офисные приложения. Ограничивайте права обычных пользователей. Следите за задачами в планировщике: постороннее задание с именем системного обновления - повод для проверки. Двухфакторная аутентификация снижает урон, если учётные данные всё же попали к чужим. Группировки, работающие на государство, годами совершенствуют такие цепочки, поэтому одна ошибка получателя обходится дорого.
Индикаторы компрометации
