Медицинская организация почти два года оставалась под контролем Partisan Zmiy

Поводом для разбирательства стало сканирование внешнего домена заказчика из сети дочерней организации. Выводы подкрепили пересечениями по сетевой инфраструктуре и совпадениями в приёмах работы. Позже выяснилось, что средства защиты фиксировали вредоносную активность на протяжении длительного времени, а на определённом этапе определяли и сами инструменты группировки. Сработки накапливались, но должного разбора не получали. Отсюда и почти двухлетний срок присутствия.

Закрепление в чужих системах атакующие построили на службах Windows. Подставные службы носили безобидные имена, имитирующие компоненты операционной системы, средства виртуализации и специализированные продукты. Отдельного внимания заслуживает каталог программ для виртуализации: он был установлен легально задолго до атаки, но администраторы им не пользовались. Этот участок файловой системы оказался доверенным и при этом никем не наблюдаемым. В декабре 2025 года злоумышленники подменили одну из библиотек в этом каталоге, а оригинал сохранили рядом под другим именем - судя по всему, чтобы иметь возможность отката. Подменённый файл не имел цифровой подписи, тогда как исходный был подписан производителем. Простая проверка подписей в каталогах доверенного программного обеспечения выявила бы подлог задолго до начала расследования.

По данным Solar 4RAYS, в инфраструктуре работал ранее не описанный загрузчик-планировщик. Он запускал полезные нагрузки по расписанию под видом штатных компонентов систем виртуализации и службы обновлений. Конфигурация загрузчика собиралась под конкретную цель: в неё вписан путь к хранилищу обновлений, который можно было узнать только после разведки конкретного сервера. Загрузчик проверяет, совпадает ли текущая машина с целевой, и при несовпадении немедленно прекращает работу. В изученном образце такая проверка оказалась отключена, поэтому служба стартовала на любой машине. Один из запускаемых процессов поднимался только по субботам, ближе к вечеру, в течение часа. Выбор нерабочего времени и короткого окна указывает на резервный канал связи: его включали редко, чтобы не привлекать внимания.

Основным инструментом оставался бэкдор Vasilek, который получает команды из группового чата в Telegram и туда же возвращает результаты. Первое публичное описание этой программы сделала Kaspersky ICS CERT в 2025 году. В новом инциденте обнаружена более поздняя сборка. Оператор писал команды от имени группы, скрывая собственный аккаунт, а имя бота содержало фрагмент названия заражённой организации - так удобнее различать жертв, когда их несколько. Возможности программы широки: выполнение команд, выгрузка файлов, снимки экрана, слежение за активным окном, сбор содержимого буфера обмена, запись нажатий клавиш, имитация движения курсора и щелчков мышью, повышение прав, самоудаление. За четыре ревизии набор команд почти не изменился: добавилась лишь одна новая - перемещение курсора на экране жертвы. Атакующие вкладывались не в новые возможности, а в незаметность.

Связь с управляющим сервером продублирована несколькими каналами. Кроме мессенджера, использовались так называемые DNS-туннели - канал, спрятанный в служебных запросах системы доменных имён, и цепочка прокси-серверов. Потеря одного способа связи не лишала оператора доступа. Для маскировки трафика применялись корпоративные настройки прокси: исходящие соединения уходили тем же путём, что и обычный рабочий трафик сотрудников. Перед запуском программа сверяет имя заражённой машины с эталоном, а потому в изолированной среде не проявляет активности. Проверку обходят ещё и тем, что часть системных функций вызывается скрытно, без записи в стандартных таблицах. В один из периодов бэкдор получил режим подавления исходящих сообщений: он продолжал собирать данные, но не отправлял их. Такой режим удобен, когда оператор ожидает повышенного внимания к сети.

Сетевая инфраструктура группировки частично совпадает с описанной ранее. Часть управляющих доменов использовалась повторно, ещё несколько отличались от известных всего одним символом, добавленным в начало имени. Расчёт на невнимательность: занятый администратор вряд ли заметит лишнюю букву. Боковое перемещение внутри сети велось через легитимные удалённые подключения и удалённое выполнение команд. Из-за блокировки Telegram в России связь бэкдора с управляющим сервером стала нестабильной. Однако группировка по-прежнему задействует и другие способы коммуникации, поэтому усиление блокировок не стоит считать надёжной защитой от целевых атак.

Ущерб от инцидента оценивается прежде всего в доступе к чувствительным медицинским данным. Атакующие получили контроль над системами централизованного управления и имели все условия для атак через доверенные отношения с дочерними структурами. Шпионаж, судя по всему, оказался для них выгоднее немедленного разрушения. Практический вывод для организаций здравоохранения и смежных отраслей прост: установить средства защиты недостаточно, их срабатывания нужно разбирать. Обнаружение подобной программы на хосте почти всегда означает многоинструментальное вторжение. Параллельно стоит проверять наличие скрытых каналов связи, цепочек прокси-серверов и отложенных деструктивных нагрузок, которые могут сработать уже после того, как инцидент сочтут закрытым. Нелишними будут инвентаризация доверенного, но неиспользуемого программного обеспечения, контроль цифровых подписей в его каталогах и регулярный пересмотр прав доступа к внутренним системам.

* Признано экстремистским, его деятельность запрещена на территории России