В апреле 2026 года в российских организациях авиакосмической промышленности началась волна фишинговых рассылок с вложениями-архивами. За ней стоит ранее неизвестная группировка, получившая обозначение Mimbrob. Признаков, которые позволили бы связать эти атаки с уже известными преступными объединениями, не нашлось. Название сложилось из трёх признаков: мимикрия в доменных именах и файлах, использование браузеров в цепочке заражения и логотип, найденный на взломанном сайте. Целями стали предприятия, выпускающие авиационные и ракетные двигатели, научные институты и IT-компании.
Описание
Первое письмо датировано 22 апреля. Получателю предлагали срочно провести метрологическую проверку продукции и обновить специализированное программное обеспечение. Оформление выдержано в официально-деловом стиле: ссылки на федеральные законы, аккуратный текст без единой ошибки. Отправитель выглядел как сотрудник легитимной компании, выпускающей оптоэлектронные системы измерения. Скорее всего, её почту взломали и использовали как прикрытие. Внутри архива лежали несколько исполняемых файлов, подписанных цифровой подписью Yandex. Имена маскировались под деловые документы: перечень компонентов, проект соглашения, технические требования. Запуск любого из них приводил к подгрузке вредоносной библиотеки - техника DLL Sideloading, то есть подмена легитимной библиотеки вредоносной. Загрузчик получил имя FBULoader.
Дальше начиналась малозаметная работа в системе. По данным F6, загрузчик копировал себя в отдельную папку, создавал задачу в планировщике под безобидным названием Browser Update Checker и запускал себя каждые 15 минут. Жертве при этом открывался отвлекающий документ с правдоподобным содержимым. Затем программа собирала сведения о компьютере - версию операционной системы, имя пользователя, число ядер процессора - и отправляла их на сервер, замаскированный под технический домен Yandex. В ответ она ждала новую полезную нагрузку. Получить её в ходе исследования не удалось.
Второй набор инструментов появился почти параллельно, с 24 по 28 апреля. Письма выглядели как предложение о сотрудничестве и приходили от имени реального сотрудника научного института, при этом домен отправителя лишь немного отличался от настоящего. В архивах лежал легитимный редактор Notepad++ и вредоносная библиотека. В одном случае рядом оказался документ-приманка с расчётными ведомостями. После запуска программа удалённого доступа, написанная на языке Go, шифровала трафик и пыталась соединиться с командным сервером, повторяя попытки каждые пять секунд. Она умела выполнять команды оболочки, загружать файлы на машину жертвы и выкачивать их наружу. В наблюдениях остались лишь проверки системы - злоумышленники изучали заражённые узлы, не переходя к активным действиям.
Инфраструктура говорит о тщательной подготовке. Три домена, с которых уходили письма, зарегистрировали в один день - 16 апреля 2026 года. Имена подделывали под реальных российских разработчиков и научно-производственные предприятия. Серверы управления маскировались под технические адреса Yandex, а часть доменов имитировала сервисы телеметрии и статистики браузера. До мая злоумышленники пользовались услугами одного регистратора, в конце августа перешли на двух других. В отдельных случаях сертификаты выпускали не на весь домен, а на его поддомены - приём, который усложняет обнаружение.
Одну из цепочек построили иначе. Браузер загружал вредоносную библиотеку не через подмену, а открыто, поскольку она заранее прописана в списке зависимостей программы. Внутри библиотеки тринадцать функций вели по одному и тому же адресу, то есть прятали единственную полезную функцию под множеством имён. Такой подход усложняет распознавание вредоносного кода средствами защиты.
11 мая появился сайт, предлагающий приложение Dronner для отслеживания тяжёлых беспилотников. Установщик создавал папки, копировал туда файлы браузера и закреплял задачу в планировщике под именем CocCoc Browser Update с запуском каждые 10 минут. Перед этим программа проверяла окружение. Если язык системы не входил в список стран СНГ и Румынии, работа прекращалась. Отдельно проверялись права: запуск с администраторскими правами, что типично для изолированных сред анализа, тоже останавливал заражение. Три минуты ожидания и завершение работы - обычная защита от изучения в песочнице. Аудиторией такого приложения выглядят военнослужащие, действующие вблизи линии боевого соприкосновения.
Позже на взломанном домене оптоэлектронной компании появилась страница с логотипом подразделения, которое открытые источники связывают с украинским военным формированием. Прямых доказательств, что Mimbrob работает вместе с ним, нет: доступы к скомпрометированным ресурсам нередко попадают и к другим группам. Тот же домен использовался для раздачи вредоносных архивов, причём страница с чужим логотипом появилась уже после рассылок.
Выбор целей и качество писем указывают на шпионаж как наиболее вероятный мотив. Финальную полезную нагрузку получить не удалось, поэтому точные выводы пока остаются предположением. Организациям разумно проверять отправителей даже при корректном оформлении письма и запрещать запуск исполняемых файлов из почтовых архивов. Полезно следить за появлением новых задач в планировщике и за тем, какие программы прописываются в автозагрузку. Двухфакторная аутентификация для почтовых сервисов снижает риск, что взломанный ящик подрядчика превратится в инструмент рассылки. Отдельного внимания заслуживают письма, где тема касается проверок, судебных разбирательств или кадровых документов: именно на таких поводах группировка и строит свои кампании.
Индикаторы компрометации
