Российские компании столкнулись с новой киберпреступной группировкой, которая маскирует вредоносные вложения под документы о добровольном медицинском страховании. Злоумышленники получили условное название Malinsure, а используемое ими вредоносное ПО - SafeMostSSH. Впервые образцы кода обнаружили в июле 2026 года в одной из публичных онлайн-песочниц - изолированных средах для безопасного запуска подозрительных файлов. Загрузки шли с территории России, а имена файлов были связаны с темой ДМС. Ни одна известная группировка ранее не использовала подобные инструменты.
Описание
Атака начинается с фишингового письма, например с темой "Акция! ДМС со скидкой до 60% для родственников". Внутри - PDF-файл с инструкцией перейти по ссылке и скачать архив. В архиве находятся несколько компонентов: исполняемый файл с двойным расширением, который визуально выглядит как документ, файл-приманка, а также библиотеки. При запуске активируется легитимный компонент Microsoft Office, после чего подгружается вредоносная библиотека. Пользователь видит открывающийся документ со страховыми условиями, тогда как в фоне устанавливается скрытый канал управления.
Как выяснили в департаменте киберразведки F6, вредоносная библиотека применяет технику под названием DLL Side-Loading - это способ заставить доверенный процесс загрузить чужой код. В итоге злоумышленники получают постоянный защищенный канал для удаленного управления - обратный SSH-туннель. Это позволяет им выполнять команды на зараженном компьютере, перемещаться по корпоративной сети и похищать данные. При этом программа тщательно проверяет окружение: если атакованная машина не входит в домен, то есть не является частью корпоративной инфраструктуры, вредонос прекращает работу.
Отдельного внимания заслуживает способ получения адресов управляющих серверов. В одном из случаев группировка разместила на популярной российской платформе vc.ru пост об автозапчастях. В тексте были две ссылки, внешне ведущие на изображения на Google, однако на самом деле эти адреса содержали зашифрованные данные о серверах. Вредоносная программа декодировала их и устанавливала соединение. Аналогичная информация извлекалась из DNS-записей - элементов системы доменных имен, которые обычно сопоставляют адреса сайтов с серверами. Такой скрытый канал позволяет злоумышленникам менять серверы без изменения самого вредоносного кода. Пост, использовавшийся для этих целей, удален администрацией платформы в августе после обращения F6.
Судя по содержимому файлов-приманок, злоумышленники нацелены на страховые, финансовые компании и организации топливно-энергетического комплекса. В рассылке встречались темы зарплатных проектов, вкладов, пенсионных отчислений. При этом инфраструктура Malinsure постоянно расширяется. Исследователи связали ее домены с рядом новых ресурсов, включая те, что имитируют сайты госуслуг и министерства финансов. Это может указывать на планы расширить круг целей и изменить тематику атак.
Помимо этого, вредоносная программа умеет закрепляться в системе: она копирует себя в скрытые системные папки, создает записи в автозагрузке и делает резервные копии собственных компонентов. Благодаря этому даже после удаления части файлов она способна восстановиться. Для маскировки компоненты получают атрибуты скрытых и системных файлов, что затрудняет их обнаружение штатными средствами Windows. Реализована в ней и логирование происходящих событий, что помогает злоумышленникам изучать активность в зараженной сети.
В качестве защиты эксперты рекомендуют компаниям обращать внимание на необычные письма с предложениями оформить или обновить страховку, особенно если они содержат просьбу перейти по ссылке и скачать архив. Сотрудникам стоит объяснять, что файлы с двойным расширением, например "документ.pdf.exe", почти наверняка являются вредоносными. Техническим службам необходимо регулярно обновлять операционные системы и офисные пакеты, использовать двухфакторную аутентификацию и ограничивать привилегии пользователей. Важно также отслеживать подозрительные исходящие соединения, поскольку обратный SSH-туннель создает постоянный канал наружу.
Появление Malinsure показывает, что ландшафт угроз для российских компаний продолжает усложняться. Новые группировки не просто копируют чужие методы, а разрабатывают собственные инструменты и продуманную инфраструктуру. Их главная цель - получить долговременный доступ к корпоративным сетям и незаметно выводить данные.
Индикаторы компрометации
