Новая группировка Malinsure атакует российские компании через фальшивые документы о ДМС и зарплатных проектах

Российские компании столкнулись с новой киберпреступной группировкой, которая маскирует вредоносные вложения под документы о добровольном медицинском страховании. Злоумышленники получили условное название Malinsure, а используемое ими вредоносное ПО - SafeMostSSH. Впервые образцы кода обнаружили в июле 2026 года в одной из публичных онлайн-песочниц - изолированных средах для безопасного запуска подозрительных файлов. Загрузки шли с территории России, а имена файлов были связаны с темой ДМС. Ни одна известная группировка ранее не использовала подобные инструменты.

Описание

Атака начинается с фишингового письма, например с темой "Акция! ДМС со скидкой до 60% для родственников". Внутри - PDF-файл с инструкцией перейти по ссылке и скачать архив. В архиве находятся несколько компонентов: исполняемый файл с двойным расширением, который визуально выглядит как документ, файл-приманка, а также библиотеки. При запуске активируется легитимный компонент Microsoft Office, после чего подгружается вредоносная библиотека. Пользователь видит открывающийся документ со страховыми условиями, тогда как в фоне устанавливается скрытый канал управления.

Как выяснили в департаменте киберразведки F6, вредоносная библиотека применяет технику под названием DLL Side-Loading - это способ заставить доверенный процесс загрузить чужой код. В итоге злоумышленники получают постоянный защищенный канал для удаленного управления - обратный SSH-туннель. Это позволяет им выполнять команды на зараженном компьютере, перемещаться по корпоративной сети и похищать данные. При этом программа тщательно проверяет окружение: если атакованная машина не входит в домен, то есть не является частью корпоративной инфраструктуры, вредонос прекращает работу.

Отдельного внимания заслуживает способ получения адресов управляющих серверов. В одном из случаев группировка разместила на популярной российской платформе vc.ru пост об автозапчастях. В тексте были две ссылки, внешне ведущие на изображения на Google, однако на самом деле эти адреса содержали зашифрованные данные о серверах. Вредоносная программа декодировала их и устанавливала соединение. Аналогичная информация извлекалась из DNS-записей - элементов системы доменных имен, которые обычно сопоставляют адреса сайтов с серверами. Такой скрытый канал позволяет злоумышленникам менять серверы без изменения самого вредоносного кода. Пост, использовавшийся для этих целей, удален администрацией платформы в августе после обращения F6.

Судя по содержимому файлов-приманок, злоумышленники нацелены на страховые, финансовые компании и организации топливно-энергетического комплекса. В рассылке встречались темы зарплатных проектов, вкладов, пенсионных отчислений. При этом инфраструктура Malinsure постоянно расширяется. Исследователи связали ее домены с рядом новых ресурсов, включая те, что имитируют сайты госуслуг и министерства финансов. Это может указывать на планы расширить круг целей и изменить тематику атак.

Помимо этого, вредоносная программа умеет закрепляться в системе: она копирует себя в скрытые системные папки, создает записи в автозагрузке и делает резервные копии собственных компонентов. Благодаря этому даже после удаления части файлов она способна восстановиться. Для маскировки компоненты получают атрибуты скрытых и системных файлов, что затрудняет их обнаружение штатными средствами Windows. Реализована в ней и логирование происходящих событий, что помогает злоумышленникам изучать активность в зараженной сети.

В качестве защиты эксперты рекомендуют компаниям обращать внимание на необычные письма с предложениями оформить или обновить страховку, особенно если они содержат просьбу перейти по ссылке и скачать архив. Сотрудникам стоит объяснять, что файлы с двойным расширением, например "документ.pdf.exe", почти наверняка являются вредоносными. Техническим службам необходимо регулярно обновлять операционные системы и офисные пакеты, использовать двухфакторную аутентификацию и ограничивать привилегии пользователей. Важно также отслеживать подозрительные исходящие соединения, поскольку обратный SSH-туннель создает постоянный канал наружу.

Появление Malinsure показывает, что ландшафт угроз для российских компаний продолжает усложняться. Новые группировки не просто копируют чужие методы, а разрабатывают собственные инструменты и продуманную инфраструктуру. Их главная цель - получить долговременный доступ к корпоративным сетям и незаметно выводить данные.

Индикаторы компрометации

IPv4

104.171.130.199
176.57.208.33
185.207.66.83
186.246.28.223
186.246.7.134
188.225.27.102
188.225.39.88
191.44.37.222
191.44.37.235
191.44.38.70
194.87.254.182
194.87.57.130
194.87.57.4
201.24.60.146
201.51.28.213
201.51.8.163
45.10.247.234
5.129.197.194
5.129.200.198
5.129.204.97
62.76.228.28
72.56.11.232
80.64.31.126
80.90.184.187
81.19.136.240
81.200.146.190
81.200.146.207
81.200.146.214
81.31.247.40
83.217.200.210
83.217.202.9
85.193.91.18
85.239.56.43
91.195.12.80
92.246.76.17
92.255.108.79

Domain

24internetsales.ru
24webdav.ru
a620c2c5ac798105429ab0bb992e305c.ru
adwordstatistics.ru
cdn-sogaz.ru
cloudinformation.ru
coconutt.ru
conclouds.ru
coveragepro.ru
cs.telemost-ads.net
cyberkarel.ru
cyber-mining.ru
darkvale.ru
equipads.ru
f1iles-sogaz.ru
filesharing-sogaz.ru
files-sogaz.ru
glonastracking.ru
gosuslugi.email
gpslivestreaming.ru
gpsspoofing.ru
highloadvpn.ru
k8s-security.ru
life-cover.ru
mail.minfin.support
mail.rugosuslugi.email
marketlearning.ru
minfin.support
netstreaming.ru
oak-fern.ru
over-there.ru
polisstrah.ru
riskcover.ru
rugosuslugi.email
safebrowser.ru
safelearning.ru
safe-surfing.ru
sambastore.ru
sinij-led.ru
sogaz-cdn.ru
sogaz-files.ru
sogaz-filesharing.ru
sogaz-tn.ru
sogaz-webdav.ru
sslfingerprinting.ru
svezhiysneg-u.ru
testsalesmarketing.ru
tikhodoma.ru
tlswebstore.ru
tlswebsurfing.ru
tnbreachforum.ru
tnbusiness.ru
trafficanalyze.ru
tvoyapolis.ru
updatewebrtc.ru
webadstitistics.ru
webanalitycs.ru
webdav-sogaz.ru
websogaz.ru
webssltracking.ru
web-tracking.ru
wild-harbor.ru
wwwzohse.ru
yasnyydenek.ru
yiemoosh.ru
zashchita-semyi.ru
zohse.ru

URL

https://cdn-sogaz.ru/%D0%A1%D1%82%D1%80%D0%B0%D1%85%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5%20%D1%80%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%B5%D0%BD%D0%BD%D0%B8%D0%BA%D0%BE%D0%B2.zip
https://files-sogaz.ru/%D0%98%D0%B7%D0%BC%D0%B5%D0%BD%D0%B5%D0%BD%D0%B8%D1%8F%20%D0%B2%20%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%B5%20%D0%94%D0%9C%D0%A1.rar
https://sogaz-cdn.ru/%D0%A1%D1%82%D1%80%D0%B0%D1%85%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5%20%D1%80%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%B5%D0%BD%D0%BD%D0%B8%D0%BA%D0%BE%D0%B2.zip
https://sogaz-files.ru/%D0%98%D0%B7%D0%BC%D0%B5%D0%BD%D0%B5%D0%BD%D0%B8%D1%8F%20%D0%B2%20%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%B5%20%D0%94%D0%9C%D0%A1.rar
https://sogaz-filesharing.ru/%D0%98%D0%B7%D0%BC%D0%B5%D0%BD%D0%B5%D0%BD%D0%B8%D1%8F%20%D0%B2%20%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%B5%20%D0%94%D0%9C%D0%A1.rar
https://vc.ru/id6030334/3009787-gde-nayti-zapchasti-dlya-great-wall-safe