Новая кибергруппировка SiribClone атакует российских военных с помощью фишинга и шпионского ПО

Группировка использует комбинированные методы атаки. Она распространяет вредоносные файлы как для настольных компьютеров, так и для мобильных устройств. В качестве приманок применяются приложения для "безопасного обмена фотографиями", документы на военную тематику, а также сайты, маскирующиеся под популярные сервисы. Особый упор сделан на социальную инженерию. Участники SiribClone под видом девушек, желающих познакомиться, или волонтёров лично общаются с военными через мессенджеры. В январе‑феврале 2026 года такая активность была зафиксирована особенно интенсивно, но сетевые артефакты указывают, что фишинг через Telegram группировка применяет с лета 2025 года по настоящее время.

Исследование началось с файла, загруженного на платформу для анализа в феврале 2026 года. На Google-диске лежал архив "Решение по СВОДУ.zip", защищённый паролем. Внутри находился ярлык, который при открытии запускал команду PowerShell: она скачивала документ-приманку с сервера злоумышленников и загружала скрипт с GitHub. Этот скрипт содержал встроенный массив байтов, который загружался в память как .NET-сборка и вызывал функцию загрузчика. Загрузчик, в свою очередь, скачивал DLL-библиотеку, выполнявшую эксфильтрацию данных с помощью rclone. Специалисты F6 назвали это вредоносное ПО для Windows SiribGrabber.

SiribGrabber собирает с заражённой системы документы, изображения, видео, архивы и другие файлы с заданным набором фильтров. Он копирует их на удалённое хранилище, подконтрольное атакующим. Конфигурация для работы получается с GitHub и расшифровывается алгоритмом Base64 с AES. Вредонос проверяет наличие rclone на компьютере, при необходимости скачивает его и создаёт профиль подключения. После этого для каждого логического диска выполняется команда копирования, а в системе создаются bat- и ps1-файлы для автозагрузки. В ходе анализа были обнаружены два IP-адреса атакующих и GitHub-профиль evon-ch.

Специалисты F6 в своём отчёте подробно описали инфраструктуру группировки. Изучение GitHub-профиля evon-ch показало, что первые коммиты были сделаны 24 января 2025 года. Они содержали эксперименты с полезной нагрузкой. Позже, начиная с апреля 2026 года, в конфигурации появилась команда для кражи Telegram-сессии. В другой ветке нашёлся второй профиль - s1r1ban, активный с 24 декабря 2025 года по 6 февраля 2026 года. В его репозиториях хранились ещё более ранние конфигурации для тестирования. В метаданных LNK-файла также фигурировал ник zam040k, по которому удалось найти старые комментарии на украинских форумах.

Сетевой анализ выявил три основных командных сервера: 185.17.3[.]215, 185.186.244[.]57 и 208.92.227[.]183. С помощью графового анализа специалисты установили, что некоторые адреса связаны общим SSH-отпечатком и одним ETag. На двух из этих IP располагались веб-страницы: страница входа в менеджер похищенных Telegram-сессий, который атакующие назвали "КОНТУР". Это внутреннее приложение, позволяющее просматривать сообщения скомпрометированных аккаунтов. Данные похищенных сессий хранятся в базе данных. В заметках злоумышленников к жертвам встречаются описания геолокаций, званий и войсковых частей, что прямо указывает на их цель - военный шпионаж.

Фишинговые страницы имитируют вход через Telegram. Пользователь вводит номер телефона, код подтверждения и, если нужно, облачный пароль. Сервер делает запрос к Telegram API, получает авторизацию и сохраняет sessionString - ключ, дающий доступ к аккаунту. Полученные строки уходят в несколько мест: в приложение "КОНТУР", в Google Sheets и на внешний сервис. Всего специалисты нашли более двух десятков доменов, зарегистрированных группировкой. Самый ранний - verification.my - был просканирован сервисом анализа ссылок ещё 2 июня 2025 года.

Социальная инженерия играет ключевую роль. Злоумышленники под видом девушек знакомятся с военными через приложения для знакомств и Telegram. В ходе переписки они присылают ссылки на якобы "безопасное" приложение для обмена фотографиями или на "облачный сервис". Также фиксировались случаи, когда атакующие представлялись волонтёрами и предлагали заполнить таблицу по ссылке. Кроме того, они рассылали APK-файлы с названиями вроде Safeintim.apk. Это вредоносное приложение, получившее название SafeLoveStealer, классифицируется как шпионское ПО. Оно передаёт информацию об устройстве, геопозицию, данные сети, Wi-Fi, собирает файлы, записывает звук с микрофона и даже распознаёт речь. Приложение маскируется под легитимный обмен фотографиями, запрашивает минимум разрешений и имитирует реальную работу.

Атаки продолжаются. 12 мая 2026 года на платформе для анализа файлов появился архив "anketa2" с ярлыком и изображениями. Команда в ярлыке была аналогична февральской, а финальная нагрузка - обновлённая версия SiribGrabber с теми же командными серверами. За несколько дней до этого на одном из адресов атакующих зарегистрировали домен bezsmertniypolk.online. Главная страница предлагает пользователям добавить героев войны в онлайн-формат "Бессмертного полка". После заполнения формы предлагается скачать архив с "итоговой заявкой". При скачивании двух архивов один из них содержал вредоносный ярлык, другой - документ-приманку.

Таким образом, группировка SiribClone демонстрирует высокую адаптивность. Она использует разные каналы распространения, тематические приманки и современные методы социальной инженерии. Цель одна - получение доступа к данным российских военнослужащих для шпионажа. Организациям и частным лицам, особенно связанным с оборонной сферой, стоит проявлять повышенную бдительность при общении в мессенджерах и скачивании файлов из непроверенных источников.