Обзор угроз CYFIRMA: Новый шифровальщик Gines применяет двойное вымогательство и заметает следы

На подпольных форумах обнаружен образец программы-вымогателя Gines. Вредонос принадлежит к известному семейству Makop и действует по схеме двойного вымогательства. Сначала он похищает конфиденциальные файлы и отправляет их операторам. Затем запускается процесс шифрования. Файлы получают расширение .gines, а в каждой папке появляется записка +README-WARNING+.txt. Жертве предлагают связаться с вымогателями через ginesomna@outlook.com. Публичного дешифратора на сегодняшний день не существует. Злоумышленники нацелили атаки на системы Windows, локальные и сетевые диски. Вредонос активно использует командный интерпретатор, принудительно останавливает службы SQL и удаляет артефакты своей работы. Подобная антифорензическая очистка серьёзно затрудняет восстановление и анализ инцидента. Пока неясно, как именно распространяется Gines, однако специалисты предполагают фишинговые письма или компрометацию серверов.

Аналитики CYFIRMA в отчёте описали ещё один опасный инструмент - программу для кражи данных NWH Stealer. Она незаметно встраивается в легитимные процессы cmd.exe, powershell.exe, svchost.exe и msedge.exe. Её цель - сохранённые учётные данные, история посещений, информация автозаполнения и токены из браузеров Microsoft Edge и Mozilla Firefox. Стилер передаёт собранные сведения на управляющий сервер seall-vernous.com и другие домены через зашифрованное соединение. Для обнаружения этой угрозы эксперты выпустили YARA- и Sigma-правила, а также обширный перечень индикаторов компрометации. Маскировка под системные процессы позволяет стилеру долго оставаться незамеченным.

Параллельно аналитики раскрыли деятельность шпионской группы GhostWriter (UNC1151). Её связывают с белорусскими спецслужбами и работой в пользу России. Весной 2026 года группировка провела фишинговую кампанию против украинских государственных служащих. Поддельные уведомления, замаскированные под сообщения образовательной платформы, служили приманкой. Кроме того, атакующие пытались проникнуть в систему управления боем Delta. Эти операции преследуют цель сбора разведывательной информации и подрыва военных коммуникаций.

Геополитическая напряжённость подпитывает и действия китайских APT-группировок (реализующих целевые атаки при поддержке государства). Группа Calypso, также известная как Red Lamassu, задействует бэкдор Showboat для операционных систем Linux. Вредоносный инструмент проникает в инфраструктуру телекоммуникационных компаний Центральной и Южной Азии. Он обеспечивает скрытный удалённый доступ, загрузку файлов и перехват данных. Регион, по оценкам специалистов, превращается в испытательный полигон для отработки новых кибератак.

Прошедшая неделя принесла две заметные атаки на японский бизнес. Вымогательская группа Payload Ransomware взломала строительную компанию, специализирующуюся на инженерных системах. В даркнете опубликовали примерно 11 ГБ внутренней документации. Другая группа, The Gentlemen Ransomware, атаковала крупное предприятие по обработке алмазов и производству ювелирных изделий. В каждом случае злоумышленники действовали по модели двойного вымогательства. Официальные комментарии от пострадавших организаций пока не поступали.

Подпольные площадки пополнились предложениями о продаже украденных баз данных. Пользователь утверждает, что располагает массивом из 7,15 млн записей клиентов филиппинской сети японских ресторанов. В открытом доступе могут оказаться имена, телефоны, адреса электронной почты, даты рождения, балансы кошельков и история транзакций. Ещё одно объявление касается 32 тыс. учётных записей вьетнамской технологической компании. В базе присутствуют логины и хеши паролей MD5 с солью. Подлинность обеих утечек остаётся неподтверждённой, но сам факт их появления наносит репутационный урон.

Эксперты выявили опасную уязвимость CVE-2026-5817 в Docker Desktop. По шкале CVSS она получила 8.2 балла. Некорректная изоляция в среде выполнения vllm-metal даёт злоумышленнику шанс выполнить код на хост-системе прямо из контейнера. Для эксплуатации бреши не требуется особая квалификация. Разработчики уже выпустили обновление безопасности, и всем пользователям необходимо установить его без промедления.

В заключение CYFIRMA призывает организации пересмотреть подход к управлению поверхностью атаки. Специалисты рекомендуют внедрить многофакторную аутентификацию, сегментировать сеть, оперативно применять публикуемые индикаторы компрометации и регулярно проверять цифровой след. Быстрое внедрение YARA- и Sigma-правил помогает выявлять вредоносную активность на ранних этапах. Сочетание проактивного мониторинга и своевременного устранения уязвимостей значительно снижает риски как от массовых вымогателей, так и от целевых шпионских групп.