OROVA за три месяца собрала 45 жертв и публикует имена компаний с раскрытыми паролями

География смещена в две точки мира. На США приходится 24 заявленные жертвы из 45, на Гонконг - 10, на Тайвань - 8. Ещё по одной компании названы в Египте, Бразилии и Японии. Отраслевая картина заметно шире. Производство и здравоохранение дают по 15,6 процента случаев, технологии и профессиональные услуги - по 13,3 процента. Финансовый сектор и торговля - по 6,7 процента, остальные сферы представлены единичными эпизодами. Заводы и клиники попадают в списки чаще других: остановка выпуска продукции и отмена плановых процедур обходятся дороже всего.

Внутрь чужой сети OROVA попадает через действующие учётные записи, а не через уязвимости в программном обеспечении. Многие из названных компаний до публикации на сайте утечек уже фигурировали в наборах логинов и паролей, которые собрали похитители паролей - вредоносные программы, выкачивающие сохранённые данные из браузеров. По данным CyberXTron, этот способ доступа остаётся для группы основным. Подтверждённой фишинговой кампании или эксплуатируемой уязвимости с OROVA пока не связывают. Вывод строится на совпадениях, а не на прямых доказательствах, и потому остаётся предварительным.

После входа начинается разведка: группа прослушивает внутренний трафик, составляет карту узлов и доступных служб. Дальше в ход идут штатные средства удалённого администрирования - RDP (протокол удалённого рабочего стола) и SMB (протокол доступа к сетевым папкам). Вместе с ними применяются похищенные данные аутентификации: токены, хеши, фрагменты сессий. Такой трафик почти не отличается от работы системных администраторов. Искать его приходится по отклонениям в поведении, а не по сигнатурам. Перед шифрованием группировка отключает или повреждает защитные средства, удаляет теневые копии и точки восстановления, добирается до консолей резервного копирования. Размер цели значения не имеет: среди жертв есть и небольшие компании с одним сервером, и производители с несколькими площадками.

Шифровальщик OROVA работает на Linux и на платформе виртуализации VMware ESXi. Он умеет завершать работу виртуальных машин ещё до шифрования, обходит системные каталоги и служебные типы файлов, а обработанные документы помечает собственным расширением. Связь с управляющими серверами идёт по обычным веб-протоколам, поэтому сетевые фильтры её почти не выделяют. Записка о выкупе даёт жертве 72 часа на связь, требует установить Tor Browser и ввести индивидуальный код, привязанный к конкретной компании. Внутри записки звучит предупреждение: самостоятельные попытки вернуть файлы якобы сделают восстановление невозможным. Отказ от переговоров группа обещает завершить публикацией украденных данных на своём сайте.

Кроме основной страницы утечек OROVA держит вторую площадку - уведомление о раскрытии учётных данных. Там перечисляют компании, чьи пароли сотрудников, по словам группы, вновь оказались в открытом доступе. Механика отличается от таймеров обратного отсчёта, которыми пользуются другие вымогатели: давление строится на самой публикации факта компрометации, вне общего цикла утечек. Пока неясно, ведёт ли такая страница к реальному набору паролей или служит только средством устрашения. Всю инфраструктуру группа разнесла по четырём адресам: блог для публикации жертв, закрытый портал переговоров с доступом по коду и две служебные страницы. Разделение позволяет держать публичный контент и переговоры с конкретной компанией на разных узлах.

OROVA называет себя сервисом вымогательства как услуги. В такой схеме одна команда разрабатывает шифровальщик, а другие проводят атаки и делят с ней доход. Публикации жертв идут волнами: в конце августа 2026 года за короткий промежуток выложили сразу несколько компаний. График указывает на заранее подготовленный запас целей. Полноценного анализа образца вредоносной программы пока нет. Оценки технических возможностей группы остаются приблизительными, а её ранние версии шифровальщика могли отличаться от текущих.

Защита строится на нескольких простых вещах. Устойчивая к фишингу многофакторная аутентификация нужна на всех точках удалённого доступа, в том числе на VPN-шлюзах (защищённых каналах связи) и в облачных сервисах. Корпоративные учётные записи полезно регулярно сверять с базами утечек. Трафик RDP и SMB между рабочими станциями стоит ограничивать и протоколировать, а отклонения в нём - разбирать. Резервные копии должны лежать вне производственного домена, быть неизменяемыми и недоступными из сети, где уже работает злоумышленник. Удаление теневых копий, вмешательство в работу охранных средств и вход в консоль резервного копирования, идущие подряд, требуют немедленной проверки.

Для заводов, клиник и небольших компаний, чьи пароли уже засветились в утечках, OROVA остаётся активной и ещё не до конца изученной угрозой. Любое подозрение на её работу лучше считать инцидентом с двойным вымогательством с первой минуты, даже если файлы пока не зашифрованы. Сроки уведомления регуляторов отсчитываются с момента обнаружения, а не с завершения восстановления.