С июня 2025 года по июль 2026 года продолжалась кибершпионская операция, которую отслеживают под названием OPERATION TALKED. Её основной целью стали украинские предприятия оборонной, авиационной и аэрокосмической промышленности. Позже к списку добавился оператор железнодорожной логистики. Кампания не остановлена: на момент публикации отчёта атакующие сохраняли доступ к чужим серверам.
Описание
Всё вскрылось из-за промаха самих нападавших. Их главный сервер управления остался открытым: любой, кто знал адрес, мог зайти в служебный каталог без пароля. Внутри находились 8400 с лишним рабочих файлов. Среди них - инструменты атак, украденные учётные данные, списки целей и журналы удалённых сессий. Ошибка позволила восстановить ход операции почти полностью.
По данным SOCRadar, помочь в этом смогли метки времени файлов, история введённых команд и записи сессий управления. Картина получилась двойной. Одно направление - массовое: автоматический поиск и эксплуатация уязвимых устройств, открытых в интернет. Второе - точечное: последовательные вторжения в организации оборонного и авиационного профиля.
Инфраструктуру атакующие держали на одном адресе без какой-либо защиты. Там же работали сервер управления, туннель для скрытого доступа, панель прокси-службы и тот самый открытый каталог. Ключи шифрования лежали в файле настроек в открытом виде. Такая схема экономила силы, но любая ошибка в настройках открывала доступ ко всему сразу.
Проникновение на каждую конкретную цель шло по одному сценарию. Сначала - разведка: перебор сетевых адресов и поиск слабых мест. Затем - вход через уязвимость в сетевом оборудовании или веб-приложении. Дальше - закрепление при помощи скрытых веб-оболочек, которые дают постоянный доступ к серверу. После этого атакующие забирали учётные данные, перемещались по внутренней сети и получали права администратора. Завершали всё выкачивание исходного кода из хранилищ разработчиков и отправка данных через облачные сервисы и прокси-серверы.
Хронологию собрали за четырнадцать месяцев: с разведки сетевого оборудования в июне 2025 года до пика в конце июля 2026 года. Двадцать четвёртого июля атакующие открыли рабочую сессию на сервере украинского оператора логистики. Днём позже выгрузку данных с их сервера заметили со стороны. Двадцать шестого июля все ключевые службы по-прежнему отвечали на запросы.
Массовая часть кампании охватила более 1,1 млн уникальных адресов в интернете. В арсенале - 19 уязвимостей с открытыми идентификаторами (CVE). Основной объём пришёлся на межсетевой экран Sophos XG (CVE-2022-1040) - около 757 000 целей. В списке также WordPress (CVE-2026-63030); FortiOS (CVE-2024-55591); F5 BIG-IP (CVE-2023-46747); SAP NetWeaver (CVE-2025-31324); Roundcube (CVE-2025-49113). Исправления для всех этих продуктов вышли, но установили их далеко не везде.
Пострадали девять украинских организаций: производители беспилотников, предприятия военной и гражданской авиации, государственный оборонный холдинг, структура по закупкам военной электроники. Из каждого взлома атакующие выносили полные копии хранилищ с исходным кодом. В одном случае они получили доступ к почтовым учётным данным. Это открывало путь к фишинговым рассылкам от имени компании.
На момент публикации открытым оставался доступ к серверу оператора железнодорожной логистики. Четыре его веб-приложения, написанные на Laravel, использовали один и тот же пароль к базе данных. Поэтому взлом одного участка открыл остальные. Атакующие успели изучить внутреннюю сеть и выгрузить часть баз.
Похищенный исходный код имеет самостоятельную ценность. По нему можно судить о возможностях беспилотников, бортовой электроники и систем связи. Украденные почтовые пароли открывают путь к атакам на партнёров и подрядчиков пострадавших предприятий. Цепочка поставок в оборонной отрасли устроена сложно, и один взломанный подрядчик выводит атакующих сразу к нескольким заказчикам.
Активность независимо выявила государственная команда реагирования на компьютерные инциденты Азербайджана. Она изучила подозрительные серверы, заблокировала связанные с ними индикаторы и приняла защитные меры в своей зоне ответственности. Позже стороны обменялись оценками того, как классифицировать эту инфраструктуру.
Приоритет для защитников - обновления. Первым делом закрывают уязвимости на устройствах, доступных из интернета: межсетевых экранах, системах удалённого доступа, веб-серверах и почтовых шлюзах. Одновременно меняют пароли администраторов, сервисных учётных записей и удалённых подключений, а двухфакторную аутентификацию включают везде, где она поддерживается. Веб-приложения проверяют на посторонние вставки, а журналы доступа к хранилищам кода - на массовые скачивания. Административные протоколы, которыми пользуются редко, лучше отключить. Сеть делят на сегменты, чтобы одна взломанная машина не открывала путь ко всем остальным.
Уровень детализации в этом расследовании объясняется ошибкой атакующих, а не их обычной практикой. Повторять её они не станут, поэтому следующая похожая кампания может оставаться незамеченной куда дольше. Сейчас серверы управления по-прежнему отвечают на запросы, а инструменты удалённого доступа продолжают работать. Для оборонных, авиационных, государственных и логистических организаций перечисленные уязвимости уже используют в реальных атаках.
Индикаторы компрометации
