Сервер с открытым для просмотра каталогом показал набор скриптов и программ для удалённого доступа к чужим сетям. Часть файлов содержит отсылки к атомной энергетике Пакистана и к промышленной автоматизации. Содержимое каталога указывает на интерес к стратегическим объектам страны. Набор рассчитан на закрепление в сети и сбор документов, а не на разовую кражу.
Описание
По данным InfraHunter, в каталоге лежали 48 файлов общим объёмом около 12 МБ, без подкаталогов. Сервер размещался в сети хостинг-провайдера M247 Europe SRL; геолокация указывает на французский Сен-Дени. Файлы добавлялись волнами: первая партия датируется 9 октября 2026 года, последние изменения относятся к 14 октября. Судя по датам, набор дорабатывали прямо на этом сервере, уже после первых загрузок.
Цели угадываются по ключевым словам в командных файлах. Один скрипт перебирает документы в профиле учётной записи ELECTRICAL и ищет в именах файлов названия пакистанских атомных объектов и термины АСУ ТП. Второй обходит тот же профиль целиком: недавние документы, историю браузера, сетевые ярлыки. Собранное ложится в текстовые отчёты на диске. Отдельно проверялось, что временный каталог и место под добытые данные доступны для записи.
Учётные данные собирал Inveigh - утилита подменяет ответы на широковещательные запросы имён и перехватывает хеши NetNTLM у машин в том же сегменте сети. Такие хеши позволяют выдать себя за чужую учётную запись без знания пароля. Конфигурации менялись не меньше десяти раз. Поздние версии выдавали машину за хост нефтегазовой OGDCL: на сети, где такие компьютеры ожидаемы, подмена выглядит правдоподобнее. Затем отдельный скрипт проверял 30 адресов в локальной подсети и пробовал добытые данные на административных сетевых ресурсах.
Среди исполняемых файлов - три обратные оболочки на Go, собранные с разницей в несколько недель. Каждая даёт удалённое выполнение команд через системную оболочку. От версии к версии инструмент жёстче: во второй убрали отладочные символы, в третьей добавили шифрование трафика и сменили инфраструктуру управления. Обнаружился и HTTP-имплант: он опрашивает управляющий сервер, забирает команды из заголовков ответа и умеет внедряться в чужие процессы. Работает в наборе и загрузчик полезной нагрузки Metasploit. Чистыми оказались только две сборки curl - к этой части они отношения не имеют.
Привязку к DoNot APT (APT-C-35) автор работы строит на совпадениях. Один из адресов управления через пассивный DNS в VirusTotal указывал на домен, который до этого фигурировал в публикации StrikeReady Labs. Там же разбирался документ PowerPoint с макросами: он создавал задачи в планировщике и размещал файлы в каталоге, характерном для DoNot. Совпадение с задокументированными приёмами группы усиливает версию. Ранее активность DoNot описывали Rewterz и Cyble - обе публикации касались пакистанских организаций, включая оборонные предприятия.
Что за организация стояла за учётной записью ELECTRICAL, из скриптов не следует. Автор не называет ни конечную цель операции, ни дальнейшую судьбу собранных документов. Ключевые слова говорят об интересе к отрасли, но не доказывают, что хотя бы один объект уже скомпрометирован. Привязку к DoNot он оценивает как потенциальную, а происхождение файла с паролем в открытом виде остаётся неясным.
Индикаторы компрометации
