Рабочий сервер оператора вымогателей раскрыл атаку на сайты японской недвижимости

Сервер отдавал список файлов по HTTP без аутентификации, поэтому содержимое каталога видел любой обратившийся. По данным SOCRadar Threat Research Unit, в нём оказалось более 3 800 файлов: сценарии развёртывания веб-оболочек, инструменты бокового перемещения, журналы обращений маяков, шаблоны страниц с требованием выкупа, закрытый SSH-ключ и архивы похищенной почты и баз данных. Отметки времени укладывают активность в промежуток с 8 по 27 октября 2026 года, а пики приходятся на 10, 15 и 21-23 октября. Службу SSH на хосте перенесли на нестандартный порт и поставили fail2ban, что говорит о расчёте на длительное использование.

Первым подтверждённым объектом стала японская компания, оказывающая услуги в сфере недвижимости. Каким образом оператор получил доступ к её сайту, в файлах не записано; комментарии в сценариях указывают, что их запускали с другой машины. На сайте он разместил веб-оболочки в каталоге для загрузки изображений со случайными именами и прописал маяк в конфигурацию базы данных, а по корню сайта распределил самораспространяющийся PHP-перехватчик. Правила ограничения доступа в служебном файле конфигурации оператор переписал, а задание планировщика возвращало их каждую минуту, поэтому попытки владельца закрыть доступ откатывались. Кроме того, он проверил исходящую почту с адреса компании на внешний ящик.

Из этого окружения оператор перешёл на другие площадки. Закрытый SSH-ключ с рабочего сервера подошёл к нескольким учётным записям у того же провайдера общего хостинга. Один пароль базы данных, как показывают сценарии, использовался на нескольких пострадавших сайтах с одинаковой структурой таблицы участников. Журнал маяка зафиксировал обращения примерно с 20 японских доменов с 9 по 11 октября 2026 года; большинство относится к агентствам недвижимости и сервисам по покупке жилья. Параллельно сценарии проверяли доступность внутренних баз данных изнутри хостинговой сети и пробовали вход по FTP с собранными учётными данными.

Выгрузка участников первого пострадавшего сайта содержит 16 061 запись: имена, телефоны, адреса, пароли в открытом виде, годовой доход, сбережения и параметры поиска жилья. С тайваньского сервера под управлением Windows 22 и 23 октября забрали пять резервных копий баз SQL Server общим объёмом около 345 МБ. Там же лежали 663 файла баз FoxPro примерно на 703 МБ и 730 писем из корпоративного ящика за 2024-2026 годы. В украденных записях есть адреса на почтовых сервисах крупных японских операторов связи и корпоративные домены. Сами эти организации в кампании не скомпрометированы, но их абоненты и сотрудники попадают в зону целевого фишинга и подстановки украденных паролей.

Одна заготовка заменяла главную страницу уведомлением о технических работах на японском языке с контактным адресом. Вторая подменяла панель управления текстом с тем же адресом для переговоров и отсчётом до 11 октября 2026 года, 04:00 по японскому времени. Перед заменой сценарии сохраняли копии исходных страниц, а повторные запуски возвращали требование выкупа после того, как владельцы его убирали. Отдельный сценарий, подготовленный 10 октября, рассылал заранее написанные письма через локальный почтовый агент и вёл учёт отправленных сообщений. Черновик "последнего предупреждения" сотрудникам одной из компаний требует немедленного ответа и утверждает, что отключение сайта или игнорирование сообщений в мессенджере ничего не изменит.

Набор PHP2Shell появился на рабочем сервере 21 октября 2026 года. В него вошли две копии пакета с заметками о доведении цепочки до выполнения кода, сценарии повторных попыток эксплуатации и вспомогательные инструменты отладки. Сохранённых результатов, которые подтверждали бы успешное срабатывание на живом сайте, в файлах нет. Параллельно там же работал небольшой командно-контрольный сервер на Python с агентом PowerShell, который опрашивал команды каждые 30 секунд. Комментарии помечают его как отдельное направление, а папки с результатами оставались пустыми на момент сбора данных.

Черновик темы для публичного форума обвиняет первого пострадавшего в том, что тот не сообщил об утечке в японскую комиссию по защите персональной информации. Сохранённые ответы обрываются на странице подтверждения, поэтому публикация не подтверждена. Черновик письма участникам утверждает, будто уведомления ушли всем, а похищены данные о 167 000 человек, тогда как выгрузка на сервере содержит более 16 000 записей. Атрибуция опирается на псевдоним kkkkevin777 в шаблонах и контактных адресах, комментарии на упрощённом китайском языке и подпись к SSH-ключу. Признаков партнёрской программы, площадки утечек или панели вымогателей как услуги в файлах нет, а личность за псевдонимом не установлена, поэтому совпадение имён файлов и записей в журналах само по себе не доказывает компрометацию конкретного сайта и может давать ложные срабатывания.