Экспертный центр безопасности Positive Technologies (PT ESC) обнаружил единую сеть взаимосвязанных медиаресурсов, которые распространяют дезинформацию. Злоумышленники действовали через поддельные новостные сайты, социальные сети и электронные письма. Атаки были направлены на российские организации и госструктуры, а также на пользователей в странах СНГ.
Описание
Мошенники рассылали письма с призывом отправить данные о сотрудниках и зарплатах на адреса, внешне похожие на официальные. Домены таких почтовых сервисов имитировали названия известных ведомств, отличаясь лишь незначительными деталями в адресе. В письмах не было вредоносных вложений, однако документы выглядели правдоподобно и побуждали получателя ответить. Таким способом злоумышленники собирали информацию для последующих целевых атак на конкретных работников.
По данным Positive Technologies, всего было выявлено 45 связанных доменов. Часть из них использовалась как почтовые сервисы для обратной связи, остальные - как фейковые новостные порталы. Некоторые сайты имитировали региональные издания, например "Криминальный Крым" или новости Дагестана. Другие публиковали ленту, где реальные события перемежались с выдуманными, что усложняло распознавание обмана. Большая часть этих сайтов продолжала работать на момент исследования.
Отдельное внимание аналитики уделили активности в социальных сетях. Во "ВКонтакте" и Telegram действовали десятки сообществ, которые под видом патриотических или региональных каналов публиковали одинаковые фейковые новости. Такие каналы часто ссылались на созданные злоумышленниками сайты. В Telegram было найдено не менее 74 подобных сообществ, часть из которых насчитывала тысячи подписчиков. В Instagram* и YouTube также продвигались ссылки на фейковые материалы, а аккаунты в TikTok удалялись администрацией площадки.
Исследование показало, что все ресурсы связаны между собой: новости пересекались, домены регистрировались на одно лицо, а посты в соцсетях дублировали друг друга. При этом каналы не ссылались друг на друга, создавая видимость независимых источников. По мнению авторов отчёта, такие действия сложно заблокировать стандартными средствами защиты, поскольку письма не содержат вредоносного кода, а сами сайты выглядят как обычные СМИ.
Косвенная связь была обнаружена с хакерской группировкой Rare Werewolf. На одном из доменов ранее размещался архив с нехарактерным именем, которое использовалось только этой группой в прошлых атаках. Инфраструктура Rare Werewolf включает несколько похожих доменов, зарегистрированных под аналогичные схемы. Однако точных доказательств причастности к нынешней кампании нет, поскольку архив на проверяемом домене уже недоступен. Тем не менее стиль фишинга, тематика писем и направленность на российские организации совпадают с почерком группы.
Письма с фейковыми требованиями не несли вредоносной нагрузки, но это не гарантирует безопасность. В прошлых атаках Rare Werewolf первые сообщения использовались для установления контакта, а вредоносные вложения появлялись уже в ответной переписке. Собранные данные о сотрудниках и структуре компаний позволяют точнее готовить последующие вторжения. Поэтому организациям рекомендуется перепроверять подозрительные запросы через официальные каналы ведомств и не передавать конфиденциальную информацию по ссылкам из писем.
* Компания Meta и её продукты (включая Instagram, Facebook, Threads, Meta AI) признаны экстремистскими, их деятельность запрещена на территории РФ.
Индикаторы компрометации
Domain
- aeroflot.casa
- aeronext.world
- bryansk-region.today
- crime24.live
- cryptomaniak.top
- daganews.ru
- don-republic.org
- fakes2025.info
- favt.surf
- fsvps.live
- googl.lat
- gosuslugi.digital
- kgnews.online
- kuban-republic.info
- live-k.online
- mchs.work
- mil-ru.digital
- minpromtorg.digital
- minsknews.live
- minzdrav.life
- moscowtelegraph.ru
- nac-ru.live
- novgorod.today
- novostiworld.ru
- ogonek.today
- otdel.run
- pravostok.world
- pressklub.az
- region.surf
- res-publica.life
- rospotrebnadzor.life
- rosstat.live
- rosstrah.work
- rostoff.news
- ru-duma.live
- rulenta.live
- rumintrans.info
- runews.live
- sambia.info
- smolensk.today
- st-piter.ru
- teiegram.world
- trudvsem.today
- vesti-spb.live
- yourtube.top
- yunarmy.live
- zlatogon.top
YouTube
youtube.com/@msk_proud_news
VK
- https://vk.com/club202824738
- https://vk.com/club235245022
- https://vk.com/nik_news24
TG
- @alt_nov
- @arhangelskvesti
- @belfastme
- @bigkuban
- @blindazhnyj_dolgozhitel
- @bv_obgorgaz
- @ch_74_region
- @chistyakovskaya
- @dnr_bezcensure_v2
- @dvij_Vasilevka
- @federal_info
- @Find_hero_SVO
- @glotok_ru
- @golos1LNR
- @got_mit_uns_rus
- @gtdnr_2
- @gulag_media
- @hot_news_svo
- @krd_pulse
- @lnr_today
- @lubianskiy_domovoi
- @mariupoloper
- @Moscow_Economy_Business
- @mou_rostov
- @MSK_Sfera_MSK
- @Muslim_Moscow24
- @nashbrd
- @nevskiy_piatachok
- @news_74_ru
- @news_politika_russia
- @news_svo2
- @newslubianka
- @newsreadov
- @NizhnyNovgorodSrochno
- @nohonor_rf
- @novorossiysktoday
- @novosti_bez_granicc
- @novosti74ru
- @now_in_sochi
- @obozrevatel_vn
- @operativnooglavnom
- @Orthodox_Moscow1
- @overheardchel
- @pilotechestva
- @pol_nr
- @pskov_info
- @pskov_times
- @public_ks
- @real_skavkaz
- @rezetz_naroda
- @rf_cvo
- @rodina_russia_2_0
- @rostov_pekinn
- @rostovskiy_pled
- @rpublica
- @rus_number_one
- @russia_is_on_fire
- @russiya_dlya_russkih_slavyan
- @russkyi_medved
- @russorder
- @Sambia_info
- @Shield_Nation
- @slovo_novorossiyska
- @smolensk_pravda
- @stalnoi_vatnik
- @tavrichguber
- @Toprussecrets
- @urpomoshdliavas
- @vibeLNR
- @vokrygrf
- @WoTWoTbltz
- @ZaponoVosti
- @znamya_dagestana
- @zpgegemon
- @zver_news_reserv