Согласно последним исследованиям, APT-группа Laundry Bear (также известная как Void Blizzard, по классификации Microsoft Threat Intelligence) продолжает активно атаковать государственные структуры и неправительственные организации в странах НАТО и Украины. Активность группы была зафиксирована еще в апреле 2024 года, и с тех пор хакеры используют сложные методы компрометации, включая фишинг и эксплуатацию украденных учетных данных.
Описание
В фокусе злоумышленников оказались полиция Нидерландов, украинские авиационные организации, а также европейские и американские НКО. Аналитики отмечают, что Laundry Bear активно использует поддельные домены, имитирующие легитимные сервисы, такие как Microsoft Online. Например, домены micsrosoftonline[.]com и outlook-office[.]micsrosoftonline[.]com применялись для фишинговых атак с целью кражи учетных данных.
Особый интерес представляет инфраструктура группы. Исследователи обнаружили, что домены, используемые Laundry Bear, регистрируются через анонимные сервисы, такие как PDR Ltd., а для управления DNS часто применяются популярные платформы, включая Cloudflare и Mailgun. Это усложняет отслеживание и блокировку вредоносной активности. Например, домен ebsumrnit[.]eu, зарегистрированный в апреле 2025 года, имитировал сайт European Business Summits (ebsummit[.]eu) и использовался для рассылки фишинговых писем.
Дополнительный анализ показал, что злоумышленники создают целые сети поддельных доменов, связанных друг с другом через общие IP-адреса и сертификаты. Так, домен enticator-secure[.]com, который также фигурировал в предыдущих атаках, перенаправлял жертв на страницу "GlobalShip Logistics" в июле 2025 года. Этот же IP-адрес (104.36.83[.]170) использовался для управления другими доменами, включая walshhgroup[.]com, который является подделкой сайта американской компании Walsh Group.
Еще одним важным аспектом тактики Laundry Bear стало использование JavaScript-редиректов на легальные сервисы, такие как outlook.live.com и login.live.com. Это позволяло группе маскировать фишинговые страницы под официальные ресурсы Microsoft. Подобные техники были замечены на множестве доменов, включая maidservant[.]shop и it-sharepoint[.]com, которые активно использовались с ноября 2024 года.
Эксперты отмечают, что Laundry Bear продолжает развивать свою инфраструктуру и адаптироваться к изменениям в системах защиты. Использование временных доменов, частые смены IP-адресов и применение легитимных сервисов для рассылки писем делают группу особенно устойчивой к обнаружению. В ближайшее время можно ожидать новых атак, направленных на государственные учреждения и коммерческие организации в Европе и Северной Америке.
Исследователи продолжают мониторинг активности Laundry Bear, чтобы выявлять новые домены и методы работы группы. Однако, учитывая сложность их инфраструктуры и использование анонимизирующих технологий, борьба с этой угрозой остается серьезным вызовом для кибербезопасности.
Индикаторы компрометации
