Аналитики IBM X-Force обнаружили активные киберкампании хакерской группировки Hive0156, связанной с российскими спецслужбами. Целью атак стали украинские военные и государственные учреждения. Злоумышленники используют троянскую программу Remcos RAT для получения удаленного доступа к системам, что позволяет им длительное время оставаться незамеченными и перехватывать критически важную информацию.
Описание
Группировка, ранее известная под обозначением UAC-0184 по классификации CERT-UA, расширила сферу своей деятельности. Если изначально хакеры фокусировались исключительно на военных, то с середины 2025 года они переключились и на гражданские организации. Это указывает на стратегическое изменение тактики: теперь под удар попадают не только военнослужащие, но и чиновники, подрядчики и сотрудники инфраструктурных предприятий.
Для внедрения вредоносного ПО злоумышленники применяют сложную многоэтапную схему. Атаки начинаются с фишинговых писем, содержащих вредоносные файлы Microsoft LNK или скрипты PowerShell. После запуска эти файлы связываются с командными серверами, откуда загружаются дополнительные модули, включая HijackLoader - продвинутый инструмент для доставки вредоносного кода. Этот загрузчик использует легитимные подписанные исполняемые файлы, модифицированные DLL-библиотеки и зашифрованные изображения в формате PNG, что значительно усложняет его обнаружение традиционными антивирусными решениями.
Финальным этапом атаки становится установка трояна Remcos RAT, который предоставляет злоумышленникам полный контроль над зараженными системами. С его помощью хакеры могут перехватывать нажатия клавиш, записывать экран, вести аудионаблюдение, красть учетные данные и управлять компьютером жертвы удаленно. Собранные данные передаются на серверы, расположенные в основном на российских хостингах.
Интересно, что для повышения эффективности атак Hive0156 использует географическую фильтрацию, что позволяет им избежать обнаружения системами безопасности в нецелевых странах. Также хакеры регулярно обновляют конфигурации вредоносного ПО через C2-сервера, что делает их инструменты более гибкими и адаптивными.
Индикаторы компрометации
