С декабря 2025 года по сентябрь 2026 года в сети работала крупная инфраструктура из нескольких десятков серверов. Узлы выдавали себя за государственные и корпоративные ресурсы стран Центральной Азии. Под удар попали Узбекистан, Казахстан, Киргизия, Таджикистан и Туркменистан. Злоумышленники копировали оформление официальных порталов, чтобы выманивать у людей учётные данные. Риск затронул госсектор, промышленность, транспорт и обычных пользователей. Размах операции говорит о длительной подготовке, а не о разовой акции.
Описание
Схема строилась на доменах с опечатками. Классический приём тайпосквоттинга (регистрация адресов с опечатками) предполагает адрес, который отличается от настоящего одной буквой или другим окончанием. Один из доменов имитировал портал президентской администрации и выглядел почти как официальный. Другие имена копировали сайт железнодорожного ведомства Узбекистана, ресурсы национального оператора связи, площадку технической поддержки и проекты нефтегазовой отрасли Туркменистана. Часть серверов отдавала лишь одну страницу-заглушку без остального содержимого. Такие одностраничные узлы служили приманкой либо промежуточным звеном в цепочке перенаправлений. Отдельные домены жили годами. Один регистрировался ещё в 2022 году, последние обращения к нему фиксировались в 2023-м. Другие проработали с января по сентябрь 2026 года почти без пауз.
По данным аналитиков, на нескольких узлах сети обнаружили SpiceRAT - вредоносную программу скрытого удалённого управления устройством. Такой инструмент позволяет тайно выполнять команды, забирать файлы, включать камеру и микрофон. Ещё на части серверов открывались нестандартно высокие сетевые порты для связи с управляющим центром. Сам факт появления подобного кода меняет оценку кампании. Обычный фишинг собирает пароли, а удалённое управление даёт доступ к самому компьютеру. Сведения о заражении приходили с площадок в Болгарии, Румынии и Швейцарии. Значит, вредоносный код распространялся по всей сети, а не оставался на одном узле.
Инфраструктура опиралась на хостинг-провайдеров в Нидерландах, Германии, Болгарии, Швейцарии, Румынии и Эстонии. Заметная доля адресов приходилась на перепродавцов, которые сдают серверы в аренду под разными вывесками. Один и тот же посредник появлялся в списках по нескольку раз. Для поддельных сайтов выпускались цифровые сертификаты. Они делали адресную строку браузера внешне надёжной и внушали доверие посетителям. Сертификат на один из ключевых доменов действовал с конца 2025 года до конца 2026-го. Сроки совпадают с периодом активности всей сети. Продление документа означает, что операторы планировали работу вдолгую и обновляли ресурсы заранее. Помимо этого, часть адресов переходила от одного провайдера к другому, что затрудняло отслеживание.
Практическая цель кампании - доступ к аккаунтам сотрудников госструктур и компаний. Домены-двойники собирают логины и пароли, а затем передают их операторам. Дальше возможны вход в корпоративную почту, кража документов, рассылка писем от имени жертвы. Для транспортных и промышленных предприятий региона это оборачивается риском утечки данных и остановки процессов. Сочетание фишинга с вредоносной программой усиливает угрозу. Человек попадает на поддельную страницу. Вместе с файлом он получает удалённый доступ к своему компьютеру. Ущерб измеряется не только деньгами, но и раскрытием коммерческой тайны, потерей контрактов и репутации.
Защита начинается с привычки проверять адрес. Поддельный домен отличается от настоящего лишней буквой или другим окончанием. Сотрудникам стоит напоминать: госорганы не запрашивают пароли по ссылке из письма. Двухфакторная аутентификация снижает ущерб, даже если пароль уже украден. Организациям имеет смысл вести перечень официальных доменов, которыми пользуются сотрудники, и блокировать похожие имена. Регулярные обновления браузеров и офисных программ закрывают уязвимости, которыми пользуются операторы. Полезно и обучение: короткий разбор реальных случаев работает лучше формальной инструкции. Отдельного внимания заслуживают письма с приглашением перейти на новый портал ведомства.
Кампания длилась больше девяти месяцев и охватила несколько стран. Инфраструктура пережила смену хостинговых площадок и перепродавцов. Это затрудняло блокировку. Адреса появлялись даже после сообщений об обнаружении вредоносного кода. Ресурсы, копирующие официальные порталы, требуют отдельного внимания служб безопасности в регионе. Раннее выявление таких доменов экономит время и деньги, которые иначе уходят на разбор последствий. Пока инфраструктура остаётся распределённой, полностью закрыть тему не удастся.
Индикаторы компрометации
