Киберпреступная группировка, известная под названием Silent Werewolf, активизировала фишинговую кампанию против органов государственной власти и субъектов критической информационной инфраструктуры (КИИ) Российской Федерации. Эксперты по кибербезопасности зафиксировали целенаправленные рассылки электронных писем, которые маскируются под служебную переписку. Основной целью атак является несанкционированное проникновение в корпоративные сети для последующего хищения данных или проведения диверсионных операций.
Описание
По данным аналитиков, письма содержат вложения в виде архивных файлов ZIP. Для повышения доверия жертв злоумышленники используют нейтральные и деловые названия архивов, такие как «запланированный_визит.zip», «измерения.zip» или «обновление_сентябрь_2025.zip». Внутри каждого архива находятся два файла. С одной стороны, это легитимный исполняемый файл, выполняющий роль приманки и не вызывающий подозрений у пользователя. С другой стороны, второй файл представляет собой вредоносный ярлык с расширением «.lnk», который и является основным инструментом атаки.
Механизм заражения начинается в тот момент, когда сотрудник, получивший письмо, извлекает архив и запускает вредоносный ярлык. Внешне этот файл может выглядеть как документ или ярлык к легитимной программе. Однако при его запуске в фоновом режиме исполняется скрытый сценарий или загружается вредоносная нагрузка (malicious payload) с удаленного сервера, контролируемого хакерами. Этот процесс позволяет злоумышленникам получить удаленный доступ к системе, обойти базовые средства защиты и закрепиться (persistence) в сети для дальнейшего продвижения.
Использование файлов-ярлыков для доставки вредоносного кода является классической, но по-прежнему эффективной техникой. Она часто обходит простые антивирусные фильтры, поскольку сам файл «.lnk» не содержит исполняемого кода, а лишь содержит команду для его запуска. Успех атаки напрямую зависит от социальной инженерии, эксплуатирующей доверие сотрудников к внутренней переписке и привычку открывать вложения, связанные с рабочими процессами.
Группа Silent Werewolf ранее не была широко известна, однако ее деятельность указывает на высокий уровень подготовки и целенаправленный характер. Выбор в качестве целей государственных структур и объектов КИИ позволяет отнести ее к категории APT (Advanced Persistent Threat, рус. - продвинутая постоянная угроза). Такие группы обычно действуют методично, имеют значительные ресурсы и ставят перед собой стратегические задачи, такие как шпионаж или дестабилизация работы важных систем.
Специалисты рекомендуют организациям, особенно из государственного сектора, усилить меры кибергигиены. В первую очередь, необходимо проводить регулярное обучение сотрудников по распознаванию фишинговых писем, обращая внимание на подозрительные адреса отправителей, неожиданные вложения и грамматические ошибки в тексте. Технические меры должны включать блокировку исполняемых файлов и скриптов, поступающих из электронной почты, а также использование систем обнаружения вторжений IDS (Intrusion Detection System) и предотвращения вторжений IPS (Intrusion Prevention System).
Кроме того, крайне важно внедрить принцип минимальных привилегий, чтобы ограничить ущерб в случае компрометации одной учетной записи. Анализ сетевой активности и подозрительных исходящих соединений также может помочь выявить зараженные рабочие станции на ранней стадии. Эксперты подчеркивают, что защита от подобных атак требует комплексного подхода, сочетающего технологические решения и постоянную осведомленность персонала.
Данный инцидент в очередной раз демонстрирует, что даже простые методы социальной инженерии остаются мощным оружием в арсенале киберпреступников, особенно при атаках на государственные институты.
Индикаторы компрометации
