Совместные атаки хактивистов усложняют кибератрибуцию

В рамках исследования киберугроз, нацеленных на российские организации, аналитики изучили серию инцидентов, публично заявленных проукраинской группировкой 4BID. На поражённой инфраструктуре также были обнаружены следы активности известных групп BO Team и Red Likho.

Группа 4BID заявила о себе в начале 2025 года, ведя основную активность через Telegram-канал. Изначально её целями были небольшие региональные компании, но позже фокус сместился на крупные предприятия в производственном, медицинском и государственном секторах. При этом на одних и тех же поражённых системах эксперты находили как программу-вымогатель от 4BID, так и бэкдоры GoRed (связанный с Red Likho) и ZeronetKit (инструмент BO Team). Это указывает либо на параллельное заражение, либо на совместные действия групп для достижения общих целей. Подобный гибридный подход, сочетающий деструктивные атаки с элементами кибершпионажа, становится новой нормой в хактивизме.

Технический анализ выявил сложный механизм атак. Первичное заражение часто начиналось с PowerShell-скрипта Edgeupdate.ps1, ранее не встречавшегося в публичных репозиториях. Этот скрипт действовал по принципу логической бомбы, проверяя системное время перед выполнением. Затем он блокировал устройства ввода, создавал скрытую учётную запись администратора и настраивал автовход. Ключевым этапом было копирование вредоносной библиотеки NPLogon.dll, которая после перезагрузки системы запускала ложный процесс обновления для маскировки. Основная вредоносная нагрузка извлекалась из файла update.dat.

Этой нагрузкой в кампаниях 4BID оказался новый шифровальщик, названный экспертами Blackout Locker. Он написан на C/C++ и не имеет отношения к более раннему вымогателю Blackout. Перед шифрованием троянец массово завершает процессы и службы, которые могут ему помешать, включая компоненты антивирусов и систем резервного копирования. Интересно, что в первой версии использовалось нестабильное XOR-шифрование с псевдослучайной последовательностью, что фактически превращало его в вайпер для необратимого уничтожения данных. Более поздняя версия была доработана и использует корректное AES-шифрование, что позволяет восстановить файлы при наличии ключа.

В некоторых инцидентах также был обнаружен шифровальщик Babuk, чей код давно находится в открытом доступе. Помимо этого, злоумышленники применяли кастомные скрипты для автоматического поиска в корпоративной сети программ удалённого доступа вроде AnyDesk или продуктов "Лаборатории Касперского". Для закрепления в системе и скрытного управления использовались стандартные бэкдоры Cobalt Strike, а также специализированные инструменты групп: ZeronetKit от BO Team и GoRed от Red Likho.

Злоумышленники применяли широкий спектр техник для повышения привилегий, обхода защиты и удаления следов. В частности, они отключали защиту Microsoft Defender в реальном времени, изменяли реестр для упрощения доступа через RDP, использовали утилиты для дампа учётных данных из памяти LSASS и баз Active Directory, а также массово очищали журналы событий Windows. Наличие инструментов нескольких групп в одной инфраструктуре создаёт сложную картину для расследования. Например, в апреле 2025 года участник 4BID публично предлагал сотрудничество группе BO Team в Telegram, а позже в атаках 4BID был замечен "фирменный" бэкдор BO Team ZeronetKit.

Таким образом, текущий ландшафт хактивизма демонстрирует эволюцию в сторону большей гибкости и кооперации. Группы не только разрабатывают собственные инструменты, но и активно используют доступные средства, заимствуют наработки друг у друга и могут действовать сообща. Эта тенденция ведёт к росту частоты, масштаба и технической сложности кибератак, требуя от защитных команд повышенного внимания к деталям инцидентов и комплексного подхода к анализу угроз. Классическая атрибуция, основанная на уникальных TTP одной группы, в таких условиях становится чрезвычайно трудной задачей.