В августе 2026 года целью целевой атаки стал сотрудник украинской общественной организации. Началась она с обычного письма, в котором не было ни ссылок, ни вложений, ни подозрительных формулировок. Злоумышленники рассчитывали на ответную реакцию: только после того, как адресат откликнулся, ему прислали сообщение с вредоносной ссылкой. Такой подход позволяет обойти большинство почтовых фильтров, ведь первый контакт выглядит безупречно чистым. Письмо посвятили теме, близкой получателю, поэтому интерес выглядел естественным.
Описание
Отправитель писал с бесплатного почтового ящика Google и подписывался именем известного украинского аналитика, автора публикаций о международных отношениях и ситуации в Азиатско-Тихоокеанском регионе. При этом тема звучала солидно: предложение аналитического сотрудничества и обмена материалами о вызовах безопасности. Текст составили не по шаблону массовой рассылки. Автор называл получателя по имени, упоминал конкретные направления работы и партнёрские организации. Сообщение читалось как письмо от осведомлённого коллеги, а не как спам. Для систем фильтрации это была обычная переписка между двумя специалистами.
По данным Digital Security Lab Ukraine, схема с настоящими почтовыми ящиками становится массовой. Инцидент лаборатория разбирала в августе 2026 года. Создаётся бесплатный аккаунт, в подписи указывается имя и фамилия реального человека. Жертва знает его лично или хотя бы по публикациям. Затем завязывается переписка, и технически подозрительных признаков в ней нет. Похожие случаи фиксируют всё чаще: атакующие отказываются от вложений и ссылок на первом шаге, чтобы не попасть под блокировку.
Второй этап начался после ответа жертвы. В письме с благодарностью за отклик и обещанием прислать материалы стояла ссылка на архив. Файл разместили на Codeberg - легитимной европейской платформе для разработчиков, поэтому переход по ссылке не вызвал подозрений. Внутри архива лежал документ со значком PDF-файла и расширением PDF в конце названия. В действительности это был ярлык: небольшой служебный файл, который запускает программу или открывает документ. Windows по умолчанию скрывает его настоящее расширение, и в списке файлов он выглядел безобидным аналитическим отчётом.
Двойной клик запускал цепочку. На экране открывался настоящий PDF - программа тематического мероприятия, скачанная или похищенная заранее. Однако содержимое документа безвредно. Параллельно ярлык загружал небольшую программу с чужого хранилища кода на платформе GitLab, сохранял её на диск под нейтральным именем и запускал скрыто. Следующую часть кода компьютер получал оттуда же и исполнял прямо в оперативной памяти, не создавая файла. Собранные сведения кодировались и уходили в закрытый репозиторий GitHub, которым управляли атакующие. Жертва при этом видела только открывшийся документ.
Закрепление обеспечивал планировщик заданий Windows - штатный механизм запуска программ по расписанию. Задача маскировалась под служебное обновление Google и срабатывала каждые 15 минут. Настройки запрещали пропуск запусков даже при работе ноутбука от батареи. Каждые четверть часа компьютер обращался к аккаунту злоумышленников за новыми указаниями. Обращение шло в папку с именем конкретной машины. Так оператор видел список заражённых устройств и мог выборочно отдавать команды любому из них. Остальные заражённые компьютеры в это время молчали.
Первая стадия сбора данных ограничивалась двумя наборами. Собирался полный профиль компьютера: версия Windows, установленные обновления, конфигурация оборудования, сетевые параметры, вхождение в корпоративный домен. Второй набор - перечень содержимого папки загрузок вместе с вложенными каталогами на два уровня вглубь. Иными словами, атакующие получали названия всех недавно скачанных документов, архивов и файлов. Данные упаковывались, кодировались и уходили на GitHub в папку с именем заражённого компьютера. Метки содержали дату и время отправки. После передачи временные файлы удалялись, поэтому следы на диске почти не оставались.
Первый этап лишь сортирует жертв. Дальнейшие действия определяет оператор на другом конце, исходя из конкретной машины и её владельца. Анализ инфраструктуры показал, что возможности инструмента заметно шире. На скомпрометированных компьютерах он способен собирать переписку из мессенджеров, включая Telegram, и открывать полный удалённый доступ через средство администрирования AnyDesk. В журналах чужого репозитория нашлись имена более 45 заражённых компьютеров. Обнаружились и другие PDF-приманки, а также новые версии скриптов. Наблюдение за хранилищами в течение нескольких дней показало: набор инструментов постоянно дорабатывается.
Постоянные правки кода означают, что заражение - не финал операции, а её начало. В результате цифровые отпечатки вредоносных файлов меняются, и антивирусные базы быстро устаревают. Компрометация общественной организации опасна не только потерей документов. Через переписку и рабочие материалы атакующие получают сведения о партнёрах, грантах и внутренних планах, а полный удалённый доступ позволяет им распоряжаться компьютером по своему усмотрению. Ущерб для репутации и доверия партнёров часто оказывается выше прямых финансовых потерь.
В основе схемы лежат доверие и легитимные сервисы. Почтовые ящики Google, платформы Codeberg, GitLab и GitHub не вызывают подозрений у фильтров, а переданная информация не выделяется на фоне обычного трафика. Отсюда следуют простые меры защиты для организаций и частных лиц. Не отвечайте на неожиданные письма от незнакомых отправителей, даже если подпись принадлежит известному человеку. Перед открытием файла проверяйте его настоящее расширение, а не только значок. Периодически просматривайте список задач в планировщике Windows на предмет посторонних записей. Для чувствительной переписки используйте отдельный защищённый канал, двухфакторную аутентификацию и регулярное обновление систем.
Индикаторы компрометации
