Уничтожение данных и публикация похищенного стали для группировки Void Manticore единым сценарием. Исследователи связывают её с Министерством разведки и безопасности Ирана (MOIS) и отслеживают под именами Storm-0842 и Banished Kitten. Целями называют госучреждения и объекты критической инфраструктуры в Израиле, США, Албании, Иордании и странах Персидского залива. Эффект даёт не только стирание файлов, но и шум вокруг него.
Описание
Впервые группировка проявила себя в июле 2022 года атакой на системы электронного правительства Албании. По данным Hive Pro, атаку провели под именем Homeland Justice и приурочили к конференции иранской оппозиционной организации MEK. До удара доступ к албанским сетям сохранялся около 14 месяцев. Вторую волну направили на пограничные системы в сентябре 2022 года, после разрыва дипломатических отношений Тираны с Тегераном. Украденные материалы тогда же опубликовали в Telegram.
Отдельный элемент модели - передача цели от другой группировки, Scarred Manticore, которую тоже связывают с MOIS. Сначала она получает постоянный доступ и тихо вывозит данные, иногда больше года. Потом управление переходит к Void Manticore, когда решение смещается от сбора сведений к разрушению. Такой порядок наблюдали в Албании в 2022 году и в Израиле с 2023 по 2026 год. Между шпионажем и уничтожением проходит немного времени.
Основной инструмент разрушения - вредоносное ПО BiBi Wiper с вариантами для Windows и Linux. Имя программы отсылает к израильскому премьер-министру. Она портит файлы и добавляет к их именам расширение.BiBi. Поздние версии бьют напрямую по таблицам разделов диска, из-за чего восстановление данных усложняется. После обострения на Ближнем Востоке в октябре 2023 года группировка развернулась к израильским организациям под именем Karma. Она заявила о более чем 40 атакованных объектах, однако подтверждённый ущерб по многим из них не установлен.
Технические следы включают несколько типов артефактов. Один из них - хеш исполняемого модуля, по которому образцы связывают между собой. Другой - имена веб-оболочек, оставленных на скомпрометированных серверах. Отдельно упоминается драйвер для прямой работы с диском: его применение совпадает с попытками испортить служебные структуры накопителя. Набор указывает на проникновение через публичные веб-приложения.
В конце 2023 года появилось имя Handala, заимствованное у палестинского символа. Под ним группировка перешла к воздействию на людей: атаковала личные устройства помощников и родственников, чтобы окольным путём добраться до старших израильских руководителей. Кампания RedWanted публиковала личные данные людей из оборонной сферы и медиа и предлагала деньги за информацию. Техническую часть дополнил захват чужой сессии в Telegram. Вредоносное ПО при этом выдавали за обновления известных программ.
С 2024 по 2026 год цели расширились: в поле зрения попали некоммерческие организации и западные аналитические центры. Публикация утечек стала запланированным этапом атаки, а не побочным результатом. Для начального доступа группировка использует уязвимость CVE-2019-0604 в Microsoft SharePoint. С середины января 2026 года она опирается на терминалы Starlink, попавшие в Иран через чёрный рынок, - так работа продолжается во время отключений связи.
После операций конца февраля 2026 года Handala заявляет об атаках на израильские энергетические компании и топливную инфраструктуру Иордании. Доступность интернета внутри Ирана исследователи оценивают ниже 4 процентов. Отсюда вывод об ограниченности сложных операций в ближайшей перспективе: значительная часть наблюдаемой активности выглядит оппортунистической. Какая доля заявлений подкреплена техническими данными, не раскрывается.
Индикаторы компрометации
