Новая группировка программ-вымогателей Zawoo Team заявила о себе 30 августа 2026 года. В этот день заработал её сайт для публикации украденных данных, и на нём сразу появились 19 пострадавших организаций. Большая часть из них работает в Германии, Австрии и Швейцарии. До этого группа действовала незаметно как минимум с начала августа. Публичных отчётов о её методах почти не было, поэтому разбор каждого отдельного случая даёт редкую возможность понять, как она устроена. Один такой эпизод показывает: атака опиралась на действующие учётные данные и слабые настройки доступа, а не на изощрённые технические приёмы.
Описание
Злоумышленники вошли в инфраструктуру через корпоративный VPN. Логин и пароль принадлежали привилегированной учётной записи и оказались действительными. Второй фактор проверки на этом подключении не требовался. Как следствие, атакующим не понадобилось ни эксплуатировать уязвимость, ни повышать права: они сразу получили тот уровень доступа, который был у владельца учётной записи. Каким образом логин и пароль оказались у группы, установить не удалось.
Прямой ответ на этот вопрос мог бы дать журнал сетевого экрана, но записи хранились слишком недолго. По данным Hudson Rock, у 11% пострадавших от Zawoo обнаружены следы вредоносных программ-похитителей данных (инфостилеров). Такие программы незаметно собирают сохранённые пароли из браузеров и других приложений, а затем передают их заказчику. Это делает кражу учётных данных вполне вероятным путём проникновения. Однако к конкретному разобранному эпизоду выводы об инфостилерах не относятся: там источник доступа остался неизвестным.
Получив доступ, атакующие первым делом выяснили, где хранятся ценные данные. Они открыли служебные скрипты входа в домен - те, что автоматически подключают сотрудникам сетевые диски. Читать такие файлы может любой авторизованный пользователь. При этом в одном месте собраны адреса всех файловых хранилищ организации. Один из скриптов злоумышленники скопировали под новым именем и отредактировали. Дополнительно они применили программу для мгновенного поиска файлов Everything и команду построения дерева каталогов. Её вывод сохранили в отдельный файл. Судя по дальнейшим действиям, именно эти списки позже попали на сайт публикации данных.
Далее в ход пошли привычные средства администрирования: удалённое выполнение команд и удалённый рабочий стол. Отдельного внимания заслуживает набор утилит DSInternals, применённый против контроллера домена. Это сервер, который управляет учётными записями всей сети. Такой запуск позволяет извлечь доменные данные учётных записей целиком. Один успешный запуск на контроллере домена означает компрометацию всей инфраструктуры организации. Параллельно был сделан экспорт локальной базы учётных данных с одного из узлов, но потеря локальных записей куда менее ощутима, чем компрометация домена.
Помимо готовых инструментов, группировка использовала самописные скрипты на PowerShell (штатная среда автоматизации в Windows). Часть скриптов копировала данные с общих сетевых хранилищ, часть собирала сведения с локальных машин. Ещё один формировал отчёт о посещённых страницах с отметкой даты и времени. Отдельный скрипт служил для доступа к другим узлам с помощью перехваченных учётных данных. Названия у всех были выдержаны по единой схеме, и в публичных отчётах такая схема не встречается. Следов самоудаления в скриптах не было: каждый из них запускали, а затем убирали вручную.
Ход атаки удалось восстановить по истории консоли, которая сохраняется отдельно для каждого пользователя. Атакующий работал под скомпрометированной учётной записью и унаследовал её историю команд. В ней остались как его записи, так и записи прежнего администратора. История выдала и небрежность: опечатки, команда для программы, которой на машине не было, и трижды продублированная строка.
Для обхода защиты применялся HRSword - легальный коммерческий продукт китайской компании Huorong. Он распространяется как самораспаковывающийся архив и регистрирует два системных драйвера. Этот инструмент широко используют для отключения средств защиты конечных точек, известных как EDR (программы, следящие за подозрительной активностью на рабочих станциях и серверах). Ранее его фиксировали в атаках программ-вымогателей GlobeImposter и Phobos. Происхождение инструмента само по себе не указывает на конкретных исполнителей.
Собранные данные складывали в отдельную папку и упаковывали в разбитые на части архивы. Сам процесс упаковки восстановить не удалось. О нём говорят резкий рост объёма записи на узле, наличие папки для сбора и последующая очистка. Показательно, что посреди работы злоумышленники скачали новый архиватор, хотя подходящий инструмент на машине уже был. Сетевых подтверждений того, что данные покинули сеть, нет: журналы сетевого экрана не сохранились. Косвенным доказательством служит удалённый фрагмент архива, найденный на одном из узлов, и совпадающее имя файла на сайте группы. Это делает утечку данных весьма вероятной, хотя доказать её по внутренним данным не получилось.
Под конец информацию зашифровали. Имена файлов менялись на длинный набор символов с новым расширением. Записка о выкупе требовала связаться через мессенджер Session, указав присвоенный жертве идентификатор. Текст записки отличается от того, что описывалось в публичной публикации от 12 августа 2026 года. В другой версии группа представляется защитником собственной репутации и угрожает разослать похищенные письма клиентам пострадавшей компании. Совпадает только схема переименования файлов, и именно её стоит считать надёжным признаком. Формулировки записки и контактные адреса меняются от версии к версии и не годятся для того, чтобы подтвердить или исключить причастность группы.
Примечательно, что в конце был зашифрован и тот узел, с которого велась работа. Организованность сайта публикации заметно выше, чем аккуратность самой атаки. В истории команд остались опечатки и следы спешки. На момент инцидента группа ещё не существовала публично и угрожала публикацией, когда площадки для неё не было. Группа новая, и её навыки, вероятно, будут расти.
Организациям стоит требовать второй фактор проверки при любом удалённом подключении, включая служебные учётные записи. Полезно хранить журналы дольше и следить за изменениями скриптов автоматического подключения сетевых дисков: если такие файлы кто-то правит без объяснимой причины, это повод для проверки. Резервные копии следует держать в изоляции от основной сети. Также имеет смысл фиксировать запуск утилит, предназначенных для отключения защиты, и сохранять историю консольных команд до её перезаписи - именно она позволила восстановить картину этой атаки.
Индикаторы компрометации
