Ранее неизвестная группа Arra Ghouls проводит фишинговую кампанию против организаций в России и Беларуси, используя для атак поддельные сайты и письма с вложениями. С апреля 2026 года целями злоумышленников стали предприятия из сфер телекоммуникаций, промышленности, ИТ и финансов.
По данным «Лаборатории Касперского», кампанию выявили в ходе мониторинга киберугроз, а сведения о ней собраны через портал киберразведки Kaspersky Threat Intelligence Portal. Публикация об исследовании появилась 10 ноября, причём кампания описана как фишинговая, хотя злоумышленники применяют и вредоносные сайты. Всего затронуты почти два десятка предприятий, конкретные пострадавшие компании и точное число успешных атак не названы.
До апреля 2026 года группировка работала в основном против частных пользователей и похищала данные с помощью похитителей информации и банковских троянцев. Первые собирают логины, пароли и файлы, вторые нацелены на банковские счета. В отчётах компании группа не фигурировала, а когда именно произошла первая атака на организации, не уточняется.
Фишинг - это доставка вредоносных файлов под видом легитимных сообщений, и в этой кампании он остаётся одним из двух основных способов заражения. Рассылки идут с заранее подготовленных доменов, похожих на адреса реальных организаций, а темы писем связаны с якобы судебными разбирательствами и проверками. К сообщениям прикрепляют RAR-архивы, и открытие такого файла запускает цепочку заражения устройства.
Второй способ - вредоносные сайты, где пользователю предлагают скачать файл, замаскированный под легитимный. Внутри находится приложение-приманка: оно выглядит как обычная программа, но содержит вредоносную функциональность. Какие именно программы скрываются за приманкой, не сообщается.
Для доставки вредоносных программ у группы есть собственные инструменты, а также несколько троянцев удалённого доступа, или RAT. Такой троянец даёт постоянный доступ к заражённому устройству и позволяет выполнять на нём команды, а не только разово красть данные. Среди троянцев - Arra RAT, который группа применяет в атаках на организации, а вместе с ними замечены открытые фреймворки Havoc, RootRat и Metasploit.
Эксперты отмечают, что ландшафт киберугроз усложняется: число групп растёт, а уже известные постоянно совершенствуют инструменты и методы атак. Первая версия Arra RAT умела выполнять только простые команды, но со временем злоумышленники добавили больше функций и значительно расширили её возможности. Пример Arra Ghouls показывает, что новые группы могут быстро наращивать технический потенциал и представлять серьёзную угрозу для организаций.
Подробный технический отчёт о кампании опубликован на портале Securelist. Пока не сообщается, связана ли Arra Ghouls с другими группами и какие ещё организации могли пострадать. Организациям компания рекомендует давать ИБ-специалистам доступ к свежим данным о тактиках злоумышленников, проводить тренинги для сотрудников и применять комплексные системы защиты.
