Открывать вложение не требуется: код исполняется в момент проверки архива. Кампания против украинских организаций использует уязвимость в почтовом сервере MDaemon. По данным отчёта ESET о деятельности группировок за апрель - сентябрь 2026 года, она оставалась активной весь этот период. Сервер проверяет вложения через ClamAV (антивирусный движок с открытым кодом), и для запуска чужого кода этого достаточно.
При этом сама уязвимость известна с 2025 года. Речь о CVE-2025-8088 - обходе каталогов в WinRAR, который исследователи раскрыли в прошлом году. ClamAV закрыла дыру 27 июля 2025 года, а MDaemon продолжал поставлять устаревшую библиотеку распаковки RAR в составе антивирусного движка. Так дыра осталась открытой на самом сервере, а не на компьютере получателя. Разница с обычной атакой в том, что точкой входа становится инфраструктура, а не сотрудник. Почтовые серверы интересуют группировки шпионского профиля: через них идут чувствительные переписки.
Дальше работает автоматика. Атакующий готовит RAR-архив с эксплойтом (кодом, который использует уязвимость) и отправляет его на любой адрес в домене уязвимого сервера. MDaemon сам вызывает ClamAV для проверки вложения. Движок срабатывает на архив и записывает вредоносную библиотеку DLL в файловую систему. Приманка не нужна: письмо не должен открыть никто, всё делает процесс проверки. Всё, что нужно атакующему, - доставка письма на сервер и включённая проверка вложений. После этого на сервере закрепляются два семейства, HELLAGE и HELLTAG; названия им дала CERT-UA, украинская команда реагирования на инциденты. HELLAGE похищает почту и другие данные, связывается с прописанным командно-контрольным сервером (C2-сервером) и доставляет дополнительное вредоносное ПО. HELLTAG работает через Telegram-бота: удалённое исполнение команд, передача файлов, разведка системы.
По данным ESET, MDaemon закрыла уязвимость 25 августа 2026 года в версии 26.0.4, а у ClamAV исправленными считаются сборки 1.4.6 и 1.5.4. Любая сборка MDaemon старше 26.0.4 со старой библиотекой распаковки остаётся уязвимой. Обновление касается самого сервера, а не только антивирусного движка. Сколько серверов остаются незакрытыми, в отчёте не приводят. Других обходных мер, кроме обновления, вендор не назвал.
Из этого следует набор проверок для тех, кто держит почту на MDaemon. Сервер обновляют до 26.0.4 или новее и убеждаются, что вместе с ним обновились библиотеки ClamAV. Затем просматривают файловую систему на предмет неожиданных библиотек DLL вне обычных каталогов. Отдельно смотрят исходящие соединения: обращения сервера к неизвестным C2-серверам и к интерфейсу Telegram-бота - повод для разбора. Для почтового сервера соединения с посторонними узлами нетипичны, и проверять их стоит в первую очередь. Почтовые ящики аудируют на предмет несанкционированного доступа и массовой выгрузки сообщений, а исходящий доступ в интернет с почтового сервера ограничивают. Эти проверки авторы отчёта перечисляют как минимальный набор.
С этой деталью связано ограничение: обновление закрывает точку входа, но не отменяет проверки ящиков. Непропатченные MDaemon, авторы отчёта, предлагают считать потенциально скомпрометированными. Доступ к ящикам даёт переписку, вложения и внутренние адреса. Если доступ уже был, письма могли уйти, и сам патч этого не изменит.
