Угруповання російських хакерів APT28 (також відоме як Fancy Bear, Forest Blizzard або Swallowtail) здійснило успішну кібератаку на військово-морську суднобудівну компанію в одній із країн-членів НАТО. За даними дослідників з безпеки, зловмисники залишалися непоміченими всередині мережі щонайменше протягом двох місяців.
Угруповання російських хакерів APT28 (також відоме як Fancy Bear, Forest Blizzard або Swallowtail) здійснило успішну кібератаку на військово-морську суднобудівну компанію в одній із країн-членів НАТО. За даними дослідників з безпеки, зловмисники залишалися непоміченими всередині мережі щонайменше протягом двох місяців.
Ця атака є частиною ширшої шпигунської кампанії, у межах якої росіяни також атакували правоохоронний орган та виробника авіаційних двигунів для військової техніки у двох країнах Альянсу. Назви постраждалих організацій та країн у звіті аналітиків із Symantec Threat Hunter Team не розголошуються, пише Cyber Press.
Атака розпочалася 24 липня 2026 року, коли проникнення в систему відбулося через відкриття інфікованого документа Word безпосередньо з кешу вкладень Microsoft Outlook.
Для успішного проникнення документ містив замаскований макрос, фрагменти коду якого збиралися безпосередньо під час виконання, що дозволило зловмисникам легко обійти статичні перевірки захисних систем.Після цього макрос приховано перезапускав браузер Microsoft Edge у вікні за межами екрана, використовуючи його для завантаження перших команд, призначених для розвідки системи, перевірки мережевих налаштувань та аналізу запущених процесів.
Вже 27 липня хакери перейшли до активних дій і розгорнули власну інфраструктуру: за допомогою ключів SSH та стандартного інструменту Windows OpenSSH вони створили фоновий тунель, отримавши прямий доступ до внутрішньої мережі підприємства.
Під час атаки зловмисники застосували спеціальний PowerShell-скрипт для перехоплення NTLM-аутентифікації та збору облікових даних користувачів. Крім того, хакери перевіряли доступність популярних хмарних сервісів (Dropbox, Google, Microsoft, Mega) для подальшого витоку інформації.
31 липня на ураженій машині було запущено раніше незадокументований рефлексивний завантажувач ld.exe разом із зашифрованим файлом Events.dat. Для його розшифровки в оперативній пам’яті вимагався спеціальний ключ із командного рядка. Оскільки остаточний зашифрований модуль не вдалося вилучити, аналітики поки не встановили його кінцеве призначення.
Попри те, що останні прямі команди від операторів зафіксували 31 липня, завантажувачі шкідливого ПЗ залишалися активними в мережі наприкінці серпня та повторно спрацьовували 24 вересня. Наразі дослідники з’ясовують, чи це була запланована автоматична робота програми, чи повторний повернення хакерів до системи.
