⚡️ Шпионы из Mimbrob: F6 исследовала новую кибергруппу и ее активность. Первые следы деятельности Mimbrob были зафиксированы в апреле 2026 года: злоумышленники распространяли десктопное ВПО через фишинговые письма. В мае атакующие зарегистрировали сайт, с которого загружалось вредоносное приложения Dronner, якобы предназначенное для отслеживания дронов типа «Баба-яга». Вероятно, такая атака была нацелена на военнослужащих. ▪️ На момент исследования с сайта скачивался файл DronnerInstaller_2.8.5.exe, при его запуске открывалось приложение-заглушка. ▪️ Вредоносное приложение собирает информацию о языке системы, интерфейса и раскладках клавиатуры. Если в списке присутствуют русский язык, языки стран СНГ и Румынии, приложение продолжает работать. В других случаях приложение после трехминутного сна завершает работу. ▪️ Фишинговые письма с вредоносным архивом во вложении маскируют под служебную записку о необходимости срочного проведения метрологической проверки всей продукции предприятия и обновления специализированного ПО. В сентябре тематика писем сменилась на «судебные разбирательства», а получали их IT-компании. ▪️ Во всех исследуемых атаках группа использовала оригинальное ВПО-загрузчик, который в F6 назвали FBULoader. Анализ ВПО доступен на MDP F6 ▪️ Параллельно группировка распространяла другое ВПО, названное атакующими RAT-Go. Здесь цепочка начиналась с фишингового письма с архивом, где содержалось якобы предложение о сотрудничестве. Подробности исследования, индикаторы компрометации — в новом блоге F6.