SecAtor

Исследователи Лаборатории Касперского продолжают отслеживать активности финансово мотивированной группировки Toy Ghouls (также известной как Bearlyfy, Laboo.boo и Feral Wolf), атакующей российские организации с 2025 года. Как сообщалось ранее, злоумышленники использовали лишь инструменты из открытых репозиториев GitHub и утекшие билдеры шифровальщиков Babuk и LockBit, а позднее стали применять собственный шифровальщик GenieLocker. В начале июля 2026 года в ЛК впервые зафиксировали использование группой собственного бэкдора. Причем обнаружили две версии: одна в качестве C2-сервера использует MQTT-брокер HiveMQ, вторая - мессенджер Element. Обе версии содержат bird в названии: mqtt-bird-agent 0.1.0 (HiveMQ-версия) и matrix-bird-agent 0.1.0 (Element-версия). В новой кампании атакующие доставляют бэкдоры и их конфигурационные файлы в скомпрометированные системы, используя протокол удаленного управления Windows (WinRM). Группа использует такие инструменты с открытым исходным кодом, как Evil-WinRM и WinRM-fs. Обнаруженный бэкдор способен как работать в рамках интерактивной сессии командной строки, так и закрепляться в системе как служба Windows с помощью опции --install или install (в зависимости от версии бэкдора). Опция --service (или service) по умолчанию недоступна и используется как аргумент установленной службы Windows. По умолчанию бэкдор ищет конфигурационный файл config.toml в директории запуска исполняемого файла, а далее по пути %PROGRAMDATA%\SynapseAgent\config.toml (Element-версия) или %PROGRAMDATA%\cplsupport\config.toml (HiveMQ-версия). Бэкдор принимает на вход как незашифрованный файл конфигурации, так и файл с частично зашифрованными участками. В первом случае после запуска бэкдора файл считывается и частично шифруется функцией seal() (опция --seal HiveMQ-версии) с помощью алгоритма ChaCha20-Poly1305 и ключа на основе значения ключа реестра HKLM\Software\Microsoft\Cryptography\MachineGuid. Таким образом в результате первого запуска бэкдора злоумышленниками конфигурационный файл оказывается привязанным к конкретной машине. При последующих запусках расшифровка конфигурации производится автоматически. Если передаваемая на вход конфигурация была изначально частично зашифрована, она также расшифровывается автоматически. В противном случае выполнение бэкдора прекращается. В Element-версии бэкдора конфигурационный файл удаляется сразу после первого запуска, а нужные параметры записываются в ключ реестра HKLM\Software\synapse\Config\SealedConfig. При повторном запуске поиск конфигурационного файла будет осуществляться в первую очередь в реестре. В начале работы обе версии бэкдора отправляют GET-запрос, чтобы определить публичный IP-адрес системы и его принадлежность к стране. В первой версии в качестве сервера С2 используется публичный MQTT-брокер HiveMQ - broker.hivemq[.]com. Атакующие создали свой кластер и использовали его для получения телеметрии со скомпрометированной системы, а также для отправки команд бэкдору. Во второй обнаруженной ЛК версии бэкдора в качестве сервера С2 атакующие запустили свой сервер мессенджера Element, работающего по протоколу Matrix: meet.element[.]tw. На этом сервере они создали комнату, которую использовали для получения сообщений со сведениями об устройстве и отправки команд для выполнения в скомпрометированной системе. Переход от общедоступных проектов с открытым исходным кодом на собственные разработки говорит о том, что группа Toy Ghouls стремится усложнять свои атаки и дольше оставаться незамеченной. Все технические подробности - в отчете.