SecAtor

Исследователи Positive Technologies сообщают об обнаружении хакерской группировки DENOmination Group после серии атак, объединенных использованием легитимной среды выполнения Deno для запуска вредоносного JavaScript-кода. Центральным техническим элементом активности DENOmination Group является использование легитимной среды выполнения Deno для запуска вредоносного JavaScript- и TypeScript-кода, а также для получения последующих компонентов от C2-сервера. Загрузочный компонент получил публичное название DinDoor. При этом в подробно исследованных MSI- и LNK-ветках за ней следует полнофункциональный агент удаленного доступа DenoRAT. Целями атак на территории России стали предприятия ОПК, военные структуры, банки, финансовые и консалтинговые организации. В качестве фишинговых приманок злоумышленники используют документы военной и финансово-кредитной тематики. Принципиальная особенность цепочек - использование Deno как легитимной среды выполнения, что позволяет операторам передавать выполнение обфусцированному JavaScript-коду, обновлять вредоносную логику на стороне C2 и загружать дополнительные компоненты без изменения первоначального файла доставки. В исследуемой кампании DinDoor и DenoRAT выполняют разные функции. DinDoor используется как промежуточный загрузочный компонент: идентифицирует зараженный узел, проверяет доступность C2-сервера и обеспечивает получение и запуск следующей стадии. DenoRAT представляет собой основной агент удаленного доступа и реализует выполнение команд, сбор и эксфильтрацию данных, интерактивную командную оболочку и сетевые функции. В зависимости от вектора первоначального доступа последовательность компонентов отличается. Позитивы последовательно проанализировали две основные цепочки первоначального запуска: MSI-ветка, выявленная в рамках фишинговой рассылки с финансовой тематикой, и LNK-ветка. Отдельно разобрали вредоносный установщик DeltaScan, выявленный при исследовании той же инфраструктуры и использующий сходную многостадийную схему запуска Deno. Совокупность пересечений в логике, техниках и сетевой инфраструктуре позволяет рассматривать эти эпизоды как активность одного актора. Выявленную группировку Позитивы по итогу назвали DENOmination Group. Название отражает ключевой технический признак наблюдаемой активности - систематическое использование Deno в связанных цепочках заражения. На текущем этапе имеющихся данных недостаточно для уверенной атрибуции DENOmination Group к какой-либо ранее известной группировке. Полученные данные показывают, что DinDoor и DenoRAT, вероятно, не являются инструментарием, эксклюзивно используемым DENOmination Group. В открытых исследованиях аналогичные компоненты фигурируют в активности других отслеживаемых кластеров, при этом различаются способы первоначальной доставки, инфраструктура и последующие стадии заражения. В апреле 2026 года Hunt.io проанализировали два образца DinDoor. Несмотря на общую логику идентификации зараженного узла и использование Deno, исследованные образцы существенно различались по реализации и дальнейшей цепочке выполнения. Дополнительный пример приводит eSentire Threat Response Unit. В июне 2026 года исследователи наблюдали цепочку заражения, которую они отнесли к активности TAG-150. На текущем этапе Позитивы рассматривают модель MaaS или иной формы многоарендного доступа как рабочую гипотезу. Данные указывают на возможность использования общей платформы несколькими операторами, однако не позволяют установить коммерческую модель. Подробный технический разбор IOCs - в отчете.