SecAtor

Исследователи Лаборатории Касперского в новом отчете разобрали инструментарий группировки Hacking Cat. Hacking Cat (Хакерский кiт) - группировка хактивистов, атакующая организации в России из множества секторов экономики, описывает свои активности в Telegram-канале, который был создан в феврале 2024 года. Вплоть до лета 2025 основной темой канала были дефейсы сайтов, утечки данных и инструменты для пентеста. Однако позже группировка сменила профиль и стала вести кампании, направленные на шифрование и уничтожение данных. Hacking Cat активно сотрудничает с другими хактивистами, такими как Cyber Anarchy Squad и Ukrainian Cyber Alliance, что может усложнять атрибуцию инструментария к конкретным злоумышленникам. Тем не менее ЛК удалось задетектить и провести всесторонний анализ ранее не описанного вредоносное ПО - Gorilla RAT и Monkey Ransomware, - которое с высокой уверенностью относится именно к арсеналу Hacking Cat, поскольку оно встречалось только в атаках этой группировки. Кроме того, исследователи изучили несколько инструментов, использованных в совместных атаках с Cyber Anarchy Squad и Ukrainian Cyber Alliance. В качестве вектора первоначального доступа злоумышленники используют уязвимости в серверах Exchange - предположительно CVE-2021-26855 и CVE‑2026‑42897. При успешной эксплуатации разворачивают в системе самописный инструмент удаленного доступа Gorilla RAT. Он обладает функциональностью для туннелирования трафика, что позволяет злоумышленникам получать доступ к внутренней сети жертвы извне. Причем до января 2026 Hacking Cat использовала классическую обратную оболочку (reverse shell), написанную на Go с использованием WebSocket. Gorilla RAT также написан на Go с использованием WebSocket и содержит тот же C2-адрес и такую же проверку продолжительности сна. Сам адрес зашифрован с помощью побайтового преобразования с использованием четырехбайтного ключа, который находится внутри агента. В некоторых случаях Gorilla RAT распространялся в UPX-архивах, в других - в виде несжатого исполняемого файла. В качестве C2 в Gorilla RAT чаще всего используется IP 179.43.186[.]239. По этому адресу ЛК обнаружила административную панель Lissa C2. Такая же панель была обнаружена и на другом сервере — 31.7.58[.]226, который также встречался в качестве C2 Gorilla RAT. Спустя некоторое время название панели сменилось на другое - XOXOL. В системах нескольких жертв Hacking Cat нашлось множество вариаций шифровальщика Monkey Ransomware, написанных на разных языках Rust, .NET, C++ и Golang. Зловред впервые появился в конце лета - начале осени 2025 года, однако с тех пор злоумышленники создали огромное количество различных образцов с незначительными вариациями в функциональности. Вариация Monkey Ransomware на Rust генерирует 32-байтовый ключ и шифрует файлы жертвы с помощью ChaCha20-Poly1305. Некоторые варианты нигде не сохраняют ключ, что фактически превращает их в полноценный вайпер. Вариация на .NET распространяется в виде приложения .NETCoreApp. Образец генерирует 32-байтовый ключ, отправляет на C2 и шифрует файлы жертвы с помощью AES-256-CBC. Версия на C++ обладает схожей функциональностью с версиями на .NET и Rust с небольшими отличиями. Версия на Golang используется в системах Linux и ESXi. В процессе проактивного мониторинга угроз в ЛК также обнаружили другой шифровальщик, который использовал отличные от Monkey Ransomware алгоритмы шифрования и присваивал файлам расширение .hydra_ransomware. В целом, как видно из анализа инструментария группировки, Hacking Cat экспериментирует с функциональными возможностями шифровальщика, а при разработке используются генеративные модели. При этом разные хактивистские группировки в атаках используют одни и те же самописные инструменты, включая многоступенчатые цепочки заражения. Подробный технический разбор и и возможные пересечения с группировкой Thor - в отчете.