SecAtor

Исследователи Лаборатории Касперского выявили фишинговую кампанию ранее неизвестной киберпреступной группировки, которую назвали Arra Ghouls (также упоминается как Mimbrob). Изначально она специализировалась на атаках на частных пользователей: с помощью инфостилеров и банковских троянцев осуществляла эксфильтрацию данных и монетизировала их. Однако с начала апреля 2026 группировка провела серию атак на организации в России и Беларуси. Под удар попали 18 организаций в сферах телекоммуникаций, промышленного фармпроизводства, IT, коммерции и финансов. Для реализации своих кампаний злоумышленники использовали цепочку собственных средств доставки вредоносной нагрузки, несколько RAT на Go, а также фреймворки с открытым исходным кодом: Havoc, RootRat и Metasploit. Злоумышленники использовали заранее подготовленные домены-двойники, а также скомпрометированные почтовые сервера, с которых рассылали фишинговые письма с RAR‑архивами. Темы письма варьировались от «Cудебное_разбирательство» до «Poverka2026». Первым каналом были фишинговые письма, которые рассылались с заранее подготовленных доменов, имитирующих адреса легитимных организаций: npkarns[.]ru, urnpo[.]ru, klirnov[.]ru, vniirn[.]ru. Внутри архива содержались переименованный легитимный файл браузера Chromium и DLL-дроппер browser_elf.dll, расположенный в том же каталоге. Вторым каналом распространения стали фишинговые сайты, на которых пользователям предлагали скачать MSI-дроппер c именем DronnerInstaller.msi. Внутри этого файла находились приложение-приманка на Flutter и такой же DLL-дроппер. Дроппер содержит несколько экспортируемых функций, которые ссылаются на один и тот же адрес, ведущий прямо к основному вредоносному функционалу. После передачи управления вредонос проверяет языковые и региональные настройки клавиатуры тремя способами, сравнивая со списком целевых стран, прежде всего СНГ. Затем наступает второй этап - анализ прав доступа и попытка их повышения. Внутри вредоноса в зашифрованном XOR виде хранятся строки с именами функций WinAPI. Затем выполняется основная логика дроппера. Для закрепления на устройстве жертвы создается запланированная задача через schtasks.exe. Вредонос запускается по одной из двух схем: с интервалом в минутах или в днях. Затем управление переходит к браузеру Chromium, который запускает DLL-загрузчик. Злоумышленники открывают конечные точки только на время проведения атаки, что также затрудняет поиск и анализ финального вредоноса. Нагрузка передается в зашифрованном виде как массив бинарных данных. Чаще всего злоумышленники передавали RAT с модульной архитектурой на Go - Arra RAT. В некоторых случаях использовался дополнительный промежуточный загрузчик yandexupdatesvc.exe, скачиваемый с командного сервера, который загружал 7-Zip и архив с репозитория GitHub, из которого также разворачивался Arra RAT. Группировка активно использует TCP-туннели с шифрованием трафика - такой подход позволяет избежать классического перехвата через MitM-прокси, характерного для HTTP/S-коммуникаций с командного сервера. При этом Arra RAT служит лишь точкой входа в инфраструктуру, а основным инструментом для взаимодействия с устройством жертвы является Havoc. Все сообщения при взаимодействии с С2 передаются в зашифрованном виде с использованием AES-GCM. В ходе анализа инфраструктуры атакующих были выявлены дополнительные инструменты. Кроме агента фреймворка Havoc также было замечено использование агентов семейства RootRat. В инфраструктуре также был выявлен модуль обратной оболочки (reverse shell) windows/reverse_tcp из фреймворка Metasploit. Хронология развития вредоносной нагрузки в кампаниях Arra RAT показывает быстрый рост ее функциональности. Первая версия, обнаруженная в начале апреля 2026 года, поддерживала только базовый опрос C2 и простой набор команд. К маю‑июню в образец были добавлены модули TCP‑туннеля, поддержка загрузки файлов и эксфильтрации данных.