Исследователи Positive Technologies в новом отчете расчехлили деятельность APT StingyBasilisk. В начале 2026 года PT ESC IR обнаружила сложную угрозу, которую назвали StingyBasilisk, активную как минимум с апреля 2022 года. Злоумышленники продолжительное время удерживали контроль над скомпрометированной инфраструктурой, действуя скрытно и маскируясь под легитимные средства защиты, применяемые организацией. Исходный вектор заражения установить не удалось, но Позитивам удалось выявить развернутую сеть собственных агентов злоумышленника, управление которыми осуществлялось через именованные каналы Windows. APT-группировка применяла широкий набор техник сокрытия присутствия, что позволяет предположить шпионаж в качестве конечной цели атаки. Для закрепления на скомпрометированных хостах использовались COM Hijacking (для запуска SilentCOM) и Time Providers (для обеспечения персистентности TediousLoader). Перемещение внутри периметра выполнялось с использованием протокола SMB, а удаленный запуск - с помощью планировщика заданий Windows. Именно так с февраля 2026 года StingyBasilisk доставляла загрузчик CunningDoor. Все обнаруженные образцы вредоносного ПО представляли собой DLL-библиотеки, задача которых состояла в ожидании и исполнении полезной нагрузки в памяти процесса Windows. Исследователи полагают, что в арсенале злоумышленников есть собственный C2-фреймворк, в котором полезная нагрузка представляет собой шелл-код, существующий только в памяти Windows. В качестве средства управления при этом может использоваться как именованный канал (named pipe), так и сетевое соединение с любым адресом. Это позволяло выстраивать многоуровневую цепочку скомпрометированных хостов, взаимодействие между которыми осуществлялось через эти каналы. StingyBasilisk также использует технику нативного захвата сырых сокетов Windows для анализа сетевого трафика на скомпрометированном хосте с целью получения адресов C2-серверов. В арсенале атакующих также присутствовал бэкдор, анализирующий сетевой трафик зараженного узла для извлечения полезной нагрузки. Из-за активного применения именованных каналов для управления и сложности обнаружения полезной нагрузки группировка и получила свое название. Подобная архитектура обеспечивала скрытность действий и позволяла проникать в изолированные сетевые сегменты, обходя традиционные периметровые средства защиты. На текущий момент нет информации, позволяющей достоверно связать атаку василисков с какой-либо из известных APT. На текущий момент Позитивы оценивают StingyBasilisk как одну из наиболее сложных угроз, с которыми им пришлось сталкиваться с начала 2026 года. IOCs и TTPs - в отчете.