Група кіберрозвідки Google — Google Threat Intelligence Group (GTIG) — 20 серпня 2026 року оприлюднила звіт про три окремі кластери підозрюваного російського кібершпигунства, які зламують акаунти не через підроблені сторінки входу, а через штатні механізми автентифікації: паролі застосунків, потік device code, дозволи OAuth і функцію привʼязки пристроїв у WhatsApp. Ціль — науковці, дипломати, аналітичні центри, урядовці та підприємства оборонної галузі в Європі та США. Один із кластерів зосереджений насамперед на Україні та Вірменії.
Ключова проблема, на якій наголошують дослідники Gabby Roncone та Wesley Shields, полягає в тому, що така атака майже не виглядає як фішинг. Жертва вводить пароль на справжній сторінці Google або Microsoft, сканує справжній QR-код WhatsApp і бачить справжні системні підказки. Зловмисник лише переконує зробити це в потрібний йому момент — і отримує токен доступу або паралельну сесію в месенджері.
Кластери позначені як UNC6293, UNC7005 і UNC5976. GTIG із високою впевненістю повʼязує всі три з росією — на підставі схожої вибірки цілей, тематики приманок і спільних операційних технік. Перші два з помірною впевненістю віднесено до підкластера угруповання ICE RELIC (попередня назва — APT29; також відоме як Cozy Bear і Midnight Blizzard), відповідального за початковий доступ. Уряди США та Великої Британії повʼязують APT29 зі Службою зовнішньої розвідки росії (СЗР).
UNC6293: «співробітники Держдепу» і паролі застосунків
Уперше цей кластер описали в червні 2025 року — GTIG і Citizen Lab зафіксували кампанію проти відомих критиків росії, науковців і журналістів. Зловмисники видавали себе за представників Державного департаменту США й переконували жертву створити в акаунті Google так званий пароль застосунку з назвою ms.state.gov. Такий пароль дає стороннім програмам доступ до акаунта в обхід двофакторної автентифікації.
У жовтні 2025 року GTIG побачила ту саму приманку у форматі PDF — з ідентичними скриншотами інструкцій. Змінився лише спосіб передавання: якщо раніше пароль просили надіслати листом, то тепер його пропонували ввести у форму на сайті, який виглядав легітимним. Кампанії залишаються точковими: зазвичай менш ніж пʼятеро адресатів за раз, а тематика приманок — дипломатичні заходи й запрошення на конференції. Частину таких операцій у грудні 2025 року описала компанія Volexity.
У червні 2026 року до арсеналу додався OAuth-фішинг: жертву просили після входу на сторонньому сервісі надіслати «код підтвердження» або повне посилання з адресного рядка. Саме цей код і відкривав зловмисникам доступ до акаунта.
UNC7005: від запрошень на конференції до «дзвінка» у WhatsApp
Головний фокус звіту — кластер UNC7005 (Microsoft відстежує його як STORM-2945), виявлений у лютому 2026 року. Він атакує науковців, дипломатів і працівників неурядових організацій в Україні, Західній Європі та США. GTIG відстежує його окремо від UNC6293 через нижчий рівень підготовки, слабшу операційну безпеку, іншу інфраструктуру та застосування шкідливого ПЗ.
Device code: реєстрація на конференцію з вибором вина
У травні 2026 року UNC7005 підробив сайт форуму GLOBSEC, використавши шаблон із попередньої операції на тему «запрошення до посольства». Сторінка знімала цифровий відбиток браузера жертви, щоб відсіяти автоматичні сканери, після чого пропонувала пройти реєстрацію — з докладною анкетою, яка серед іншого містила вибір вина до вечері. Винна тематика в операціях ICE RELIC простежується щонайменше з квітня 2023 року, коли Mandiant описала приманку із запрошенням на дегустацію від імені посольства Чехії. Наприкінці реєстрації жертві показували код пристрою (device code), який вона мала ввести на справжній сторінці входу Microsoft — і тим самим авторизувала сесію зловмисника, а не свою.
Привʼязка пристрою у WhatsApp
У травні та червні 2026 року UNC7005 розгорнув операції з підробкою WhatsApp. Фішингова сторінка пропонувала привʼязати акаунт до пристрою зловмисника — нібито щоб долучитися до захищеного дзвінка, чату чи обміну документами. Механіка проста: жертва вводить номер телефону, сервер зловмисника ініціює справжній запит на привʼязку пристрою, а сторінка показує справжній QR-код і код привʼязки разом з інструкцією.
Після успішної привʼязки сторінка пропонувала один із трьох сценаріїв:
- Голосовий дзвінок — імітація виклику з гудками, під час якої JavaScript таємно записував аудіо та відео з камери й мікрофона. Коли «дзвінок» нібито зривався, запис вивантажувався на керований сервер (C2).
- Зашифрований чат — жертві показували логін і пароль з проханням увійти за додатковим посиланням.
- Завантаження файлу — що саме мали завантажити, GTIG встановити не вдалося.
Крадії даних напрокат і OAuth через хмарні проєкти
Наприкінці травня 2026 року кластер провів найширшу зі зафіксованих розсилок — проти американських науковців, дипломатів і дослідників, які спеціалізуються на росії та пострадянському просторі. Посилання вело на сайт, що імітував «саміт» довкола резолюції на підтримку України, і пропонувало завантажити «застосунок-компаньйон» для читання повного тексту. Залежно від операційної системи жертва отримувала VIDAR (Windows) або ATOMIC, він же AtomicStealer (macOS) — обидва орендовані за моделлю malware-as-a-service та націлені на дані з браузерів.
На початку серпня 2026 року UNC7005 перейшов до OAuth-фішингу з використанням хмарної інфраструктури. З 31 липня зловмисники реєстрували домени, що імітували фінський Finnish Operations Center (FOC) — організацію, яка супроводжує фінські оборонні та безпекові компанії, зокрема в контексті НАТО. Між 6 і 13 серпня 2026 року цільові листи розійшлися адресатам, повʼязаним з європейською оборонною промисловістю. Після входу через справжню сторінку Google жертву перенаправляли до непідтвердженого хмарного проєкту зловмисника, який збирав токени доступу.
Звʼязок із CaptiveCrunch: готельний Wi-Fi як точка входу
GTIG повʼязала інфраструктуру UNC7005 з кампанією CaptiveCrunch, яку 23 липня 2026 року описала ReliaQuest, а 31 липня — Microsoft Threat Intelligence. Ідеться про підміну DNS- і HTTP-трафіку в мережах із captive-порталами — тими самими сторінками входу, які зʼявляються під час підключення до Wi-Fi у готелях і конференц-центрах. За даними Microsoft, така активність триває щонайменше з початку травня 2026 року й охоплює заклади гостинності по всьому світу.
Здобувши адміністративний доступ до шлюзу, зловмисники підмінювали DNS-відповіді й перенаправляли автоматичну перевірку зʼєднання, яку виконує браузер, на фальшиве «оновлення» браузера чи операційної системи. Далі застосовувалася техніка ClickFix, коли користувача покроково просять самостійно виконати підготовлену команду.
Microsoft описала два основні інструменти кампанії. CornFlake — написаний мовою Go троян віддаленого доступу для Windows: кейлогер, знімки екрана, запис із камери та мікрофона, збір файлів, крадіжка облікових даних і токенів сесій, віддалена командна оболонка. ChocoShell (GTIG відстежує його як CHERRYPIE) — крадій даних на PowerShell, що працює в памʼяті: вимикає інтерфейс сканування AMSI, обходить контроль облікових записів UAC і дістає cookie сесій, збережені паролі, токени єдиного входу Microsoft 365 та паролі до мереж Wi-Fi. Керується все це вебпанеллю FruitStone, оформленою як «CloudSync Console» від вигаданої «Acuity Systems, Inc.» — щоб мати вигляд легального хмарного сервісу.
Обидві компанії звертають увагу на ознаки того, що частину коду ChocoShell згенеровано за допомогою великої мовної моделі: у скрипті збереглися розлогі коментарі розробника, які пояснюють логіку обходу конкретних сигнатур виявлення.
Дослідники Lumen Black Lotus Labs, які паралельно відстежують цю ж кампанію, припускають у звіті, наданому виданню The Hacker News, що зловмисники могли зламати кількох провайдерів керованих ІТ-послуг (MSP) і скористатися їхнім довіреним доступом до клієнтських мереж. Телеметрія Lumen виявила близько 70 IP-адрес жертв: із них 40 надсилали DNS-запити до серверів керування CaptiveCrunch, ще 30 взаємодіяли з інфраструктурою перехоплення (adversary-in-the-middle), а одна — із сервером ChocoShell.
UNC5976: фейкові файлообмінники та цілі в Україні
Третій кластер GTIG вважає окремим від двох попередніх — імовірно, він працює в інтересах іншої російської спецслужби. OAuth-активність UNC5976 відстежують із березня 2026 року.
Схема така: купується домен із «файлообмінною» назвою, під нього створюється хмарний проєкт, а на сайті розміщується підроблена сторінка обміну файлами. За кілька секунд після відкриття вискакує вікно входу з кнопкою «Continue with Google», яка веде на справжню сторінку OAuth. Після автентифікації жертву перенаправляють на адресу хмарного проєкту, де скрипти виймають токен із посилання й зберігають його для оператора. Приблизно за три місяці після першого виявлення кластер створив щонайменше 12 нових доменів; Google вимкнула ці проєкти, і тепер, за оцінкою GTIG, зловмисники переносять частину інфраструктури до інших провайдерів.
Окремо в квітні 2026 року дослідники виявили шкідливий плагін для Excel під назвою HEADRUSH, який запускав завантажувач у форматі HTA. Його поширювали через домен, що імітував український науково-дослідний інститут; імовірною ціллю була українська компанія у сфері аерокосмічних технологій і зйомки. Повний ланцюжок зараження встановити не вдалося. Загалом UNC5976 зосереджений на військових, аерокосмічній галузі, оборонно-промисловій базі та аналітичних центрах, а географічно — насамперед на Україні та Вірменії.
Як захиститися
Google наголошує: паролі застосунків не є засобом перевірки особи й у більшості випадків узагалі не потрібні. Рекомендації компанії та Microsoft можна звести до кількох правил.
- Не створювати паролі застосунків на прохання співрозмовника — жодна легітимна організація не потребує їх для «підтвердження особи». Створені раніше варто відкликати, особливо ті, що привʼязані до втрачених або невживаних пристроїв.
- Ніколи не передавати нікому код підтвердження, код пристрою або посилання з адресного рядка після входу.
- Перевіряти адресу сайту перед введенням пароля та регулярно переглядати сторонні застосунки з доступом до акаунта Google.
- Для месенджерів — увімкнути блокування реєстрації та двоетапну перевірку, а також періодично переглядати список привʼязаних пристроїв і видаляти незнайомі.
- Особам із групи підвищеного ризику — розглянути Advanced Protection Program від Google: участь у програмі взагалі унеможливлює створення паролів застосунків. Стійкість до фішингу дають апаратні ключі безпеки та passkeys.
- Запрошення на заходи від незнайомих осіб варто підтверджувати через контакти організаторів, знайдені поза самим запрошенням.
- У поїздках мережі готелів, аеропортів і конференц-центрів слід вважати недовіреними; оновлення браузера чи системи, запропоновані через сторінку входу до Wi-Fi, встановлювати не можна за жодних обставин.
- За підозри на компрометацію — перевірити пристрій і завершити всі активні сесії з іншого, свідомо чистого пристрою.
GTIG подякувала за співпрацю в розслідуванні партнерам, серед яких Black Lotus Labs (Lumen Technologies), Microsoft Threat Intelligence Center, Служба військової контррозвідки Польщі (SKW), WhatsApp і компанія Anthropic.
Питання та відповіді
Що таке пароль застосунку і чому він небезпечний?
Це окремий код, який дає менш захищеній програмі чи пристрою доступ до акаунта. Його головна особливість — він працює в обхід двофакторної автентифікації, тож зловмисник, який отримав такий пароль, заходить в акаунт без жодних додаткових підтверджень.
Чи означає привʼязка пристрою у WhatsApp, що зловмисник читає листування?
Так. Привʼязаний пристрій отримує доступ до чатів так само, як вебверсія месенджера на компʼютері. Саме тому список привʼязаних пристроїв у налаштуваннях варто перевіряти регулярно й видаляти всі незнайомі.
Чи захищає VPN від атак через captive-портали?
Частково. Підключення до VPN відбувається вже після проходження сторінки входу до Wi-Fi, тому саме на цьому етапі — коли підміняється DNS і показується фальшиве «оновлення» — VPN ще не працює. Він зменшує решту ризиків, але не скасовує правила не встановлювати нічого зі сторінок captive-порталу.
Кого саме атакують ці кластери?
Насамперед приватні, а не корпоративні акаунти науковців, дипломатів, працівників аналітичних центрів і неурядових організацій, а також фахівців оборонної галузі. Через це компрометацію складніше помітити службам безпеки організацій — активність відбувається поза корпоративним периметром.
