Хакери російської воєнної розвідки почали використовувати підроблені перевірки CAPTCHA на скомпрометованих вебсайтах, аби змусити українських користувачів власноруч інфікувати свої компʼютери. Про зміну тактики угруповання Sandworm повідомила урядова команда реагування на компʼютерні надзвичайні події CERT-UA.

У звіті, оприлюдненому цього тижня, команда зазначила, що протягом весни та літа 2026 року помітила зміни в тому, як повʼязане з кремлем угруповання отримує початковий доступ до систем українських цілей.

За даними CERT-UA, зловмисники дедалі частіше застосовують різновид методу соціальної інженерії, відомий як ClickFix. Жертву спрямовують на скомпрометований сайт, де за певних умов відображається фальшива перевірка CAPTCHA, нібито призначена відрізнити людину від бота.

Замість підтвердження, що користувач — людина, йому пропонують скопіювати та виконати в терміналі PowerShell команду. Вона завантажує та зберігає в каталозі автозапуску Startup VBS-файл, який забезпечує подальше зараження; один із варіантів такої програми отримав назву GHETTOVIBE.

Ланцюжок зараження: від фейкової CAPTCHA до бекдорів

Після закріплення на компʼютері зловмисники можуть довантажити інструмент розвідки SCOUTCURL — PowerShell-сценарій, що збирає й викрадає базову інформацію про пристрій: характеристики системи, встановлені програми, файли та дані браузерів. Це допомагає атакувальникам оцінити, чи варта ціль подальшої компрометації.

Серед завантажувачів шкідливого ПЗ CERT-UA відзначає FLUIDLEECH, замаскований під програму для видалення «вірусів», і LOADLOOP. На окремих інфікованих машинах, де проводилися заходи реагування, також виявили FREAKYPOLL — бекдор, написаний мовою Python і поширюваний у вигляді скомпільованого байткоду (файли з розширенням «.pyc»).

Керуючі сервери — у блокчейні

Упродовж червня та липня CERT-UA детально проаналізувала реалізацію ClickFix більш ніж на десяти скомпрометованих вебресурсах. Окрім сервісу приховування трафіку Cloaking.House, який за певних умов підміняє вміст сторінки для відвідувача, зловмисники застосовували власний код SMARTAXE.

Особливість SMARTAXE у тому, що він отримує доменне імʼя керуючого сервера динамічно — зі смартконтракту в блокчейні, через виклик «eth_call» за заданими у коді адресою контракту та селектором функції. Такий спосіб приховування інфраструктури відомий як EtherHiding: оскільки смартконтракт незмінний і не має традиційного сервера чи домену, захисникам складно заблокувати або вилучити його, а самі запити важко відрізнити від легітимної активності в блокчейні. Кількість заражених пристроїв команда не назвала.

Окрема загроза для Android

CERT-UA окремо наголошує на шкідливому ПЗ для Android, яке під час спілкування в месенджері надсилають у вигляді APK-файлу, замаскованого під засіб захисту. Цей бекдор, кодифікований як COWARDDUCK, є повноцінним інструментом стеження: він приховано збирає та викрадає технічні характеристики пристрою, контакти, файли (зокрема з каталогів DCIM, Documents, Downloads та Pictures) і геопозицію в реальному часі.

Щоб не привертати уваги, для вивантаження файлів COWARDDUCK використовує API сервісу Dropbox, а команди й дані отримує з обʼєктів на легітимних ресурсах — наприклад, із зображень у Steam, — а звʼязок маршрутизує через проксі DuckDuckGo.

Старі методи не зникли

Попри перехід до атак через ClickFix, угруповання продовжує покладатися й на звичні прийоми. Роками одним із головних був вектор «пасивної» компрометації: поширення інсталяторів Microsoft Windows та Office із вбудованим бекдором через торент-трекери, що дозволяло непомітно заражати тих, хто завантажував піратське ПЗ.

За даними CERT-UA, щонайменше в одному випадку такий заражений компʼютер забезпечив присутність і горизонтальне переміщення в мережі організації, що створило умови для руйнівної кібератаки проти інфраструктури центрального органу виконавчої влади України.

Ще один прийом, до якого угруповання вдавалося протягом російської війни проти України, — атаки на користувачів месенджера Signal, надто на військовослужбовців, яких переконували встановити фальшивий «антивірусний захист». Запуску файлу нерідко передувала тривала комунікація, під час якої зловмисники навіть пропонували грошову винагороду за виконання інструкцій.

Для віддаленого доступу атакувальники традиційно використовували легітимні OpenSSH і Tor, перенаправляючи локальні мережеві порти (зокрема 445, 3389 і 22) на підконтрольний сервер, а також власні інструменти KALAMBUR, SUMBUR і TAMBUR. Фіксувалося й викрадення ключів і даних месенджерів Signal та WhatsApp.

Роки атак проти України

CERT-UA відстежує цю активність як кластер UAC-0145 (субкластер UAC-0002); ширше угруповання відоме як Sandworm, APT44 і Seashell Blizzard. Західні уряди та дослідники кібербезпеки повʼязують його з головним управлінням російської воєнної розвідки (ГРУ). Sandworm діє щонайменше з 2013 року й відповідальне за деякі з найгучніших руйнівних кібератак росії, зокрема удари по енергосистемі України.

Ця стаття Sandworm застосовує фейкові CAPTCHA проти українців: жертв змушують самостійно інфікувати компʼютери раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Кіберзлочинність давно перестала бути справою одинаків-ентузіастів. Сьогодні це багатомільярдна тіньова економіка з власною спеціалізацією професій, маркетплейсами в стилі Amazon, відгуками клієнтів і навіть «технічною підтримкою». За оцінкою Cybersecurity Ventures, у 2025 році збитки від кіберзлочинів у світі сягають близько 10,5 трлн доларів — це більш ніж утричі перевищує показник 2015-го. У цьому матеріалі — як працює тіньовий ринок кіберзлочинності, скільки коштують вкрадені дані українців і чому війна робить нас особливо вразливими.

Від «магазинів вкрадених карток» до екосистеми «злочин як послуга»

Ще кілька років тому тіньові ринки сприймалися здебільшого як торгові майданчики для викрадених банківських карток і піратського ПЗ. Сьогодні картина принципово інша: ринок став модульним і спеціалізованим. За даними звіту KELA «State of Cybercrime 2026», у 2025 році в підпільному обігу перебувало щонайменше 2,86 млрд скомпрометованих облікових даних — від паролів і файлів cookie до повних «логів» інфостілерів, що містять усю цифрову особистість користувача.

Дослідники Constella підрахували, що лише за 2025 рік було оброблено 51,7 млн «пакетів» інфостілерів, які походили з 24,8 млн унікальних інфікованих пристроїв. Усередині — близько 2,3 млрд викрадених паролів. А американський Internet Crime Complaint Center (IC3) при ФБР зафіксував, що сумарні втрати від кіберзлочинів у 2025 році в США перевищили 20,9 млрд доларів — на 26% більше, ніж роком раніше.

Принципова зміна — у самій бізнес-моделі. Якщо раніше один зловмисник міг сам зламувати, сам красти й сам продавати, то сьогодні ринок повністю розділений на ролі: розробники шкідливого програмного забезпечення, оператори ботнетів, «ініціатори загроз», що отримують первинний доступ до мереж, оператори програм-вимагачів, відмивачі криптовалюти. Цей підхід отримав назву Cybercrime-as-a-Service (CaaS) — кіберзлочин як послуга.

Скільки коштують ваші дані: ціни тіньового ринку у 2025–2026 роках

За даними щорічного звіту SOCRadar та аналітичних публікацій Privacy Affairs і Trustwave SpiderLabs, середні ціни на вкрадені дані у тіньовому сегменті 2025 року виглядають так:

• базові персональні дані (номер телефону, адреса, e-mail) — від 1 долара;
• номер соціального страхування США (SSN) — приблизно 1–6 доларів;
• викрадена банківська картка без CVV — близько 10 доларів;
• картка з CVV — 10–40 доларів, з високим балансом (від 5 000 доларів) — до 120 доларів;
• зламаний акаунт PayPal або Revolut — у середньому близько 100 доларів;
• верифікований акаунт Kraken із криптовалютою — понад 1 100 доларів;
• повні медичні записи — 250–310 доларів за запис;
• DDoS-атака на замовлення — від 20 доларів;
• підписка на інфостілер (malware-as-a-service) — від 15 доларів на місяць;
• кастомна фішингова сторінка — 50–2 000 доларів;
• експлойт нульового дня (zero-day) — до 150 000 доларів і вище.

Окрема й найдорожча категорія — корпоративні доступи. За даними Rapid7, у другій половині 2025 року середня ціна лоту від «ініціатора загроз» (Initial Access Broker) зросла з приблизно 2 726 доларів у 2024-му до понад 113 000 доларів. Йдеться про повний адміністративний доступ до мережі великої компанії, що дозволяє покупцеві — як правило, оператору програми-вимагача — одразу переходити до фінальної стадії атаки.

Як виглядає сучасний даркнет-маркет: рейтинги, відгуки, «чорна п’ятниця»

Сучасні тіньові ринки візуально й функціонально майже не відрізняються від легальних e-commerce-платформ. Зловмисники мають свої рейтинги продавців, відгуки покупців, систему ескроу-платежів (умовного депонування коштів до підтвердження покупки), розділи «поширені запитання», іноді — навіть live-чат із «технічною підтримкою». Періодично з’являються «акції», «купони знижок» і сезонні розпродажі — для імітації звичного клієнтського досвіду.

Оплата майже завжди відбувається у криптовалюті. Bitcoin усе ще використовується для виплат викупу за програмами-вимагачами, але для розрахунків на самих маркетплейсах злочинці все частіше переходять на Monero — через вбудовану анонімність транзакцій. За даними звіту Chainalysis «2025 Crypto Crime Report», близько 63% усього нелегального обігу криптовалют у 2025 році припадає на стейблкоїни, передусім USDT.

Russian Market та інфостілери: чому крадені облікові дані опиняються в продажу за 48 годин

Окрему й болючу для українців роль відіграє маркетплейс під назвою Russian Market. За оцінкою компанії Rapid7, у 2026 році це найбільший у світі майданчик для торгівлі «логами» інфостілерів — пакетами даних, які зловмисне ПЗ викрадає з інфікованого комп’ютера: збережені паролі браузерів, файли cookie сесій, дані автозаповнення форм, гаманці криптовалют. Російські злочинні форуми XSS та Exploit залишаються основними майданчиками для пошуку партнерів, попри періодичні правоохоронні втручання — зокрема у липні 2025 року XSS втратив адміністратора в результаті спецоперації.

Дослідження Whiteintel, опубліковане в березні 2026 року, описує типовий шлях вкрадених даних: від моменту зараження пристрою до появи облікових даних на маркеті проходить менш ніж 48 годин. У багатьох випадках — суттєво менше. Логи свіжих заражень (24–48 годин) продаються з преміальною надбавкою саме тому, що сесійні токени ще не встигли застаріти й дозволяють обійти двофакторну автентифікацію.

Згідно з звітом Verizon Data Breach Investigations Report 2025, 54% жертв атак програм-вимагачів виявили свої корпоративні облікові дані в логах інфостілерів ще до самої атаки. Тобто доступ було продано — а вже потім ним скористалися.

Найпоширеніші інфостілери, логи яких зараз можна знайти на тіньових ринках: Lumma (донедавна — лідер ринку, доки в травні 2025 року правоохоронні органи не вилучили його інфраструктуру), Acreed (швидко зайняв звільнену нішу — за оцінками Bitsight, до середини 2026 року кількість його логів зросла зі сотень у березні 2025 року до понад 118 000 у червні), а також Vidar, Stealc, Rhadamanthys, RedLine, Raccoon.

Ініціатори загроз і RaaS: як працює конвеєр сучасних атак

Ініціатори загроз (Initial Access Brokers, IABs) — це спеціалізована «професія» на тіньовому ринку. Їхня єдина задача — отримати первинний доступ до корпоративної мережі (через фішинг, експлуатацію вразливостей, перебір паролів або купівлю логів інфостілерів) і продати цей доступ далі. За даними дослідницької компанії Intel 471, у період з червня 2024 по травень 2025 року зафіксовано щонайменше 70 кореляцій між лотами IAB-брокерів і подальшими атаками програм-вимагачів. Середній час між появою оголошення про доступ і фактичною атакою — лише близько 19 днів.

Найактивніші групи програм-вимагачів, які закуповують доступи: Play, RansomHub, Everest, Medusa, Sarcoma. Ця модель «розподілу праці» отримала назву Ransomware-as-a-Service (RaaS): розробники створюють шкідливе програмне забезпечення й здають його в оренду «афілійованим партнерам», а ті, своєю чергою, купують доступ до конкретних компаній у брокерів. Прибуток ділиться у відсотках — як у звичайній партнерській програмі.

Що цікаво, у березні 2026 року американський суд виніс вирок російському «ініціатору загроз» Олексію Волкову із Санкт-Петербурга — 81 місяць ув’язнення. Волков, відомий під ніком chubaka.kor, продавав доступи групам Yanluowang та іншим. Його затримали в Римі та екстрадували до США. Це один із небагатьох прецедентів, коли «архітектора» сучасних атак вдалося реально притягнути до відповідальності.

Великі операції правоохоронців: чи вдається перемагати?

Останні роки принесли кілька гучних міжнародних операцій, які показали: тіньовий ринок не є безкарним.

• Operation Cronos (лютий 2024)— спільна операція 10 країн на чолі з Національним агентством злочинності Великої Британії (NCA), ФБР та Європолом. Інфраструктуру однієї з найвпливовіших груп програм-вимагачів LockBit було захоплено, а її лідер Дмитро Хорошев («LockBitSupp») із росії — публічно деанонімізований. Заарештовано 200 криптогаманців і 34 сервери; затримано трьох співучасників у Польщі та Україні. Уряд США оголосив винагороду в 10 млн доларів за інформацію, що приведе до арешту Хорошева.
• Operation Endgame (травень 2024)— за даними Європолу, найбільша в історії операція проти ботнетів. Вилучено понад 100 серверів, що обслуговували завантажувачі шкідливого ПЗ IcedID, Pikabot, Trickbot, Bumblebee, SmokeLoader та SystemBC. У 2025 році проведено серію подальших арештів — уже клієнтів цих сервісів, дані яких знайшли в захопленій базі.
• Захоплення BreachForums (травень 2024)— ФБР перехопило контроль над форумом, де роками публікували й продавали бази даних великих витоків. Сам форум кілька разів відроджувався, але остаточно розпався протягом 2024–2025 років. У судових документах Міністерства юстиції США згадуються 888+ викрадених датасетів і 14+ мільярдів записів, що там обертались.
• Знищення LummaC2 (травень 2025)— у скоординованій операції вилучено понад 2 300 доменів, які обслуговували найпопулярніший на той момент інфостілер. До цього на LummaC2 припадало близько 92% усіх логів на Russian Market.

Втім, фахівці з компанії Cognyte застерігають: ці успіхи не означають перемоги. Замість одного знищеного гравця з’являється кілька дрібніших. Ринок став більш фрагментованим, а отже — складнішим для моніторингу. Уже через кілька днів після кожної великої операції постачальники й покупці мігрують на запасні майданчики, як це сталося з TorZon і Nemesis після обвалу Abacus Market у середині 2025 року.

Що це означає для українців: ціна вашої цифрової особистості в умовах війни

Для України тіньовий ринок кіберзлочинності — це не абстрактна проблема. Це передовий край гібридної війни.

Згідно зі звітом ESET за Q2–Q3 2025, російська група Sandworm (пов’язана з ГРУ) продовжує систематичні атаки програм-знищувачів даних (wiper) на українські державні установи, енергетику, логістику і — що стало новою тенденцією 2025 року — на зерновий сектор як основне джерело валютних надходжень. Використовуються wipper-програми ZEROLOT і Sting.

У травні 2025 року дослідники ESET зафіксували атаку, в якій угрупування, назване InedibleOchotense, видавало себе за саму компанію ESET: українським організаціям розсилали спірфішингові листи й повідомлення в Signal із посиланнями на нібито офіційні інсталятори ESET, які насправді містили бекдор Kalambur (SUMBUR).

Державна служба спеціального зв’язку та захисту інформації України (Держспецзв’язку) повідомила, що в першій половині 2025 року зафіксувала 3 018 кіберінцидентів — на 17% більше, ніж у другому півріччі 2024-го. Атаки на місцеві органи влади та військові структури зросли особливо помітно.

Окрема загроза для українських користувачів — те, що частина російськомовних маркетів буквально торгує доступом до українських сервісів, акаунтів і навіть інфраструктури. Логи інфостілерів із заражених у 2022–2025 роках українських комп’ютерів досі циркулюють у продажу. Це означає, що пароль, який ви зберегли в браузері три роки тому, теоретично все ще може бути «свіжим товаром» на тіньовому ринку.

ШІ як новий інструмент: фішинг і дипфейки на потоці

Окрема тривожна тенденція 2025–2026 років — масштабне впровадження генеративного ШІ в арсенал кіберзлочинців. За даними IBM Threat Intelligence Index, кількість шкідливого ПЗ, доставленого через фішингові листи, у 2025 році зросла на 84% порівняно з попереднім роком — значною мірою завдяки автоматизованій генерації переконливих текстів.

Зловмисники використовують ШІ для створення фішингових листів без характерних граматичних помилок, для адаптації повідомлень під конкретну жертву (так званий spear-phishing), для генерації дипфейкових голосових і відео-повідомлень. Окремий бізнес-сегмент на тіньовому ринку — «комплекти дипфейк-особистостей» для фінансового шахрайства й обходу процедур верифікації.

Як захиститися: базовий мінімум для пересічного користувача

Хороша новина: попри ускладнення тіньового ринку, базова гігієна цифрової безпеки залишається ефективною проти переважної більшості атак. Ось мінімум, який варто дотримуватися.

• Використовуйте менеджер паролів і унікальні складні паролі для кожного сервісу. Якщо одне зі сховищ зливається — постраждає лише один акаунт, а не вся ваша цифрова особистість.
• Увімкніть багатофакторну автентифікацію всюди, де це можливо. Бажано — через застосунок-автентифікатор або апаратний ключ, а не через SMS.
• Переходьте на ключі доступу (passkeys) там, де це підтримується. Вони стійкі до фішингу й крадіжки облікових даних інфостілерами.
• Регулярно оновлюйте операційну систему й програмне забезпечення. Більшість успішних атак експлуатує вразливості, для яких уже існують патчі.
• Встановіть надійне антивірусне рішення. Для українських користувачів окрема рекомендація: НЕ використовуйте антивіруси російського походження (Kaspersky, Dr.Web), оскільки вони є джерелом ризиків як для приватності, так і для національної безпеки. Серед перевірених альтернатив — ESET (Словаччина, має офіційне представництво в Україні).
• Не зберігайте чутливі паролі (банкінг, корпоративна пошта, криптогаманці) у браузері. Саме ці дані — основна ціль інфостілерів.
• Будьте критичними до листів і повідомлень із посиланнями, навіть якщо вони здаються офіційними. Російські угрупування періодично видають себе за відомі компанії, включно з Microsoft та Google.
• Регулярно перевіряйте свої e-mail-адреси на сервісах Have I Been Pwned, щоб дізнаватися про потрапляння ваших облікових даних у відомі витоки.
• Не намагайтеся «зайти на даркнет із цікавості». Це не цікава екскурсія, а потенційно небезпечне середовище з шкідливим ПЗ, шахрайськими сторінками й наглядом правоохоронних органів — що погано закінчується для випадкових туристів.

Висновок: чому інформованість важлива більше, ніж будь-коли

Тіньовий ринок кіберзлочинності за останнє десятиріччя пройшов шлях від примітивних форумів до повноцінної підпільної ІТ-індустрії з власною спеціалізацією, фінансовими потоками й корпоративною культурою. Він став дорожчим, складнішим, географічно розмазаним — і водночас доступнішим для входу: підписку на інфостілер сьогодні може купити навіть підліток за 15 доларів.

Боротьба з цією індустрією потребує спільних зусиль урядів, правоохоронців, виробників технологій безпеки й кожного користувача окремо. Великі операції на кшталт Cronos та Endgame показують, що це можливо. Але водночас вони ж демонструють: ринок надзвичайно адаптивний, і кожна знищена платформа замінюється кількома меншими.

Для України, яка перебуває в стані повномасштабної війни, ставка особливо висока: наші персональні й корпоративні дані — це не просто товар на тіньовому ринку, а потенційний інструмент у руках ворога. Тому елементарні правила цифрової гігієни сьогодні — це не параноя, а внесок у безпеку країни.

Ця стаття Вкрадені дані, доступи до серверів і RaaS-сервіси: як влаштований сучасний тіньовий ринок кіберзлочинності раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Польський уряд підтвердив, що хакери, пов’язані з російським урядом, зламали частину енергетичної інфраструктури країни, скориставшись її слабким захистом. У п’ятницю команда реагування на комп’ютерні надзвичайні ситуації Польщі (CERT), що входить до Міністерства цифрових справ, опублікувала технічний звіт про інцидент наприкінці минулого року, коли підозрювані російські державні хакери атакували вітрові та сонячні електростанції, а також теплоелектроцентраль.

Елементарні помилки в безпеці

Згідно зі звітом, хакери не зустріли серйозного опору. Атаковані системи використовували стандартні логіни та паролі, а також не мали увімкненої багатофакторної автентифікації — обидві помилки є надзвичайно базовими прорахунками в кібербезпеці.

Зловмисники намагалися заразити зламані системи wiper malware — шкідливим програмним забезпеченням, призначеним для стирання та фактичного знищення систем. Можливо, вони намагалися вимкнути електропостачання, хоча їхня кінцева мета залишається незрозумілою. Атаки вдалося зупинити на теплоелектроцентралі, але не на вітрових та сонячних електростанціях, системи моніторингу та управління яких були виведені з ладу malware.

«Усі атаки мали суто деструктивний характер — за аналогією з фізичним світом їх можна порівняти з навмисними підпалами», — йдеться у звіті.

Атака не досягла мети

Хакерам не вдалося порушити енергопостачання в жодному з цільових об’єктів. Навіть якби їм це вдалося, за даними звіту, злом «не вплинув би на стабільність польської енергосистеми в той період».

Кібербезпекові компанії ESET та Dragos раніше опублікували звіти про атаки, які відбулися 29 грудня минулого року, звинувативши в них російську хакерську групу Sandworm. Ця група має задокументовану історію атак на енергетичну інфраструктуру України та вимкнення електроенергії в країні у 2015, 2016 та 2022 роках.

Суперечки щодо авторства атаки

Однак польський CERT звинуватив іншу російську державну хакерську групу, відому як Berserk Bear або Dragonfly. Ця група не відома деструктивними атаками, а радше займається традиційним кібершпигунством.

Ця стаття Російські хакери зламали енергомережу Польщі через слабку безпеку раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Компанія ESET виявила та проаналізувала шкідливе програмне забезпечення DynoWiper для знищення даних, націлене на енергетичну компанію в Польщі. Тактика та методи зловмисників під час атаки дуже нагадують попередній випадок, пов’язаний з поширенням в Україні шкідливої програми ZOV для знищення даних. Дослідники ESET відносять DynoWiper до російської групи кіберзлочинців Sandworm.

Варто зазначити, що у 2025 році спеціалісти ESET розслідували понад 10 інцидентів, пов’язаних з руйнівним шкідливим програмним забезпеченням групи Sandworm, майже всі з яких сталися в Україні.

29 грудня 2025 року зразки DynoWiper були розгорнуті у спільному каталозі в домені жертви. Можливо, зловмисники  Sandworm спочатку протестували роботу на віртуальних машинах, перш ніж розгорнути шкідливе програмне забезпечення в організації. DynoWiper стирає файли на всіх змінних та стаціонарних дисках і, нарешті, перезавантажує систему, завершуючи її знищення.

На відміну від інших шкідливих програм Sandworm, зокрема Industroyer та Industroyer2, нещодавно виявлені зразки DynoWiper зосереджені виключно на ІТ-середовищі, без виявлення функціоналу, спрямованої на промислові компоненти операційних технологій. Однак це не виключає ймовірності використання таких можливостей в інших частинах атаки.

Дослідники ESET виявили кілька подібностей з уже відомим руйнівним шкідливим програмним забезпеченням, зокрема з програмою ZOV для знищення даних, яку ESET з високою впевненістю приписує Sandworm. ZOV – це руйнівне шкідливе програмне забезпечення, яке було виявлено під час атаки на фінансову установу в Україні в листопаді 2025 року. Після запуску загроза ZOV перебирає файли на всіх стаціонарних дисках та стирає їх, перезаписуючи їхній вміст. Ще один випадок зі загрозою ZOV стався в енергетичній компанії в Україні 25 січня 2024 року.

Що таке Sandworm

Sandworm – це пов’язана з росією група кіберзлочинців, яка здійснює руйнівні атаки, спрямовані на широкий спектр організацій, зокрема державні установи, логістичні компанії, транспортні фірми, енергопостачальників, медіа-організації, компанії зернового сектору та телекомунікаційні компанії. Ці атаки зазвичай передбачають розгортання шкідливого програмного забезпечення для видалення файлів, стирання даних та виведення систем з ладу.

Крім України, група кіберзлочинців має десятирічну історію атак на компанії в Польщі, зокрема в енергетичному секторі. У жовтні 2022 року вона здійснила руйнівну атаку на логістичні компанії як в Україні, так і в Польщі, замаскувавши операцію під інцидент із програмою-вимагачем Prestige. Оскільки більшість кібератак Sandworm наразі спрямовані на Україну, компанія ESET тісно співпрацює з українськими партнерами, зокрема з Командою реагування на комп’ютерні надзвичайні події України (CERT-UA), для вчасного реагування та запобігання подібним атакам.

У разі виявлення шкідливої діяльності у власних IT-системах українські користувачі продуктів ESET можуть звернутися за допомогою до цілодобової служби технічної підтримки за телефоном +380 44 545 77 26 або електронною адресою support@eset.ua.

Ця стаття Російська хакерська група Sandworm атакувала енергетичну компанію в Польщі раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Компанія ESET підготувала огляд активності APT-груп кіберзлочинців з квітня до вересня 2025 року. Протягом цього періоду у всій Європі урядові установи залишалися основною ціллю атак із метою кібершпигунства для пов’язаних з росією APT-груп.

Російські групи продовжували зосереджуватися на цілях в Україні та країнах зі стратегічними зв’язками з Україною, водночас розширюючи свою діяльність на європейські організації. Фішинг залишався основним методом компрометації. Зокрема група RomCom використовувала «0-денну» уразливість у WinRAR для розгортання шкідливих DLL-файлів та створення різноманітних бекдорів. Діяльність групи була зосереджена переважно на фінансовому, виробничому, оборонному та логістичному секторах ЄС та Канади.

Gamaredon залишалася найактивнішою APT-групою, націленою на Україну, з помітним збільшенням інтенсивності та частоти операцій. Цей сплеск активності збігся з рідкісним випадком співпраці між російськими APT-групами, оскільки Gamaredon вибірково розгорнула один із бекдорів Turla. Набір інструментів Gamaredon продовжував розвиватися, наприклад, шляхом використання нових загроз для викрадення файлів або тунельних сервісів.

Група Sandworm зосередилася на Україні, але з метою руйнування, а не кібершпигунства. Зловмисники використовували загрози для знищення даних (ZEROLOT, Sting), націлюючись на урядові установи, компанії в енергетичному та логістичному секторах, а також зерновому секторі, ймовірно, з метою послаблення української економіки. Інші пов’язані з росією зловмисники, InedibleOchotense, здійснили фішингову атаку, видаючи себе за ESET. Кіберзлочинці використали електронні листи та повідомлення Signal з троянським інсталятором, який призводив до завантаження легітимного продукту ESET разом із бекдором Kalambur.

Пов’язана з білоруссю група FrostyNeighbor використала XSS-уразливість у Roundcube. Польські та литовські компанії стали мішенню для фішингових електронних листів нібито від імені польських підприємств. Електронні листи містили характерне використання та комбінацію маркованих списків та емодзі, структура яких нагадує контент, створений штучним інтелектом, що свідчить про можливе використання ШІ під час атаки. Доставлені компоненти містили загрозу для викрадення облікових даних та електронних листів.

В Азії APT-групи продовжували атакувати урядові установи, а також технологічний, інженерний та виробничий сектори. Пов’язані з Північною Кореєю хакери залишалися дуже активними в операціях, спрямованих на Південну Корею та її технологічний сектор, зокрема криптовалюту, яка є ключовим джерелом доходу для режиму.

У період з червня до вересня дослідники ESET також виявили кілька операцій FamousSparrow у всій Латинській Америці, переважно націлених на урядові установи. Цей регіон був основним фокусом групи в останні місяці.

Для протидії атакам APT-груп компаніям важливо забезпечити максимальний захист завдяки комплексному підходу до безпеки, зокрема подбати про потужний захист пристроїв за допомогою розширеного виявлення та реагування на загрози, розширеного аналізу у хмарі та шифрування даних, а також розуміти можливі вектори атак та особливості діяльності певних груп, які доступні саме у звітах про APT-загрози.

Дослідники ESET готують детальну технічну інформацію, постійно оновлюючи дані про діяльність певних APT-груп у формі розширених звітів, щоб допомогти відповідним організаціям захищати користувачів, критичну інфраструктуру та інші важливі активи від цілеспрямованих кібератак. Додаткові дані про розширені звіти APT, що надаються в рамках сервісу ESET Threat Intelligence, доступні за посиланням.

Детальніше про діяльність APT-груп читайте у повному звіті ESET.

У разі виявлення шкідливої діяльності у власних IT-системах українські користувачі продуктів ESET можуть звернутися за допомогою до цілодобової служби технічної підтримки за телефоном +380 44 545 77 26 або електронною адресою support@eset.ua.

Ця стаття Російські групи кіберзлочинців продовжують атакувати компанії в Україні та Європі раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Компанія ESET – лідер у галузі інформаційної безпеки – підготувала огляд активності APT-груп кіберзлочинців з жовтня 2024 до березня 2025 року. За цей період групи, пов’язані з росією, зокрема Sednit та Gamaredon, продовжували націлюватися на Україну та країни ЄС.

Україна зазнала найбільшої інтенсивності кібератак, спрямованих на критично важливу інфраструктуру та державні установи. Група Sandworm, пов’язана з росією, посилила руйнівні атаки на українські енергетичні компанії, розгорнувши нову шкідливу програму ZEROLOT для знищення даних.

Варто зазначити, що APT-група – це угруповання висококваліфікованих хакерів, діяльність яких часто спонсорується певною державою. Їхньою метою є отримання конфіденційних даних урядових установ, високопосадовців або стратегічних компаній і при цьому уникнення виявлення. Такі групи кіберзлочинців мають великий досвід та використовують складні шкідливі інструменти та раніше невідомі уразливості.

При цьому найбільш активною групою, спрямованою на Україну, залишалася Gamaredon. Зловмисники вдосконалили обфускацію коду шкідливих програм та використовували PteroBox, програму для викрадення файлів із застосуванням Dropbox.

«Відома група Sandworm була зосереджена переважно на компрометації української енергетичної інфраструктури. У нещодавніх випадках кіберзлочинці в Україні використали програму ZEROLOT для знищення даних. Для цього зловмисники несанкціоновано застосовували групову політику Active Directory в організаціях», – коментує Жан-Ян Бутен, директор ESET із дослідження загроз.

Інша російська група Sednit удосконалила використання уразливостей у вебпоштових сервісах, таких як RoundPress, Horde, Mdaemon та Zimbra. Також дослідники ESET виявили, що група успішно використала «0-денні» уразливості в поштовому сервері MDaemon (CVE-2024-11182) для атак українських компаній. Тоді як у кількох атаках Sednit на компанії у сфері оборони, розташовані в Болгарії та Україні, поширювалися фішингові листи електронної пошти як приманка.

Ще одна група RomCom, пов’язана з росією, продемонструвала розширені можливості використання «0-денних» уразливостей у Mozilla Firefox (CVE 2024 9680) та Microsoft Windows (CVE 2024 49039). Активна принаймні з 2022 року, ця група націлюється на українські державні установи та оборонний сектор, а також членів НАТО та європейські урядові організації.

В Азії пов’язані з Китаєм APT-групи продовжували атакувати урядові та академічні установи. У той же час пов’язані з Північною Кореєю групи суттєво активізували свою діяльність, спрямовану на Південну Корею, а саме на окремих осіб, приватні компанії, посольства та дипломатичний персонал.

При цьому китайська група Mustang Panda залишалася найактивнішою групою, яка націлювалася на урядові установи та компанії з морських перевезень за допомогою завантажувача Korplug та шкідливих USB-накопичувачів. Інша група, пов’язана з Китаєм, DigitalRecyclers продовжила атакувати урядові установи ЄС, розгортаючи бекдори RClient, HydroRShell та GiftBox. Тоді як група PerplexedGoblin використала новий шпигунський бекдор NanoSlate, націлюючись на урядову установу у Центральній Європі.

В інших країнах Азії групи, пов’язані з Північною Кореєю, були особливо активними у фінансово мотивованих кампаніях. Одна з таких DeceptiveDevelopment значно розширила свої цілі, використовуючи підроблені списки вакансій, переважно пов’язані з криптовалютами, блокчейнами та фінансами. Група використовувала інноваційні методи соціальної інженерії для поширення мультиплатформенного шкідливого програмного забезпечення WeaselStore. Крадіжка криптовалюти Bybit, яка приписується APT-групі TraderTraitor, була пов’язана з компрометацією ланцюжка постачання Safe{Wallet}, що призвело до втрати приблизно 1,5 мільярда доларів США.

APT-групи, пов’язані з Іраном, продовжили концентрувати свою увагу на регіоні Близького Сходу, орієнтуючись переважно на урядові організації, а також на підприємства виробничого та інженерного сектора в Ізраїлі. Крім того, дослідники ESET спостерігали значне глобальне зростання кібератак на технологічні компанії, що значною мірою пов’язано зі збільшенням активності групи DeceptiveDevelopment, пов’язаної з Північною Кореєю.

«Виділені активності є відображенням загальної картини загроз, які було досліджено протягом цього періоду. Вони демонструють ключові тренди та події, а також невелику частину інформації з кібербезпеки, що надаються користувачам ESET Threat Intelligence», – додав Жан-Ян Бутен, директор ESET із дослідження загроз.

Для протидії атакам APT-груп компаніям важливо забезпечити максимальний захист завдяки комплексному підходу до безпеки, зокрема подбати про потужний захист пристроїв за допомогою розширеного виявлення та реагування на загрози, розширеного аналіза у хмарі та шифрування даних, а також розуміти можливі вектори атак та особливості діяльності певних груп, які доступні саме у звітах про APT-загрози.

Дослідники ESET готують детальну технічну інформацію, постійно оновлюючи дані про діяльність певних APT-груп у формі розширених звітів, щоб допомогти відповідним організаціям захищати користувачів, критичну інфраструктуру та інші важливі активи від цілеспрямованих кібератак. Додаткові дані про розширені звіти APT, що надаються в рамках сервісу ESET Threat Intelligence, доступні за посиланням.

Детальніше про діяльність APT-груп читайте у повному звіті ESET.

У разі виявлення шкідливої діяльності у власних IT-системах українські користувачі продуктів ESET можуть звернутися за допомогою до цілодобової служби технічної підтримки за телефоном +380 44 545 77 26 або електронною адресою support@eset.ua.

Ця стаття Поширені APT-загрози: російські кібератаки посилюються в Україні та ЄС раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Шкідливе програмне забезпечення для знищення даних під назвою AcidPour, можливо, використовувалося для атак на чотирьох телекомунікаційних провайдерів в Україні, свідчать нові дані компанії SentinelOne.

Фірма з кібербезпеки також підтвердила зв’язок між шкідливим програмним забезпеченням і AcidRain, пов’язавши його з кластерами загрозливої активності, пов’язаними з російською військовою розвідкою.

“Розширені можливості AcidPour дозволять йому краще виводити з ладу вбудовані пристрої, в тому числі мережеві, IoT, великі сховища (RAID) і, можливо, пристрої ICS під управлінням дистрибутивів Linux x86”, – зазначають дослідники безпеки Хуан Андрес Герреро-Сааде і Том Хегель.

AcidPour – це різновид AcidRain, який використовувався для виведення з ладу модемів Viasat KA-SAT на початку російсько-української війни в 2022 році та виведення з ладу військового зв’язку України.

Він також спирається на можливості останнього, але націлений на системи Linux, що працюють на архітектурі x86. AcidRain, з іншого боку, скомпільований для архітектури MIPS.

Якщо AcidRain був більш універсальним, то AcidPour включає логіку для вбудованих пристроїв, мереж зберігання даних (SAN), пристроїв мережевого зберігання даних (NAS) і виділених RAID-масивів.

Тим не менш, обидва напрямки перетинаються, коли мова йде про використання викликів перезавантаження і методу, що використовується для рекурсивного очищення каталогів. Також ідентичним є механізм знищення пристроїв на основі IOCTL, який також має спільні риси з іншим шкідливим програмним забезпеченням, пов’язаним з Sandworm, відомим під назвою VPNFilter.

“Одним з найцікавіших аспектів AcidPour є його стиль кодування, що нагадує прагматичний CaddyWiper, який широко використовується проти українських цілей разом з такими відомими шкідливими програмами, як Industroyer 2″, – зазначають дослідники.

Шкідливе програмне забезпечення на мові C має функцію самознищення, яка перезаписує себе на диск на початку свого виконання, а також застосовує альтернативний підхід до стирання залежно від типу пристрою.

AcidPour приписують хакерській групі UAC-0165, яка асоціюється з Sandworm і має послужний список атак на об’єкти критичної інфраструктури України.

Команда реагування на комп’ютерні надзвичайні ситуації України (CERT-UA) у жовтні 2023 року встановила причетність зловмисників до атак на щонайменше 11 провайдерів телекомунікаційних послуг у країні в період з травня по вересень минулого року.

“[AcidPour] міг бути використаний у 2023 році, – сказав Гегель в інтерв’ю The Hacker News. “Цілком ймовірно, що зловмисники використовували інструментарій, пов’язаний з AcidRain/AcidPour, послідовно протягом всієї війни. Прогалина в цій перспективі свідчить про рівень розуміння громадськістю кібервторгнень – як правило, досить обмежений і неповний”.

Зв’язок із Sandworm ще більше підкріплюється тим фактом, що суб’єкт загрози, відомий як Солнцепек (він же Solntsepek або SolntsepekZ), заявив, що проник до чотирьох різних телекомунікаційних операторів в Україні і порушив роботу їхніх служб 13 березня 2024 року, за три дні до виявлення AcidPour.

За даними Державної служби спеціального зв’язку та захисту інформації України (ДССЗЗІ), “Солнцепек” є російською сучасною персистентною загрозою (APT), яка, ймовірно, пов’язана з головним управлінням генерального штабу збройних сил російської федерації (ГРУ), яке також оперує Sandworm.

Варто зазначити, що “Солнцепек” також звинувачували у зламі систем “Київстар” ще у травні 2023 року. Про злам стало відомо наприкінці грудня.

Хоча наразі незрозуміло, чи використовувався AcidPour під час останньої серії атак, це відкриття свідчить про те, що зловмисники постійно вдосконалюють свою тактику для проведення руйнівних атак і нанесення значних операційних збитків.

“Ця прогресія свідчить не лише про вдосконалення технічних можливостей зловмисників, але й про їхній виважений підхід до вибору цілей, які максимізують подальші ефекти, порушуючи критично важливу інфраструктуру та комунікації”, – зазначають дослідники.

Ця стаття Російські хакери могли атакувати українські телеком-компанії за допомогою оновленого вірусу AcidPour раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Українські органи кібербезпеки виявили, що російські державні хакери з угруповання, відомого як Sandworm, перебували у системах телекомунікаційного оператора “Київстар” щонайменше з травня 2023 року.

Про це вперше повідомило агентство Reuters.

Про інцидент, описаний як “потужна хакерська атака”, вперше стало відомо минулого місяця. Атака призвела до втрати доступу до мобільних та інтернет-послуг для мільйонів українців. Невдовзі після інциденту пов’язана з росією хакерська група під назвою “Солнцепек” взяла на себе відповідальність за атаку. При цьому, як раніше повідомляли у Держспецзв’язку, з високим рівнем упевненості активність цієї групи асоціюється з діяльністю угруповання Sandworm.

Ілля Вітюк, голова департаменту кібербезпеки Служби безпеки України (СБУ), підтвердив, що за цією атакою стоїть хакерське угруповання Sandworm, яке є штатним підрозділом російської воєнної розвідки і раніше неодноразово здійснювало кібератаки на українські об’єкти, зокрема і на операторів зв’язку та інтернет-провайдерів. Нагадаємо, що Sandworm потрапив до рейтингу найнебезпечніших людей в Інтернеті 2023 року по версії WIRED.

Ця група має досвід організації руйнівних кібератак, зокрема, Данія звинуватила цю хакерську групу в тому, що минулого року вона атакувала 22 компанії енергетичного сектору.

Ілля Вітюк також заявив, що атака на “Київстар” знищила майже всю інформацію з тисяч віртуальних серверів і комп’ютерів.

За його словами, інцидент “повністю знищив ядро телекомунікаційного оператора”, зазначивши, що зловмисники мали повний доступ, ймовірно, щонайменше з листопада, через кілька місяців після того, як отримали початковий доступ до інфраструктури компанії.

“Атака ретельно готувалася протягом багатьох місяців”, – сказав Вітюк у заяві, опублікованій на сайті СБУ.

Загалом, за словами Іллі Вітюка, з початку повномасштабного вторгнення Служба безпеки відпрацювала майже 9 тис. кібератак на державні ресурси та об’єкти критичної інфраструктури України.

Атака на “Київстар”, можливо, була легшою для хакерів  через схожість між ним і російським мобільним оператором “Білайн”, який був побудований на схожій інфраструктурі, сказав Вітюк.

Руйнування “Київстару” почалося 12 грудня близько 5:00 ранку за місцевим часом, коли президент України Володимир Зеленський перебував у Вашингтоні, закликаючи Захід продовжувати надавати допомогу.

Чому хакери обрали саме 12 грудня, незрозуміло, сказав він, додавши, що це не було випадковістю: “Можливо, якийсь полковник хотів стати генералом”.

Компанія “Київстар”, яка вже відновила свою роботу, заявила, що немає жодних доказів того, що персональні дані абонентів були скомпрометовані. Наразі невідомо, як зловмисник проник у мережу оператора.

Варто зазначити, що раніше компанія відкидала припущення про те, що зловмисники знищили її комп’ютери та сервери, як “фейкові”.

Ця інформація з’явилася після того, як раніше цього тижня СБУ повідомила, що вилучила дві камери онлайн-спостереження, які, ймовірно, були зламані російськими спецслужбами з метою шпигунства за силами оборони та об’єктами критичної інфраструктури в столиці України – Києві.

За даними відомства, компрометація дозволила зловмисникам отримати дистанційний контроль над камерами, налаштувати їхні кути огляду та підключити їх до YouTube, щоб захопити “всю візуальну інформацію в межах досяжності камери”.

Ця стаття Російські хакери місяцями мали прихований доступ до систем “Київстар” раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Щороку WIRED складає список найнебезпечніших людей, груп та організацій в Інтернеті – як тих, хто навмисно наражає на небезпеку невинних людей, так і тих, чиї дії, незалежно від їхніх намірів, дестабілізують світ, яким ми його знаємо, незліченними способами. Ось, в довільному порядку, вибір журналу WIRED на 2023 рік.

Ілон Маск

Рік тому, можливо, ще було б справедливо вважати Ілона Маска блискучим технологом, який час від часу проявляв деструктивні, тролінгові тенденції. У 2023 році ці тенденції, схоже, взяли гору над його публічною ідентичністю. Twitter, який тепер перейменовано на X завдяки примхам Маска, цього року запросив назад теоретиків змови на кшталт Алекса Джонса і навіть посилив антисемітські висловлювання одного з акаунтів. Коли рекламодавці поскаржилися, Маск примудрився в одній розмові і вибачитися за цей промах, і сказати їм: “Ідіть до біса”.

Перед цим, у липні, Маск заявив, що доходи його соціальної мережі від реклами впали вдвічі – все це ставить під сумнів, чи переживе ця колись центральна платформа для онлайн-спілкування за правління Маска, і в якому вигляді.

У розпал цього краху новий стартап Маска xAI випустив Grok – чат-бота зі штучним інтелектом, який Маск прославив тим, що він має менше обмежень, ніж ChatGPT від OpenAI. Маск зіткнувся із закликами до розслідування Комісії з цінних паперів і бірж через свої коментарі про те, як мавпи вмирали в експериментах, проведених його стартапом з виробництва мозкових імплантатів Neuralink. А в середині грудня Tesla відкликала майже всі моделі своїх автомобілів, проданих у США, щоб виправити функцію автопілота. Національна адміністрація безпеки дорожнього руху визнала, що заходи безпеки Tesla, спрямовані на те, щоб водії були уважними – а багато хто, без сумніву, не був, можливо, частково завдяки власним описам Маском функції асистованого водіння – були недостатніми.

П’ять років тому WIRED розмістив обличчя Маска на обкладинці з історією, яка описувала його особистість як доктора Джекіла і містера Хайда. Сьогодні стає зрозуміліше, яка сторона цієї роздвоєної особистості домінує.

Дональд Трамп

Минулого року, вперше з 2015 року, Дональд Трамп не увійшов до цього списку. Сподіваємося, вам сподобалася перерва!

Менш ніж за 11 місяців до президентських виборів у США 2024 року Трамп з великим відривом лідирує в республіканських первинних опитуваннях. Він використав свою відроджену популярність, щоб розпочати тривожні атаки на своїх уявних ворогів, в основному зі своєї власної платформи Truth Social, в якій домінує праве крило.

У своїх публікаціях він пообіцяв у разі обрання розпочати федеральне розслідування щодо медіа-компаній і журналістів, які його критикують, а також притягнути до відповідальності президента Байдена. Він говорив про дружину одного з суддів, який веде цивільний процес проти нього за звинуваченням у шахрайстві, і звинувачував своїх політичних опонентів у кримінальних звинуваченнях, висунутих проти нього за втручання у вибори і неналежне поводження з секретною інформацією. І він продовжував повторювати свої дискредитовані заяви про перемогу на виборах 2020 року, які, за даними Міністерства юстиції США, стали приводом для штурму Капітолію 6 січня 2021 року.

Більш того, все це може знайти сприйнятливу аудиторію серед прихильників Трампа. Це означає, що це може допомогти відкрити ще одне президентство, подібне до того, яке вивело США з Паризької угоди про зміну клімату, запровадило “заборону на в’їзд мусульман” та політику розділення сімей, демонтувало захист від пандемії та заперечувало серйозність Covid-19, коли сотні тисяч американців померли. І ось він знову повертається.

Сем Альтман

Керування компанією, яка, можливо, лідирує в гонці за розробку найбільш руйнівної технології, яку тільки можна собі уявити, є достатньою підставою для того, щоб вважати будь-кого одним з найнебезпечніших людей не тільки цього року, але й за всю історію людства. Якщо відкинути цей маленький нюанс, то на перший погляд Альтман може здатися найбільш доброзичливою людиною, яку тільки можна собі уявити на посаді генерального директора OpenAI. На диво, він вирішив не брати участі в капіталі компанії. В інтерв’ю та на слуханнях у Конгресі він виступає за посилення державного регулювання ШІ. Здається, він щиро вірить у процвітаюче майбутнє людства у світі після сингулярності.

Але листопадова коротка і драматична боротьба за владу в OpenAI показала менш обнадійливий бік лідера компанії і нещодавно консолідованого кола влади, що його оточує. У минулому Альтман стверджував, що дивна структура OpenAI, в якій некомерційна організація контролює комерційну компанію, пропонує певну форму самообмеження, що дозволяє тримати технологічні амбіції компанії на безпечному повідку. Але коли Альтман був звільнений радою директорів OpenAI і майже одразу повернув собі контроль над компанією, витіснивши кількох членів ради директорів, в тому числі двох ефективних альтруїстів, зосереджених на етиці, повідець обірвався. У цю нову епоху OpenAI перебуває під контролем однієї людини та її виконавчої команди, а також Microsoft, його корпоративного союзника та інвестора з капіталом у 2,8 трильйона доларів США.

Будемо сподіватися, що його план щодо майбутнього цієї технології, яка переверне світ, буде хорошим. У будь-якому випадку, його буде дуже важко зупинити.

Cl0p

У 2023 році програми-вимагачі відродилися. За даними криптовалютної компанії Chainalysis, він, схоже, стане другим найгіршим роком в історії за загальною сумою платежів, зібраних бандами хакерів-здирників, що займаються вимаганнями викупу. Але, мабуть, жодна група не завдала більшої шкоди цього року, ніж люди, які стоять за шкідливим програмним забезпеченням Cl0p.

У травні банда Cl0p почала використовувати вразливість нульового дня в програмному забезпеченні для передачі файлів MOVEit і скористалася нею, щоб здійснити шокуючу серію вторгнень в більш ніж 2 000 організацій, повідомляє компанія Emsisoft, що спеціалізується на програмному забезпеченні для вимагачів. Одна з жертв, медична компанія Maximus, втратила контроль над даними щонайменше 8 мільйонів людей. Хакери викрали дані уряду штату Мен про ще 1,3 мільйона осіб. Загалом постраждали щонайменше 62 мільйони людей, а хакери Cl0p залишаються на волі.

Alphv

Якщо Cl0p були найбезжальнішими хакерами-здирниками року, то Alphv, також відомі як Black Cat, безумовно, були в тісній конкуренції. Ця група, яка має зв’язки з хакерами, що здійснили кібератаку на Колоніальний трубопровід у 2021 році, отримала новий рівень популярності у вересні, коли вона націлилася на MGM Resorts International, вимкнувши комп’ютерні системи в мережі готелів і казино і, за оцінками MGM, завдавши збитків на 100 мільйонів доларів США. У більш широкому сенсі, ФБР стверджує, що Alphv скомпрометував понад тисячу організацій і отримав понад 300 мільйонів доларів у вигляді викупу.

У середині грудня ФБР оголосило, що вилучило темний сайт, на якому Alphv публікує викрадені дані своїх жертв. Через кілька годин сайт знову з’явився, і Alphv демонстративно оголосив, що “звільнив” його і більше не буде дотримуватися правила не націлюватися на системи критичної інфраструктури. Незабаром сайт знову був видалений. Але з огляду на те, що жоден з членів угруповання не був заарештований або навіть заочно звинувачений, хаос на ньому, швидше за все, триватиме.

Sandworm

Незважаючи на санкції, звинувачення і навіть нагороду в 10 мільйонів доларів, російська команда гіперагресивних хакерів військової розвідки, відома як “Sandworm”, все ще на волі – і продовжує діяти. Оскільки російське вторгнення в Україну наближається до свого третього жорстокого року, вони, схоже, переключили свою увагу на цей конфлікт.

Цього року з’ясувалося, що Sandworm здійснив третю кібератаку на українську енергосистему, яка призвела до відключення електроенергії, цього разу в розпал російського авіаудару по тому ж самому місту. Пізніше вона проникла в українські військові комунікації в рамках більш традиційного шпигунства, спрямованого на отримання переваги під час контрнаступу України. Докази вказують на відповідальність “Sandworm” за кібератаку, що сталася наприкінці 2023 року на телекомунікаційну компанію “Київстар” і призвела до відключення мільйонів людей від інтернету та мобільного зв’язку на тлі чергової серії ударів. Іншими словами, група продовжує заробляти репутацію найнебезпечніших хакерів кремля.

Volt Typhoon

Протягом багатьох років спільнота кібербезпеки запитувала себе, хто може бути “китайським Sandworm”. Цього року ми, мабуть, найближче підійшли до відповіді. У травні хакерська група, яку компанія Microsoft назвала Volt Typhoon, встановила шкідливе програмне забезпечення в електромережах континентальної частини США і Гуаму, в деяких випадках з явним наміром контролювати потік електроенергії на військові бази США. Нещодавно газета The Washington Post виявила, що цілі Volt Typhoon поширилися і на інші види критичної інфраструктури – від нафто- і газопроводу до великого порту на західному узбережжі і гавайського водоканалу.

Хоча наміри угруповання і його кураторів все ще далеко не зрозумілі, аналітики з кібербезпеки і геополітики все частіше вважають, що воно закладає основу для підриву ключових систем США в разі кризи – наприклад, вторгнення Китаю на Тайвань.

Ця стаття Найнебезпечніші люди в Інтернеті у 2023 році по версії WIRED раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Україна зазнала нової кібер-атаки з боку росії, яка передбачала розгортання раніше незадокументованого очищувача даних на базі Golang під назвою SwiftSlicer .

ESET приписала атаку Sandworm, національно-державному угрупованню, пов’язаному з військовою частиною 74455 Головного розвідувального управління Генерального штабу збройних сил російської федерації (ГРУ).

«Після виконання він видаляє тіньові копії, рекурсивно перезаписує файли, розташовані в %CSIDL_SYSTEM%drivers, %CSIDL_SYSTEM_DRIVE%WindowsNTDS та інших несистемних дисках, а потім перезавантажує комп’ютер», — повідомляє ESET у серії твітів.

Перезаписи досягаються шляхом використання випадково згенерованих послідовностей байтів для заповнення блоків довжиною 4096 байтів. Вторгнення було виявлено 25 січня 2023 року, додала словацька компанія з кібербезпеки.

«Зловмисники розгорнули очищувач SwiftSlicer за допомогою групової політики Active Directory», — розповів The Hacker News Роберт Ліповскі, старший дослідник зловмисного програмного забезпечення ESET. «Якщо зловмисне програмне забезпечення SwiftSlicer запущено, воно пошкоджує файли користувачів і робить комп’ютер неможливим для завантаження».

Sandworm, який також відстежується під іменами BlackEnergy, Electrum, Iridium, Iron Viking, TeleBots і Voodoo Bear, має історію проведення підривних і деструктивних кіберкампаній, націлених на організації по всьому світу, принаймні з 2007 року.

Витонченість дій хакерів підтверджується кількома різними ланцюжками знищення, які включають широкий спектр спеціальних інструментів, таких як BlackEnergy, GreyEnergy, Industroyer, NotPetya, Olympic Destroyer, Exaramel і Cyclops Blink

Лише у 2022 році, одночасно з військовим вторгненням Росії в Україну, Sandworm запустив WhisperGate , HermeticWiper , IsaacWiper , CaddyWiper , Industroyer2 , Prestige та RansomBoggs проти критичної інфраструктури в Україні.

«Поширення шкідливого програмного забезпечення Wiper під час конфлікту навряд чи є несподіванкою», — сказав дослідник Fortinet FortiGuard Labs Гері Ревай у звіті, опублікованому цього тижня, описуючи 2022 рік як рік wiper. «Це навряд чи можна монетизувати. Єдиним життєздатним варіантом використання є руйнування, диверсії та кібервійна».

Виявлення SwiftSlicer вказує на послідовне використання варіантів шкідливого програмного забезпечення Wiper російською супротивною групою в атаках, спрямованих на спустошення в Україні. Це ще одна ілюстрація зростаючого прийняття Golang суб’єктами загроз, враховуючи його рідну мультиплатформенну підтримку та відносну легкість розробки.

Ця подія також сталася після того, як Група реагування на комп’ютерні надзвичайні ситуації України (CERT-UA) пов’язала Sandworm із нещодавньою переважно невдалою кібератакою на національне інформаційне агентство Укрінформ.

Вторгнення, яке, як підозрюють, було здійснене не пізніше 7 грудня 2022 року, передбачало використання п’яти різних програм для видалення даних, а саме CaddyWiper, ZeroWipe, SDelete , AwfulShred і BidSwipe, націлених на системи Windows, Linux і FreeBSD. .

«Встановлено, що завершальний етап кібератаки розпочався 17 січня 2023 року», – йдеться в повідомленні CERT-UA. «Однак це мало лише частковий успіх, зокрема, щодо кількох систем зберігання даних».

Sandworm — не єдине угруповання, яке атакує Україну. Інші російські державні актори, такі як APT29 , COLDRIVER і Gamaredon , активно атакували низку українських організацій з початку війни.

Джерело: The Hacker News

Ця стаття Україну атаковано новим зловмисним програмним забезпеченням SwiftSlicer раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Україна опинилася під новим натиском програм-вимагачів, які віддзеркалюють попередні вторгнення, приписувані російському державному хакерському угрупованню Sandworm.

Словацька компанія з кібербезпеки ESET, яка назвала новий штам програм-вимагачів RansomBoggs , заявила, що атаки на кілька українських організацій вперше були виявлені 21 листопада 2022 року.

«Хоча зловмисне програмне забезпечення, написане в .NET, є новим, його розгортання схоже на попередні атаки, які приписують Sandworm», — заявила компанія в серії твітів у п’ятницю.

On November 21st #ESETResearch detected and alerted @_CERT_UA of a wave of ransomware we named #RansomBoggs, deployed in multiple organizations in Ukraine🇺🇦. While the malware written in .NET is new, its deployment is similar to previous attacks attributed to #Sandworm. 1/9 pic.twitter.com/WyxzCZSz84

— ESET research (@ESETresearch) November 25, 2022

Група Sandworm, яку Microsoft відслідковує як Iridium, була причетна до низки атак, спрямованих на транспортні та логістичні сектори в Україні та Польщі за допомогою іншого штаму програм-вимагачів під назвою Prestige у жовтні 2022 року.

Повідомляється, що діяльність RansomBoggs використовує сценарій PowerShell для розповсюдження програм-вимагачів, причому перший «майже ідентичний» тому, який використовувався в атаках зловмисного програмного забезпечення Industroyer2 , про які стало відомо в квітні.

За даними Групи реагування на надзвичайні ситуації в області комп’ютерних ситуацій України (CERT-UA), сценарій PowerShell під назвою POWERGAP використовувався для розгортання зловмисного програмного забезпечення CaddyWiper для очищення даних за допомогою завантажувача під назвою ArguePatch (він же AprilAxe).

Аналіз нової програми-вимагача ESET показує, що вона створює випадково згенерований ключ, шифрує файли за допомогою AES-256 у режимі CBC і додає розширення файлу «.chsch».

Sandworm, елітна ворожа хакерська група російського військового розвідувального управління ГРУ, має сумнозвісний досвід атаки на критичну інфраструктуру протягом багатьох років.

Зловмисника пов’язують із кібератаками NotPetya на лікарні та медичні установи у 2017 році та руйнівними атаками на українську електромережу у 2015 та 2016 роках.

Джерело: HackerNews

Ця стаття Російська програма-вимагач RansomBoggs націлилася на кілька українських організацій раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Уряд США у вівторок оголосив про винагороду до 10 мільйонів доларів за інформацію про шістьох хакерів, пов’язаних із російською військовою розвідкою.

«Ці особи брали участь у зловмисній кібер-діяльності від імені російського уряду проти критичної інфраструктури США, порушуючи Закон про комп’ютерне шахрайство та зловживання», – йдеться у програмі Держдепартаменту Rewards for Justice.

REWARD! Up to $10M for information on 6 Russian GRU hackers. They targeted U.S. critical infrastructure with malicious cyber ops. Send us info on their activities via our Dark Web-based tips line at: https://t.co/WvkI416g4Whttps://t.co/oZCKNHU3fY pic.twitter.com/u1NMAZ9HQl

— Rewards for Justice (@RFJ_USA) April 26, 2022

Усі шість російських офіцерів є членами передової групи стійких загроз під назвою Sandworm (він же Voodoo Bear або Iron Viking), яка, як відомо, діє принаймні з 2008 року з особливим акцентом на цілях в Україні з метою незаконного отримання високочутливих даних.

Хакери, які є співробітниками Головного розвідувального управління Генерального штабу Збройних сил РФ (ГРУ):

• Артем Валерійович Очіченко , який був пов’язаний з технічними розвідками та кампаніями фішингу, щоб отримати несанкціонований доступ до ІТ-мереж об’єктів критичної інфраструктури по всьому світу;

• Петро Миколайович Пліскін , Сергій Володимирович Детистов ,  та Юрій Сергійович Андрієнко , які, як кажуть, розробили компоненти зловмисного програмного забезпечення NotPetya та Olympic Destroyer, використовуваного урядом Росії 27 червня 2017 року для зараження комп’ютерних систем;

• Анатолій Сергійович Ковальов , якого звинувачують у розробці методів фішингу та повідомлень, які російський уряд використовує для злому комп’ютерних систем об’єктів критичної інфраструктури.

15 жовтня 2020 року Міністерство юстиції США звинуватило вищезгаданих офіцерів у здійсненні руйнівних атак зловмисного програмного забезпечення з метою порушити та дестабілізувати інші країни та завдати грошових збитків, звинувативши їх у змові з метою шахрайства та крадіжки особистих даних.

В рамках ініціативи Rewards of Justice створили веб-сайт Tor за адресою “he5dybnt7sr6cm32xt77pazmtm65flqy6irivtflruqfc5ep7eiodiad[.]onion”, на якому можна анонімно надсилати поради про цих суб’єктів загрози або, як альтернативу, ділитися інформацією через Signal, Telegram або WhatsApp.

Останнім часом колектив Sandworm був пов’язаний із тепер нейтралізованим складним шкідливим програмним забезпеченням для ботнетів під назвою Cyclops Blink , яке захопило підключені до Інтернету пристрої та маршрутизатори брандмауера від WatchGuard та ASUS.

Серед інших нещодавніх хакерських дій, пов’язаних із групою, – розгортання оновленої версії шкідливого програмного забезпечення Industroyer на високовольтних електричних підстанціях в Україні на тлі триваючого вторгнення.

Ця стаття США виплатять 10 мільйонів доларів за інформацію про 6 російських військових хакерів раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня