Backdoor.Mistic усиливает атаки Woodgnat и связку с Qilin
Backdoor.Mistic — новая обнаруженная backdoor-программа, активная с апреля 2026 года, которую преимущественно использует хакерская группировка Woodgnat, также известная как KongTuke. По данным отчета, этот инструмент связан с различными ransomware-операциями, прежде всего с Qilin, и часто разворачивается совместно с ModeloRAT — Python-based RAT для удаленного доступа.
Анализ показывает, что Woodgnat действует как поставщик первоначального доступа, а не как группа, которая непосредственно доставляет финальную вредоносную нагрузку. Иными словами, ее задача — закрепиться в инфраструктуре жертвы, обеспечить устойчивый remote access и затем передать этот доступ аффилиатам ransomware-операторов.
Как работает Backdoor.Mistic
Для установки backdoor используется техника sideloading. В этой цепочке задействуется легитимный файл MpExtMs.exe, который инициирует загрузку вредоносной DLL-библиотеки EndpointDlp.dll. Такой подход позволяет Mistic маскироваться под доверенное программное обеспечение и тем самым снижать риск обнаружения.
После запуска backdoor получает команды с C2-сервера и выполняет их полностью в памяти, без записи файлов на диск. Это повышает скрытность, затрудняет форензику и помогает сохранять доступ к системе в течение более длительного времени.
- manipulation with files;
- execution of commands;
- self-destruction via kill switch.
Наличие kill switch указывает на продуманную архитектуру вредоносного кода: оператор может отключить backdoor, если это потребуется для сохранения операции или сокрытия следов.
Тактика Woodgnat: от социальной инженерии до living-off-the-land
Операции Woodgnat характеризуются оппортунистическими атаками на разные сектора, включая страхование, образование, ИТ и профессиональные услуги. Это говорит не о фокусе на одной отрасли, а о стремлении получить доступ к высокоценным организациям в целом.
Группа использует широкий набор техник, среди которых:
- social engineering для обмана пользователей и принуждения их к запуску вредоносных PowerShell-команд;
- WinPython для запуска ModeloRAT;
- Node.js для выполнения JavaScript и командной цепочки;
- living-off-the-land-подход с использованием встроенных средств Windows;
- Net.exe для reconnaissance;
- Curl для exfiltration данных.
Особое внимание в отчете уделяется устойчивости операций Woodgnat. Группа поддерживает несколько путей C2 и использует зашифрованные коммуникации, особенно в случаях, когда жертва не присоединена к domain. Это демонстрирует высокий уровень подготовки и стремление затруднить обнаружение и блокировку инфраструктуры.
Почему Backdoor.Mistic важен для threat landscape
Появление Backdoor.Mistic отражает заметную тенденцию в развитии cyber threat landscape: злоумышленники все чаще используют custom malware, созданный специально под конкретные операции ransomware. Такой подход усложняет защиту, поскольку атакующие отходят от reliance на массово используемые dual-use tools и переходят к более специализированным инструментам.
Woodgnat, по оценке отчета, остается значимым adversary, за которым необходимо следить. Его способность адаптироваться, выстраивать долгосрочный доступ и тесно сотрудничать с аффилиатами ransomware-групп делает его важным элементом современной экосистемы киберугроз.
Woodgnat позиционируется как значимый злоумышленник, за которым необходимо следить, особенно в том, как он может адаптироваться и внедрять инновации в сотрудничестве с аффилированными лицами программ-вымогателей.
В совокупности Backdoor.Mistic и сопутствующие инструменты, такие как ModeloRAT, показывают, что киберпреступные операции становятся все более гибкими, скрытными и технологически зрелыми. Для defenders это означает необходимость уделять особое внимание поведению в памяти, цепочкам sideloading, необычной активности PowerShell, а также аномалиям в использовании Net.exe, Curl и Node.js.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
