CMD Organization предлагает ставки на доступ к украденным данным

CMD Organization, новый оператор программ-вымогателей, впервые проявил активность в конце марта 2026 года. В начале апреля на его сайте утечек появились жертвы. Группа применяет двойное вымогательство, похищая и шифруя данные. На сайте также работает криптовалютная платформа для ставок: третьи лица могут делать ставки на эксклюзивный доступ к украденной информации до её публичного раскрытия. Платформа усиливает давление на жертв и служит дополнительным каналом монетизации.

Проникновение в сеть и закрепление

Наблюдаемое вторжение началось с результата поиска в Bing, подвергнутого SEO-отравлению. Он вёл к поддельному PDF-файлу в архиве, внутри которого находился закодированный загрузчик на JavaScript. Загрузчик запускался с помощью cscript.exe и выполнял обфусцированную полезную нагрузку PowerShell с функциями противодействия анализу. Для получения дополнительного кода она соединялась с 167.99.233[.]78. Поставщики средств защиты связали эту активность и способ загрузки в память с потенциальными индикаторами StealC.

Между получением первоначального доступа и запуском шифровальщика прошло около 25 дней. По оценке исследователей, это может указывать на получение доступа через брокера первоначального доступа. Для разведки актор применял Advanced IP Scanner. Собранные учётные данные использовались вместе с общедоступным сценарием Invoke-SMBRemoting для удалённого выполнения команд и создания интерактивных сессий без использования файлов.

Для закрепления в системе применялась DLL, идентифицированная как бэкдор Meow. Она взаимодействовала по протоколу HTTPS с адресом 188.190.2[.]165:666. Сценарии PowerShell регистрировались как элементы автозагрузки в пользовательских ключах реестра Run. Их обманные имена имитировали установочные файлы Microsoft Teams.

Развёртывание и шифрование

Шифровальщик CMD распространялся через групповые политики и SYSVOL, в том числе под именем paste1.exe. Он использует ChaCha20 и RSA, поддерживает полное и частичное шифрование. В зашифрованные файлы добавляются метаданные между маркерами CMD. Они содержат исходный размер файла, процент шифрования, режим шифрования и ключ.

Шифровальщик нацелен на форматы файлов баз данных и приложений, в том числе:

• Microsoft Access;
• Oracle;
• Exchange;
• Lotus Notes;
• KeePass.

В шифровальщике нет встроенных механизмов перемещения внутри компании и других оптимизаций развёртывания. Авторы отчёта считают, что это указывает на относительно ограниченную операционную зрелость и возможную зависимость от стороннего программного обеспечения.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.