Positive Technologies выявила APT-группировку, годами шпионившую в сети госучреждения
Изображение: OpenAI
Эксперты департамента комплексного реагирования на киберугрозы Positive Technologies (PT ESC IR) обнаружили новую APT-группировку — StingyBasilisk. Злоумышленники занимались шпионажем в инфраструктуре одного из госучреждений. Почти четыре года они сохраняли скрытый доступ к его внутренней сети, маскируя вредоносные инструменты под средства защиты, которыми пользовалась сама организация.
Команда PT ESC IR впервые обнаружила группировку StingyBasilisk в 2026 году в ходе расследования инцидента в госучреждении. Анализ показал, что злоумышленники действовали в инфраструктуре как минимум с апреля 2022 года. Исходный вектор заражения установить не удалось, однако специалисты выявили разветвленную сеть агентов, которыми киберпреступники управляли через именованные каналы Windows (named pipes).
С февраля 2026 года группировка начала активно расширять зону присутствия в сети. Перемещение внутри периметра выполнялось с использованием протокола SMB, а удаленный запуск — с помощью планировщика заданий Windows. В арсенале злоумышленников были такие инструменты, как SilentCOM, TediousLoader и CunningDoor. Все они представляли собой программные модули, которые запускали вредоносный код прямо в оперативной памяти зараженного компьютера.
Для скрытного закрепления на скомпрометированных устройствах применялись различные инструменты и техники, в частности COM Hijacking и Time Providers. Первая позволяла подменять ссылки на легитимные COM-компоненты Windows, а вторая регистрировала DLL-библиотеку как поставщика времени службы W32Time.
«APT-группировка StingyBasilisk представляет собой одну из наиболее сложных угроз, с которыми мы столкнулись в 2026 году, — отмечает Даниил Григорян, ведущий специалист департамента комплексного реагирования на киберугрозы (PT ESC IR). — У нее есть собственный инструмент для скрытого управления, код которого не сохраняется на диске. Расследование показало, что злоумышленники находились во внутренней сети организации 1398 дней до обнаружения инцидента. Поэтому при расследовании важно искать следы более ранней активности: обнаруженный эпизод может оказаться частью многолетней кампании».
Чтобы снизить риск подобных атак, организациям рекомендуется провести инвентаризацию инфраструктуры и определить системы, компрометация которых может нанести наибольший ущерб. Особого внимания требуют контроллеры домена, серверы централизованного управления и другие критически важные ресурсы. Для них необходимо усилить контроль доступа, обеспечить регулярное обновление и мониторинг активности. При этом важно проверять инфраструктуру на признаки компрометации: злоумышленники могут длительное время оставаться незамеченными, маскируя свои инструменты под легитимное ПО.
