UNC6293 использовал два домена для фишинга через OAuth

Анализ инфраструктуры, связанной с российскими кибершпионскими кластерами, охватывает отслеживание доменов, IP-адресов и артефактов хостинга. Большинство доменов и IP-адресов, связанных с UNC6293, не подтверждены как его инфраструктура, хотя общие метаданные могут указывать на копирование контента или использование прокси-серверов.

Домены и фишинговая инфраструктура UNC6293

UNC6293 использовал домены foreignrelations[.]us и dosportal[.]app для поддержки фишинга с использованием OAuth. Исторические данные DNS и WHOIS связали регистрацию foreignrelations[.]us с адресом электронной почты given956[@]2200freefonts[.]com. Этот адрес также связывали с двумя дополнительными доменами. Инфраструктуру зарегистрировали или она стала активной в ноябре 2025 года.

Потенциальные копии или прокси-серверы сайта Совета по международным отношениям (Council on Foreign Relations) выявляли по значению fb:app_id в HTML-коде, равному 1202896923085736.

На поддоменах stateaffairs[.]us с 13 января по 2 февраля 2026 года, а также на поддоменах the-washington-ballet[.]com 24 и 25 декабря обнаружили возможные конфигурации Evilginx. Эти хосты перенаправляли пользователей на легитимные сайты органов власти США или Вашингтонского балета. Такое поведение соответствует фишинговой инфраструктуре, предназначенной для сокрытия вредоносной деятельности.

UNC7005, UNC5976 и методы поиска

UNC7005 разделяет с UNC6293 характеристики целевой аудитории, однако исследователи отслеживают его отдельно. К различиям между кластерами относятся уровень изощрённости, оперативная безопасность, используемая инфраструктура и применение вредоносного программного обеспечения. В деятельность UNC7005 входили фишинговые атаки с использованием кодов устройств Microsoft, а также попытки скомпрометировать аккаунты WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) с помощью фишинга с использованием кодов устройств.

Домен my-invite[.]org использовали для фишинга по электронной почте. Он разрешался в IP-адрес 104.194.159[.]150, на котором также размещалась связанная инфраструктура ms365-live[.]com. Примерно 12 мая 2026 года фишинговую страницу изменили: вместо академической лекции она стала имитировать форум GLOBSEC.

UNC5976 использовал домен drive[.]google[.]verify-drive[.]com в кампании фишинга с использованием OAuth. Переход по IP-адресу 93.127.160[.]28 оценили как ненадёжный признак: позднее на этот адрес указывало множество несвязанных доменов, а смена заголовка сервера с nginx на Apache указывала на возможную смену владельца или хостинг-провайдера.

Для поиска угроз также использовали:

• переход по сертификатам и заголовкам страниц;
• анализ виртуальных хостов;
• сопоставление времени регистрации;
• исторические данные DNS;
• HTTP-заголовки;
• фавиконки;
• данные WHOIS.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.