Хакерская группировка атаковала органы власти в регионах России перед выборами в Госдуму

Неизвестная хакерская группировка атаковала органы исполнительной власти в российских регионах накануне начинающихся 18 сентября выборов в Государственную Думу. Как рассказали «Ленте.ру» аналитики департамента Threat Intelligence экспертного центра безопасности Positive Technologies (PT), основной целью взломщиков стал шпионаж.

«Для получения первоначального доступа в инфраструктуру группировка использует вредоносные вложения к электронным письмам, рассылаемым на служебные адреса электронной почты сотрудников атакуемых учреждений. Для снижения бдительности и отвлечения внимания жертв атакующими используется тематика предстоящих выборов в Государственную Думу и PDF-документы с предвыборными материалами и планами одной из российских политических партий», — отметили исследователи.

Они отметили, что группировка использует в качестве вложения к таким письмам образ оптического диска — файл с расширением .iso. При его открытии в системе монтируется логический диск с тремя экземплярами вредоносных загрузчиков с расширением .exe, маскирующихся под PDF-документы, для чего применяется подмена иконок.

Запуск этих файлов становится переходной точкой к следующим этапам заражения. Сначала с удаленного сервера загружается вредоносный модуль предварительной разведки, собирающий сведения о скомпрометированной системе. После этого в ней запускается самописный бэкдор группировки, передающий команды от атакующих и отправляющий обратно результаты их выполнения.

«Данные киберразведки позволили связать описанную активность с более ранними кибератаками не атрибутированной APT-группировки, впервые обнаруженной и отслеживаемой департаментом Threat Intelligence экспертного центра безопасности Positive Technologies с мая 2026 года. К настоящему времени группировка провела как минимум шесть кампаний кибершпионажа, целями которых, в частности, были структуры Министерства обороны и Федеральной службы исполнения наказаний России», — уточнили в Positive Technologies.

При этом, по мнению аналитиков, применение сложной логики заражения, использование вредоносных модулей и бэкдора собственной разработки свидетельствуют о высокой квалификации атакующих.