Законодатели на защите данных
Оперативный штаб Правительства Российской Федерации по борьбе с кибермошенничеством утвердил новые сценарии противодействия онлайн-преступлениям в рамках государственной системы «Антифрод». Заседание штаба провел вице-премьер, руководитель аппарата Правительства Дмитрий Григоренко.
Система «Антифрод» обеспечивает взаимодействие государственных органов и коммерческих организаций. Она предназначена для оперативного обмена данными в целях противодействия киберпреступности. Платформа была создана в рамках первого комплекса мер по борьбе с кибермошенничеством и введена в эксплуатацию в марте 2026 года.
Участники системы «Антифрод» получили возможность оперативно обмениваться данными о мошенниках и блокировать их учетные записи на цифровых платформах. Кроме того, налажен обмен сведениями об учетных записях лиц, пострадавших от действий злоумышленников. Данная мера направлена на защиту пользователей от повторных атак.
Актуальные мошеннические схемы
В первом полугодии абоненты в возрасте до 18 лет получили почти 93 миллиона нежелательных звонков, что свидетельствует о целенаправленных мошеннических атаках на несовершеннолетних. Злоумышленники используют пять основных сценариев: чаще всего они представляются сотрудниками операторов связи и представителями государственных органов, предлагают варианты дополнительного заработка, а также звонят от имени служб доставки, маркетплейсов и медицинских учреждений.
Наиболее уязвимой категорией признаны дети в возрасте от 11 до 14 лет, на которые приходится почти половина всех зафиксированных случаев. Кроме того, значительный риск существует и для более младших возрастных групп: 20,7% звонков поступает абонентам в возрасте от шести до десяти лет. В ходе мошеннических операций злоумышленники вынуждают детей фотографировать банковские карты, а также выуживают информацию о месте работы родителей и материальном положении семьи.
Для противодействия данной угрозе рекомендуется вести разъяснительные беседы с детьми. Необходимо разъяснить им простые правила безопасности: при упоминании в разговоре денежных средств или документов следует немедленно прекратить общение. Сотрудники государственных органов никогда не запрашивают фотографии жилых помещений, полицейские не привлекают детей к оперативным мероприятиям, а банковские учреждения не требуют содействия в проверке карт и счетов. Несмотря на то, что за прошедший год количество мошеннических звонков сократилось примерно на 35%, полная защита от подобных угроз на данный момент отсутствует.
Новые уязвимости
Исследователи F6 сообщают о новой угрозе российскому бизнесу, связанной с деятельностью группировки, назвавшей себя VantaCore, на счету которой уже не менее жертв.
Атакующие имеют явно нескромные аппетиты: суммы запрашиваемых выкупов составляют миллионы долларов. Однако по мнению специалистов, есть все основания считать, что новая группировка - ребрендинг ранее известной проукраинской группы - Thor.
Как ранее отмечала F6, последнее время фиксируется консолидация и перегруппировка проукраинских группировок.
Кроме того, наметилась тенденция отказа проукраинских кибербанд от LockBit 3 Black и Babuk в пользу перехода на программы‑вымогатели собственной разработки.
В марте F6 уже сообщала о перевооружении Bearlyfy на собственные шифровальщики GenieLocker. В августе же были выявлены атаки группировки VantaCore с использованием программы‑вымогателя собственной разработки VantaCore.
Вероятно, участники VantaCore, как и пропавшие с «радаров» их коллеги из Shadow, решили создать имидж солидной партнерской программы вымогателей и создали DLS с информацией об атаках на различные компании в июне этого года.
VantaCore использует схему двойного и тройного вымогательства для дополнительного давления на жертву. Похищенные данные спустя некоторое время продаются или распространяются на их ресурсах, а затем используются для организации новых атак.
Как и полагается «солидной» международной RaaS общение вымогателей с жертвой происходит в чате в сети Tor. Ссылка на него содержится в записке с требованием выкупа за расшифровку.
Даже если не вдаваться глубоко в детали, уже визуально по дизайну чатов прослеживается взаимосвязь с группировкой Thor. DLS VantaCore был развёрнут не позднее 7 июня 2026 года, на что указывают цифровые следы, оставленные при его создании.
Кроме того, при анализе ресурса по пути /favicon.ico была обнаружена иконка с надписью «THOR», выполненной руническим письмом, что может дополнительно указывать на связь VantaCore с кибергруппировкой Thor.
В качестве начального вектора VantaCore используют все возможные варианты, которые могут привести к получению злоумышленниками доступа к ИТ‑инфраструктуре жертвы: слабозащищенные публично доступные RDP, VPN, уязвимости в публичных приложениях, скомпрометированные учетные данные партнеров жертвы и тп.
Поведение участников VantaCore в скомпрометированной инфраструктуре не сильно отличается от многих группировок вымогателей, их тактики, техники и процедуры во многом эффективны, хотя и не являются изощренными и инновационными.
Их цель прежде всего - нажиться на жертве. Одна из особенностей, отличающая VantaCore от многих других группировок - использование постэксплуатационных инструментов собственной разработки.
Для перемещений по атакуемой инфраструктуре атакующие используют добытые в ходе развития атаки легитимные учетные записи и преимущественно протоколы SMB и RDP. Для сетевой разведки используются как сетевые сканеры, так и легитимные утилиты.
На скомпрометированных Windows‑системах злоумышленники закрепляются, создавая системные службы, а в качестве средств удаленного доступа ими используются свободно распространяемая программа удаленного доступа Tactical RMM и бэкдор собственной разработки VantaCoreRAT.
Изучив скомпрометированную инфраструктуру и получив полный контроль над ней, злоумышленники производят эксфильтрацию данных жертвы, а затем приступают к заключительному этапу атаки.
На этом этапе вымогатели реализуют деструктивные действия в отношении систем резервного копирования и шифруют критически важную информацию, что в результате позволяет им вымогать денежные средства за их расшифровку.
Для шифрования данных на устройствах серверного и пользовательского сегментов атакующие используют программу‑вымогатель VantaCore.
Ее доставка и запуск осуществляется как вручную, в контексте нелегитимных RDP‑сессий, так и с помощью собственного инструмента автоматизации VantaCoreLoader, который используется для массовой доставки и запуска программы‑вымогателя на все выявленные хосты, используя схожие c PsExec/WinExec механизмы.
создание сайта