Чистые данные: еженедельник безопасности

Законодатели на защите данных

Председатель Правительства Михаил Мишустин подписал распоряжение об утверждении Концепции повышения уровня цифровой грамотности граждан России. Она направлена на формирование навыков безопасного и эффективного использования цифровых технологий в повседневной, образовательной и профессиональной деятельности, призвана повысить общий уровень защищённости граждан страны от цифровых угроз.

Концепция определяет основные направления работы по повышению цифровой грамотности граждан. Так, в числе задач, которые планируется решить в рамках этого документа, разработка и утверждение единых правил и рекомендаций по безопасному поведению в цифровом пространстве, внедрение типовых алгоритмов правового реагирования для людей, столкнувшихся с цифровыми преступлениями. 

Кроме того, концепцией предусмотрено формирование специализированного перечня правил по взаимодействию с системами искусственного интеллекта, включая методы верификации контента на предмет наличия признаков синтетической генерации (дипфейков) и правила минимизации рисков при передаче биометрических и иных персональных данных алгоритмам машинного обучения.

Единые правила и рекомендации по безопасному поведению в цифровом пространстве планируется интегрировать в образовательные программы в детских садах, школах, колледжах и вузах, внедрять в корпоративные образовательные программы в области цифровой грамотности.

Кроме того, цифровой безопасности будут обучаться педагоги и социальные работники, сотрудники многофункциональных центров государственных и муниципальных услуг, специалисты центров занятости, сотрудники банков и операторов связи, работающие с гражданами.

Актуальные мошеннические схемы 

Мошенники способны собирать персональные данные без взлома устройств, используя открытые источники, утечки информации и социальные сети. Для получения сведений не требуется взламывать жертву; данные извлекаются из различных источников. Открытые источники представляют значительную опасность, поскольку через них можно установить имя, город проживания, место работы, контакты родственников, а также получить фотографии. Сбор информации осуществляется фрагментарно: например, один пост раскрывает место работы, другой — даты отпуска, а профиль родственника предоставляет дополнительные сведения. Информация поступает к злоумышленникам через утечки из компаний, вызванные взломами информационных систем, кражей данных или уязвимостями в программном обеспечении. Кроме того, значительный объем сведений можно получить, перехватив доступ к электронной почте или аккаунту в социальной сети.

Новые уязвимости 

Исследователи Лаборатории Касперского в новом отчете представили детальный анализ инструментария группировки Hacking Cat.

Hacking Cat (Хакерский кiт) представляет собой группировку хактивистов, осуществляющую атаки на организации в России из различных секторов экономики. Активности группировки освещаются в Telegram-канале, созданном в феврале 2024 года.

До лета 2025 года основными направлениями деятельности канала были дефейсы веб-сайтов, утечки данных и предоставление инструментов для пентеста. Впоследствии группировка изменила профиль, перейдя к проведению кампаний, направленных на шифрование и уничтожение данных.

Hacking Cat активно взаимодействует с другими хактивистскими группировками, такими как Cyber Anarchy Squad и Ukrainian Cyber Alliance, что усложняет процесс атрибуции инструментария к конкретным злоумышленникам.

Вместе с тем ЛК удалось обнаружить и провести всесторонний анализ ранее не описанного вредоносного ПО — Gorilla RAT и Monkey Ransomware, которое с высокой степенью уверенности относится к арсеналу Hacking Cat, поскольку фиксировалось исключительно в атаках данной группировки.

Кроме того, исследователи изучили ряд инструментов, применявшихся в совместных атаках с Cyber Anarchy Squad и Ukrainian Cyber Alliance.

В качестве вектора первоначального доступа злоумышленники используют уязвимости в серверах Exchange — предположительно CVE-2021-26855 и CVE‑2026‑42897.

При успешной эксплуатации в системе разворачивается самописный инструмент удаленного доступа Gorilla RAT. Он обладает функциональностью для туннелирования трафика, что позволяет злоумышленникам получать доступ к внутренней сети жертвы извне.

До января 2026 года Hacking Cat использовала классическую обратную оболочку (reverse shell), написанную на Go с использованием WebSocket.

Gorilla RAT также написан на Go с использованием WebSocket и содержит тот же C2-адрес и такую же проверку продолжительности сна. Сам адрес зашифрован с помощью побайтового преобразования с использованием четырехбайтного ключа, который находится внутри агента.

В некоторых случаях Gorilla RAT распространялся в UPX-архивах, в других — в виде несжатого исполняемого файла. В качестве C2 в Gorilla RAT чаще всего используется IP 179.43.186[.]239. По этому адресу ЛК обнаружила административную панель Lissa C2.

Аналогичная панель была обнаружена и на другом сервере — 31.7.58[.]226, который также использовался в качестве C2 для Gorilla RAT. Спустя некоторое время название панели было изменено на XOXOL.

В системах нескольких жертв Hacking Cat было выявлено множество вариаций шифровальщика Monkey Ransomware, написанных на разных языках: Rust, .NET, C++ и Golang.

Зловред впервые появился в конце лета — начале осени 2025 года, однако с тех пор злоумышленники создали значительное количество различных образцов с незначительными вариациями в функциональности.

Вариация Monkey Ransomware на Rust генерирует 32-байтовый ключ и шифрует файлы жертвы с помощью ChaCha20-Poly1305. Некоторые варианты не сохраняют ключ, что фактически превращает их в полноценный вайпер.

Вариация на .NET распространяется в виде приложения .NETCoreApp. Образец генерирует 32-байтовый ключ, отправляет его на C2 и шифрует файлы жертвы с помощью AES-256-CBC.

Версия на C++ обладает схожей функциональностью с версиями на .NET и Rust с незначительными отличиями. Версия на Golang используется в системах Linux и ESXi.

В процессе проактивного мониторинга угроз в ЛК также был обнаружен другой шифровальщик, который использовал отличные от Monkey Ransomware алгоритмы шифрования и присваивал файлам расширение .hydra_ransomware. 

В целом, как свидетельствует анализ инструментария группировки, Hacking Cat экспериментирует с функциональными возможностями шифровальщика, а при разработке используются генеративные модели. При этом различные хактивистские группировки в ходе атак применяют одни и те же самописные инструменты, включая многоступенчатые цепочки заражения.