Открытый сервер: «плейбук» оператора, оставленный на виду

CloudSEK обнаружил открытую директорию на сервере, принадлежащем связанному с Россией оператору . Эта директория содержала:

• Эксплойты, отсортированные по CVE
• Списки целей, разбитые по странам
• Результаты сканирования, разделённые на категории «уязвимо», «не уязвимо» и «недоступно»
• Механизм контрольных точек для отслеживания прогресса на сотнях тысяч целей

Фактически, сервер был плейбуком и логом нажатий клавиш оператора, оставленным доступным для всех, кто знал, куда смотреть.

Эксплуатируемые уязвимости и атакуемые секторы

Брокер подготовил эксплойты минимум для 12 различных CVE, нацеленных на широко распространённые интернет-ориентированные пограничные устройства и веб-приложения . Среди затронутых вендоров — Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin и Hikvision . Хотя большая часть кода эксплойтов была публичной, ключевые эксплойты для Fortinet и Citrix были модифицированы в модульные фреймворки с русскоязычными обёртками, которые автоматизировали внедрение SSH-ключей, создание пользователей VPN, установку бэкдоров для администратора и массовое сканирование . Оператор также поддерживал локальную копию репозитория шаблонов nuclei и более 100 собственных шаблонов для обнаружения свежих уязвимостей и панелей управления C2/стилеров .

Среди целей — образование, здравоохранение, финансы, телекоммуникации и государственное управление в более чем дюжине стран Северной Америки, Европы и других регионов .

Доказательства полного захвата Active Directory

Цепочка постэксплуатационных действий оператора предоставляет явные доказательства полного доминирования в Active Directory :

• Латеральное перемещение: веб-шеллы Neo-reGeorg и туннели SOCKS обеспечивали первоначальный доступ внутри сети, который затем использовался через NTLM-аутентификацию и Evil-WinRM .
• Кража учётных данных: были извлечены резервные ключи DPAPI с контроллеров домена; выполнены дампы SAM и LSA secrets; собраны учётные данные, хранящиеся в браузерах .
• Компрометация krbtgt и «золотые билеты»: злоумышленник извлёк хеш krbtgt и создал поддельные билеты Kerberos со сроком действия в 10 лет, что позволяет получить бессрочный доступ независимо от сброса паролей и исправлений на конечных устройствах .
• Подтверждение в реальном инциденте: Greater Pittsburgh Orthopaedic Associates (GPOA), медицинский центр в США, фигурировал в директории с подтверждённым захватом домена (извлечены учётные данные администратора и резервный ключ DPAPI с контроллера домена). Позже GPOA появился на сайте утечки группировки RansomHouse после инцидента 2025 года — временной разрыв соответствует типичным срокам передачи доступа от брокера к вымогателям .

Методы сбора разведданных против Украины

На поздних этапах операционной активности деятельность хакера отошла от чисто коммерческого брокерства доступа :

• Развёртывание Sliver C2: оператор развернул командный фреймворк Sliver против украинских оборонных и аэрокосмических целей .
• Кража исходного кода: брокер получил доступ и украл репозитории исходного кода через открытые системы контроля версий, принадлежащие оборонным проектам .
• Слежка через IP-камеры: оператор собирал изображения с тысяч открытых IP-камер и снимал скриншоты открытых сессий RDP — разведданные, полезные для геолокации украинских военных объектов .
• Вторичные цели: США, Европа и Южная Корея фигурировали как вторичные разведывательные цели в артефактах .

CloudSEK отмечает, что этот почерк близко совпадает с предупреждением AIVD/MIVD (нидерландская разведка) о слежке через камеры, используемой российскими государственными хакерами для определения расположения украинских военных позиций .

Как этот двойной профиль вписывается в задокументированную российскую практику

CloudSEK с высокой уверенностью оценивает, что оператор является русскоязычным брокером начального доступа, украинская деятельность которого лучше всего объясняется как контрактная работа по продаже доступа — в том числе разведданных с камер — государственным покупателям .

Это соответствует хорошо задокументированному шаблону российской разведки: государственные киберподразделения (например, СВР, ГРУ, ФСБ) рутинно получают первоначальный сетевой доступ через криминальную среду, а не проводят первоначальный взлом самостоятельно . Криминальный брокер берёт на себя объёмную и шумную работу по сканированию и эксплуатации пограничных устройств; государственные клиенты платят за предустановленный доступ к высокоценным целям (особенно в оборонной, аэрокосмической и государственной сферах), не подвергая государственную инфраструктуру риску на этапе взлома.

Тот же доступ, который брокер продавал группировкам-вымогателям ради прибыли для коммерческих целей, также продавался как канал слежки за украинскими военными — модель двойного использования, когда один и тот же технический потенциал приносит как криминальный доход, так и стратегическую разведывательную ценность для российского государства .

Открытый сервер: «плейбук» оператора, оставленный на виду

CloudSEK обнаружил открытую директорию на сервере, принадлежащем связанному с Россией оператору . Эта директория содержала:

• Эксплойты, отсортированные по CVE
• Списки целей, разбитые по странам
• Результаты сканирования, разделённые на категории «уязвимо», «не уязвимо» и «недоступно»
• Механизм контрольных точек для отслеживания прогресса на сотнях тысяч целей

Фактически, сервер был плейбуком и логом нажатий клавиш оператора, оставленным доступным для всех, кто знал, куда смотреть.

Эксплуатируемые уязвимости и атакуемые секторы

Брокер подготовил эксплойты минимум для 12 различных CVE, нацеленных на широко распространённые интернет-ориентированные пограничные устройства и веб-приложения . Среди затронутых вендоров — Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin и Hikvision . Хотя большая часть кода эксплойтов была публичной, ключевые эксплойты для Fortinet и Citrix были модифицированы в модульные фреймворки с русскоязычными обёртками, которые автоматизировали внедрение SSH-ключей, создание пользователей VPN, установку бэкдоров для администратора и массовое сканирование . Оператор также поддерживал локальную копию репозитория шаблонов nuclei и более 100 собственных шаблонов для обнаружения свежих уязвимостей и панелей управления C2/стилеров .

Среди целей — образование, здравоохранение, финансы, телекоммуникации и государственное управление в более чем дюжине стран Северной Америки, Европы и других регионов .

Доказательства полного захвата Active Directory

Цепочка постэксплуатационных действий оператора предоставляет явные доказательства полного доминирования в Active Directory :

• Латеральное перемещение: веб-шеллы Neo-reGeorg и туннели SOCKS обеспечивали первоначальный доступ внутри сети, который затем использовался через NTLM-аутентификацию и Evil-WinRM .
• Кража учётных данных: были извлечены резервные ключи DPAPI с контроллеров домена; выполнены дампы SAM и LSA secrets; собраны учётные данные, хранящиеся в браузерах .
• Компрометация krbtgt и «золотые билеты»: злоумышленник извлёк хеш krbtgt и создал поддельные билеты Kerberos со сроком действия в 10 лет, что позволяет получить бессрочный доступ независимо от сброса паролей и исправлений на конечных устройствах .
• Подтверждение в реальном инциденте: Greater Pittsburgh Orthopaedic Associates (GPOA), медицинский центр в США, фигурировал в директории с подтверждённым захватом домена (извлечены учётные данные администратора и резервный ключ DPAPI с контроллера домена). Позже GPOA появился на сайте утечки группировки RansomHouse после инцидента 2025 года — временной разрыв соответствует типичным срокам передачи доступа от брокера к вымогателям .

Методы сбора разведданных против Украины

На поздних этапах операционной активности деятельность хакера отошла от чисто коммерческого брокерства доступа :

• Развёртывание Sliver C2: оператор развернул командный фреймворк Sliver против украинских оборонных и аэрокосмических целей .
• Кража исходного кода: брокер получил доступ и украл репозитории исходного кода через открытые системы контроля версий, принадлежащие оборонным проектам .
• Слежка через IP-камеры: оператор собирал изображения с тысяч открытых IP-камер и снимал скриншоты открытых сессий RDP — разведданные, полезные для геолокации украинских военных объектов .
• Вторичные цели: США, Европа и Южная Корея фигурировали как вторичные разведывательные цели в артефактах .

CloudSEK отмечает, что этот почерк близко совпадает с предупреждением AIVD/MIVD (нидерландская разведка) о слежке через камеры, используемой российскими государственными хакерами для определения расположения украинских военных позиций .

Как этот двойной профиль вписывается в задокументированную российскую практику

CloudSEK с высокой уверенностью оценивает, что оператор является русскоязычным брокером начального доступа, украинская деятельность которого лучше всего объясняется как контрактная работа по продаже доступа — в том числе разведданных с камер — государственным покупателям .

Это соответствует хорошо задокументированному шаблону российской разведки: государственные киберподразделения (например, СВР, ГРУ, ФСБ) рутинно получают первоначальный сетевой доступ через криминальную среду, а не проводят первоначальный взлом самостоятельно . Криминальный брокер берёт на себя объёмную и шумную работу по сканированию и эксплуатации пограничных устройств; государственные клиенты платят за предустановленный доступ к высокоценным целям (особенно в оборонной, аэрокосмической и государственной сферах), не подвергая государственную инфраструктуру риску на этапе взлома.

Тот же доступ, который брокер продавал группировкам-вымогателям ради прибыли для коммерческих целей, также продавался как канал слежки за украинскими военными — модель двойного использования, когда один и тот же технический потенциал приносит как криминальный доход, так и стратегическую разведывательную ценность для российского государства .