«Лаборатория Касперского» обнаружила новую волну целевых атак на российские и белорусские компании

Кибергруппа Head Mare использует новые инструменты для получения первоначального доступа и закрепления в системе.

Сгенерировано нейросетью Midjourney
Сгенерировано нейросетью Midjourney

Как рассказали эксперты, в новых атаках использовалась цепочка из нескольких бэкдоров, а не один бэкдор, как в марте 2025 года. Речь идёт о вредоносном ПО PhantomRemote, PhantomCSLoader и PhantomSAgent. Помимо этого, в некоторых случаях злоумышленники также устанавливали SSH-туннели для удалённого доступа к скомпрометированной инфраструктуре.

В «Лаборатории Касперского» отметили:

Вероятно, атакующие пытались обойти средства защиты, рассчитывая на то, что в случае обнаружения одного бэкдора в системе останутся остальные.

Атаки по-прежнему начинаются с рассылки вредоносных писем. На этот раз они содержали вложение с бэкдором PhantomRemote, позволяющим удалённо выполнять команды на заражённом устройстве.

Злоумышленники заранее подготовили набор дополнительных компонентов и использовали цепочку бэкдоров — PhantomCSLoader и PhantomSAgent — для закрепления в системе. Это вредоносное ПО написано на разных языках программирования, используют схожую модель взаимодействия с командно-контрольным сервером, но различаются по внутренним механизмам работы.

Сейчас на главной