PT выявила группировку, шпионившую в сети госучреждения

Эксперты департамента комплексного реагирования на киберугрозы Positive Technologies (PT ESC IR) обнаружили новую APT-группировку — StingyBasilisk. Злоумышленники занимались шпионажем в инфраструктуре одного из госучреждений. Почти четыре года они сохраняли скрытый доступ к его внутренней сети, маскируя вредоносные инструменты под средства защиты, которыми пользовалась сама организация.

Команда PT ESC IR впервые обнаружила группу в 2026 году в ходе расследования инцидента в госучреждении. Анализ показал, что хакеры действовали в инфраструктуре как минимум с апреля 2022-го. Исходный вектор заражения установить не удалось, однако, специалисты выявили разветвлённую сеть агентов, которыми киберпреступники управляли через именованные каналы Windows (named pipes).

С февраля этого года группировка начала активно расширять зону присутствия в сети. Перемещение внутри периметра выполнялось с использованием протокола SMB, а удаленный запуск — с помощью планировщика заданий Windows. В арсенале злоумышленников были такие инструменты, как SilentCOM, Tedious Loader и Cunning (программные модули, которые запускали вредоносный код прямо в оперативной памяти заражённого компьютера).

Для скрытного закрепления на скомпрометированных устройствах применялись различные инструменты и техники, в частности COM Hijacking и Time Providers. Первая позволяла подменять ссылки на легитимные COM-компоненты Windows, а вторая регистрировала DLL-библиотеку как поставщика времени службы W32Time.

«APT-группировка StingyBasilisk представляет собой одну из наиболее сложных угроз, с которыми мы столкнулись в 2026 году, — отмечает Даниил Григорян, ведущий специалист департамента комплексного реагирования на киберугрозы (PT ESC IR). — У неё есть собственный инструмент для скрытого управления, код которого не сохраняется на диске. Расследование показало, что злоумышленники находились во внутренней сети организации 1398 дней до обнаружения инцидента. Поэтому при расследовании важно искать следы более ранней активности: обнаруженный эпизод может оказаться частью многолетней кампании».

Чтобы снизить риск подобных атак, организациям рекомендуется провести инвентаризацию инфраструктуры и определить системы, компрометация которых может нанести наибольший ущерб. Особого внимания требуют контроллеры домена, серверы централизованного управления и другие критически важные ресурсы. Для них необходимо усилить контроль доступа, обеспечить регулярное обновление и мониторинг активности. При этом важно проверять инфраструктуру на признаки компрометации: хакеры могут длительное время оставаться незамеченными, маскируя свои инструменты под легитимное ПО.