До половины атакующих российские организации кластеров занимается кибершпионажем

С июня по июль 2026-го специалисты BI.ZONE Threat Intelligence исследовали новую кампанию кластера Core Werewolf на российские организации. Эксперты выявили ранее неизвестный троян удаленного доступа CoreRAT, который злоумышленники использовали с марта 2026 года.

Для получения первоначального доступа атакующие, предположительно, распространяли 7zSFX- и Rust-дропперы через фишинговые письма по электронной почте и сообщения в Telegram. После запуска дроппер извлекал и сохранял на устройстве CoreRAT и отвлекающий PDF-документ, имитировавший официальную переписку государственных организаций, а затем запускал троян.

В поддельных документах, которые использовались для отвлечения внимания, применялись нетипичные для официальной корреспонденции формулировки, а также присутствовали следы редактирования и вставки поддельных подписей. После запуска CoreRAT злоумышленники получали полный контроль над скомпрометированной системой.

Исследование показало, что кластер изменил свой инструментарий. Если ранее группировка использовала легитимную программу удаленного доступа UltraVNC, то теперь перешла на собственную разработку.

Также специалисты выдвинули гипотезу, что один из отвлекающих документов был идентичен ранее использовавшемуся в атаках Vortex Werewolf. У этих кластеров обычно схожие цели и регионы атак. Совпадение может указывать на обмен инструментами, отвлекающими документами или опытом между операторами этих группировок. Также нельзя исключать, что Core Werewolf и Vortex Werewolf являются частями одной группы или используют общую инфраструктуру разработки. Однако эта версия требует дополнительного исследования.