2SDnjc1JCzF
Группировка Fluffy Wolf атаковала российские компании новым недорогим ВПО
C марта по май 2026 года специалисты BI.ZONE Threat Intelligence зафиксировали серию фишинговых атак кластера Fluffy Wolf. Целями злоумышленников стали российские организации из различных отраслей: строительства, консалтинга, обрабатывающей промышленности, инжиниринга, розничной торговли и электронной коммерции.
В фишинговых рассылках кластер выдавал себя за партнеров или подрядчиков компании-жертвы. Атакующие предлагали погасить финансовую задолженность и ознакомиться с «документами», приложенными к письму. Среди них был файл с реквизитами для оплаты, а также файл с претензией и требованием погасить долг.
Выявлено два типа фишинговых писем: с вложением в виде RAR-архива с ВПО и со ссылкой на GitHub-репозиторий атакующих, откуда загружался RAR-архив с ВПО. В архиве находились вредоносные загрузчики и дропперы, предназначенные для доставки в целевую систему стилера PureLogs, трояна удаленного доступа PureRAT и шифровальщика Pay2Key. Стоит отметить, что злоумышленники не разрабатывали ВПО самостоятельно, а покупали инструменты на теневых площадках. Например, цена за годовую подписку на PureCrypter составляет 449 долларов, PureLogs — 1250, PureRAT — 1499.
«В новой кампании группировка снизила затраты на реализацию атаки: загрузчик PowerLoader обошелся ей примерно в 120 долларов. Суммарная стоимость всего арсенала ВПО оценивается в несколько тысяч долларов. В случае успешной атаки кластер может получить огромную прибыль. Так, в 2025 году средняя сумма, которую атакующие требовали у жертв в качестве выкупа за восстановление доступа к данным, составила 193 тыс. долларов», — отметил Олег Скулкин, руководитель BI.ZONE Threat Intelligence.
Кластер Fluffy Wolf сохранил привычный набор ВПО, но разнообразил методы доставки. Киберпреступники использовал плагин PluginRemoteDesktop для PureRAT, ранее не встречавшийся в атаках на российские организации. Также злоумышленники приобрели загрузчик PowerLoader, чтобы повысить эффективность проникновения и обхода систем защиты.
Еще одна интересная особенность — использование ссылок на репозитории GitHub в фишинговых письмах. Благодаря тому что ссылки выглядели легитимно, вероятность перехода жертвы по вредоносному адресу увеличивалась. С их помощью злоумышленники обходили почтовые фильтры и сетевые средства защиты.
похожие материалы
Максим Степченков и Ева Беляева обсудили зависимость от поставщиков ИБ в «Belyaev_Podcast»
Когда единая экосистема безопасности становится зависимостью, а замена продукта требует пересмотра бюджета и процессов?
ИБ-Пророки обсудили будущее информационной безопасности на форуме GISDAYS
2 октября в Москве в рамках IX Ежегодного форума по информационной безопасности и ИТ GISDAYS* 2026 состоялась дискуссия авторов проекта «ИБ-Пророк».
DDoS-атаки на российский бизнес подскочили на 61% - хакеры разгоняют мощность до 3 Тбит/с
Количество DDoS-атак на российские компании в III квартале 2026 года выросло на 61% по сравнению с тем же периодом прошлого года.
Последствия удара по дата-центру «Яндекса» под Рязанью: объект остановлен, облачные сервисы дали сбой
В ночь на 8 октября беспилотники атаковали дата-центр «Яндекса» в Сасово Рязанской области.
Российским разработчикам игр дадут 5 млрд рублей и начнут готовить их к IPO
В России запускают венчурный фонд Indie GO Fund II объемом 5 млрд рублей для поддержки разработчиков видеоигр, которые планируют масштабироваться за пределами российского рынка и в перспективе выйти на биржу.
Департамент здравоохранения Томской области перевёл медицинские системы на VMmanager
В Департаменте здравоохранения Томской области завершилась модернизация ИТ-инфраструктуры на базе платформы виртуализации VMmanager от компании ISPsystem (входит в «Группу Астра»).
В 3 квартале 2026 года с DDoS-атаками столкнулись ритейлеры, логисты и телеком
В 3 квартале 2026 года хакеры значительно усилили DDoS-атаки на российские компании, стремясь получить коммерческую выгоду.
ИнфоТеКС и «Флант» подтвердили совместимость продуктов
Компании «ИнфоТеКС» и «Флант» подтвердили совместимость и корректную совместную работу программного обеспечения Deckhouse Stronghold 1.
RuBackup Catalog Granular Recovery от «Группы Астра»: точечное восстановление объектов каталога ALD Pro без остановки сервисов
Оно обеспечивает резервное копирование и гранулярное восстановление объектов LDAP-каталога и их атрибутов в онлайн-режиме — без остановки LDAP-службы и связанных с ней сервисов.
Впервые в России документ подписали через низкоорбитальную спутниковую связь
Российская аэрокосмическая компания БЮРО 1440 и УК «ЭЛЬГА» на форуме «Цифровые решения» заключили соглашение о тестировании сервиса на базе низкоорбитальной спутниковой группировки.