Кибершпионы маскируются под чиновников Кыргызстана, атакуя российские компании

Группа Cavalry Werewolf всё лето проводила целевую кампанию против российских организаций, выдавая себя за госслужащих Кыргызстана. Об этом сообщили специалисты BI.ZONE Threat Intelligence. Под удар попали государственные учреждения, энергетические компании, предприятия добывающей и обрабатывающей промышленности. Главная мотивация атакующих - кибершпионаж.

Злоумышленники рассылают фишинговые письма с якобы официальными документами. В действительности во вложенных RAR-архивах находилось вредоносное ПО: самописные реверс-шеллы FoalShell и трояны удалённого доступа StallionRAT, управляемые через Telegram. Эти инструменты позволяли удалённо контролировать заражённые устройства. В отдельных случаях использовались реальные почты чиновников, ранее скомпрометированные хакерами.

По словам руководителя BI.ZONE Threat Intelligence Олега Скулкина, маскировка под официальных лиц СНГ помогает злоумышленникам втираться в доверие и повышает вероятность того, что адресат откроет вложение. Эксперт отметил, что официальные структуры, чьи имена используются в атаках, не несут ответственности за действия преступников.

Стилистика писем практически не отличалась от официальной корреспонденции, что делало фишинг особенно правдоподобным. Кроме того, группа активно экспериментирует с арсеналом. Недавно специалисты зафиксировали подготовку атак против Таджикистана и стран Ближнего Востока: злоумышленники создают документы с названиями на таджикском и арабском языках и тестируют новые инструменты, включая модифицированный Async RAT на языке Rust.

Эксперты напоминают, что доля атак с целью кибершпионажа стремительно растёт. Если в 2023 году они составляли 15% всех зафиксированных инцидентов, то к середине 2025 года их доля достигла рекордных 36%.