Новый кибершпион GamaCopy атакует российские организации, копируя тактику Gamaredon

В киберпространстве появилась новая группировка GamaCopy, которая активно использует тактики, ранее ассоциировавшиеся с прославленной хакерской сетью Gamaredon. Согласно исследованию специалистов из Knownsec 404, этот неизвестный ранее актор атакует русскоязычные организации, применяя методы, характерные для группировки, действующей в интересах Кремля.

Злоумышленники распространяют вредоносные файлы, маскируя их под документы, связанные с военной тематикой. После заражения устройства на него загружается UltraVNC — программа, позволяющая удаленно управлять компьютером жертвы. Для маскировки вредоносного кода используется название «OneDrivers.exe», что делает его схожим с легитимным файлом Microsoft OneDrive и затрудняет обнаружение.

Эксперты отмечают сходство между GamaCopy и другой группировкой — Core Werewolf, ранее замеченной в атаках на российские государственные структуры. Оба актера применяют архивы 7-Zip для распространения вредоносного ПО, используют порт 443 для соединения с серверами и применяют команду EnableDelayedExpansion в своих скриптах. Эти тактики позволяют им успешно избегать обнаружения.

Появление GamaCopy стало частью широкой волны кибератак на российские организации, которая усилилась на фоне геополитической напряженности. Вместе с группами Sticky Werewolf и Venture Wolf новый игрок стремится извлекать ценные данные, применяя усовершенствованные методы социальной инженерии и фишинговые атаки. Эксперты предупреждают, что подобные угрозы требуют повышенного внимания к кибербезопасности и более жестких мер по защите информации.