Всего один .url-файл: хакеры взломали зарубежную оборонную компанию через Windows-сервис

В июне 2025 года группа Stealth Falcon (также известная как FruityArmor) провела сложную кибератаку на одну из ключевых оборонных компаний Турции, используя уязвимость нулевого дня CVE-2025-33053. Через специально сформированный .url-файл в фишинговом письме злоумышленники использовали легитимную утилиту Windows для запуска вредоносного ПО с удалённого WebDAV-сервера, минуя традиционные методы защиты. Киберэксперт лаборатории стратегического развития компании «Газинформсервис» Михаил Спицын предупредил о возможных рисках и рассказал, как избежать подобных атак.

Атака стала частью многоступенчатой кампании, кульминацией которой стало внедрение импланта Horus Agent, связанного с инфраструктурой командования и управления Mythic. Это позволило злоумышленникам выполнять разведку заражённых систем и избегать обнаружения с помощью продвинутых техник шифрования и виртуализации кода. Кроме того, Stealth Falcon использовали уникальные инструменты для кражи учётных данных, кейлоггинг и скрытую активацию вредоносных команд.

«Атака демонстрирует, насколько уязвимыми остаются даже крупные оборонные предприятия перед методами APT-групп, особенно при использовании ранее неизвестных уязвимостей (zero-day). Это не только ставит под угрозу конфиденциальность информации, но и может привести к краже государственных или военных секретов, дестабилизации национальной безопасности и значительным финансовым потерям. Защита от таких атак выстраивается через качественный патчинг, сегментацию сетей и страхование киберрисков. Использование систем анализа с поведенческой аналитикой — это решение вопроса возникновения аномалий в сети, то есть нелегитимной активности. Ankey ASAP выстраивает нормаль поведения в корпоративной сети за счёт инструментов ML: такие продвинутые инструменты помогают аналитикам сразу находить очаги возникновения атак и предотвращать потенциальные утечки», — отметил киберэксперт.