Как пишет Dilo, об этом информирует Cyber Press.

Атака была частью более масштабной шпионской кампании против организаций в странах Альянса. Помимо судостроительной компании хакеры атаковали правоохранительный орган и производителя авиационных двигателей для военной техники. Названия пострадавших учреждений и стран не разглашаются.

Как хакеры проникли в сеть предприятия

Первые признаки атаки были зафиксированы 24 июля 2026 года. Первоначальным вектором проникновения стал зараженный документ Microsoft Word, открывшийся непосредственно из кэша вложений почтового клиента Microsoft Outlook.

Документ содержал замаскированный макрос, код которого собирался при исполнении. Такой подход помогал злоумышленникам обходить статические механизмы проверки защитных систем.

После запуска макрос незаметно перезапускал браузер Microsoft Edge в открывшемся окне, расположенном за пределами видимой части экрана. Через браузер хакеры загружали начальные команды для разведки системы, проверяли настройки сети и анализировали запущенные процессы.

Уже 27 июля злоумышленники перешли на следующий этап операции. Используя ключи SSH и стандартный инструмент Windows OpenSSH, они настроили скрытый туннель, обеспечивший доступ к внутренней сети предприятия.

Хакеры собирали учетные данные

В ходе операции APT28 использовала специальный скрипт PowerShell для перехвата данных NTLM-аутентификации и сбора учетных данных пользователей.

Кроме того, злоумышленники проверяли доступность популярных облачных платформ, включая Dropbox, Google, Microsoft и Mega. Это могло быть частью подготовки к выводу информации за пределы корпоративной сети.

31 июля на скомпрометированном компьютере был запущен ранее не задокументированный рефлексивный загрузчик ld.exe вместе с зашифрованным файлом Events.dat.

Для расшифровки содержимого файла непосредственно в оперативной памяти программа нуждалась в специальном ключе, переданном через командную строку. Однако исследователям не удалось получить конечный зашифрованный модуль, поэтому его предназначение пока остается неизвестным.

Вредоносное ПО оставалось активным

Последние прямые команды от операторов атаки исследователи зафиксировали 31 июля. В то же время, компоненты вредоносного программного обеспечения продолжали работать в сети в конце августа, а 24 сентября их активность зафиксировали повторно.

Специалисты выясняют, было ли повторное срабатывание следствием автоматизированной работы загрузчика, свидетельствовало ли о возвращении хакеров в скомпрометированную систему.

Окончательный объем полученной злоумышленниками информации и назначение неизвестного вредоносного модуля пока не установлен.

Напомним, киберпреступники похитили цифровые активы на сумму около 90 миллионов долларов США из криптогаманцев клиентов французской компании "Ledger". Для этого они встроили детали для считывания паролей в устройстве до того, как люди их приобрели.