SecAtor

Исследователи BI.ZONE раскрыли истинный шпионский профиль кластера Insolent Hyena. Наблюдая за злоумышленниками, Бизоны обнаружили новый RAT NightStrike и впервые зафиксировали, что использование фреймворка Havoc, что в совокупности с другими артефактами и заставило их пересмотреть мотивацию группировки. Ранее в BI.ZONE считали Insolent Hyena хактивистской группировкой, но отмечая при этом, что мотивация злоумышленников неоднозначна. Дальнейшее наблюдение за их активностью показало: характер деятельности в большей степени соответствует кибершпионажу. В соответствии с классификацией группировок по мотивации: Hyenas («гиены») - кластеры с хактивистской направленностью, Wolves («волки») - злоумышленники, движимые финансовой выгодой, а Werewolves («оборотни») занимаются кибершпионажем. Так что теперь Insolent можно смело относить к Werewolves и вот почему: - За время мониторинга фактов использования вредоносного ПО (например, шифровальщиков или вайперов) для деструктивных действий не было выявлено. - Значительную часть арсенала атакующих составляют трояны удаленного доступа (RAT): CapDoor, NightWire и NightStrike. Злоумышленники также используют импланты фреймворков постэксплуатации: AdaptixC2, Havoc и Cobalt Strike. - Для получения первоначального доступа кластер применяет целевой фишинг, например атаки с использованием ClickFix. В некоторых случаях атакующие получают доступ к инфраструктуре от других кибершпионских кластеров, а затем разворачивают легитимное средство удаленного доступа NetSupport Manager. - Insolent Hyena в основном атаковала госсектор, а также промышленные организации и НИИ, связанные с оборонно‑промышленным комплексом. - Публичных каналов или заявлений об успешных кибероперациях, характерных для хактивистских группировок, не имеет. По совокупности этих признаков отныне Бизоны переименовали из Insolent Hyena в Insolent Werewolf. В августе 2026 года, анализируя активность Insolent Werewolf, исследователи обнаружили новый троян удаленного доступа, назвав его NightStrike, который, предположительно, разработал тот же автор, что и NightWire RAT. Ретроспективный анализ показал, что атакующие использовали его как минимум с июня этого же года. Кроме того, злоумышленники использовали загрузчик Octowave Loader. Он разворачивал в скомпрометированных системах импланты фреймворков постэксплуатации AdaptixC2 и Havoc. Ранее последний в арсенале кластера не был замечен. Разные фреймворки и собственное вредоносное ПО позволяют им подбирать инструментарий под конкретные условия атаки и снижать вероятность обнаружения за счет различий в возможностях и сигнатурах средств защиты. Технический разбор нового инструментария и IOCs - в отчете.