Просмотр новости
Найдите то, что Вас интересует
Спутники
РН
SpaceX
Роскосмос
NASA
СпутникиРНSpaceXРоскосмосNASA«Лаборатория Касперского» сообщила об обнаружении новой кампании кибершпионажа группы GOFFEE, направленной преимущественно...
29 Июля 2026 13:34 29 Июл 2026 13:34 |
«Лаборатория Касперского» сообщила об обнаружении новой кампании кибершпионажа группы GOFFEE, направленной преимущественно на технологический сектор в России. В качестве приманки злоумышленники рассылают фишинговые письма с вложениями, замаскированными под повреждённые документы. По данным портала киберразведки Kaspersky Threat Intelligence Portal, группа существенно обновила свои методы и инструментарий — в частности, атакующие стали активно осваивать контейнерную инфраструктуру. Также расширилась география атак — среди мишеней есть организации в Белоруссии.
Масштаб угрозы. ИТ-сектор входит в число наиболее атакуемых отраслей, наряду с государственными учреждениями и промышленностью. Он представляет особый интерес для злоумышленников, совершающих атаки на цепочки поставок ПО. По данным внутреннего исследовательского центра «Лаборатории Касперского», 50% компаний в РФ работают более чем с 50 поставщиками ПО и аппаратного обеспечения, что значительно выше среднемирового уровня, а 14% — с более чем 100.
Приманка на «битые» файлы. Группа маскирует вложения под повреждённые документы — для этого злоумышленники подменяют часть кириллических букв на другие символы. На баннере в этих документах утверждается, что для корректного отображения текста необходимо «включить содержимое». На самом деле таким образом запускается цепочка заражения: файл подгружает удалённый шаблон с макросом, который выполняет вредоносную нагрузку. Чтобы убедить жертву разрешить макрос, атакующие прибегают к различным уловкам. Например, один из образцов был замаскирован под бухгалтерскую выгрузку из системы «1С». Злоумышленники при этом совершенствуют схему атаки: используют новые приманки и адреса для загрузки шаблонов.
Изменения в методах и инструментах. Обычно GOFFEE в значительной степени полагается на собственное вредоносное ПО, однако в данной кампании злоумышленники активно прибегали к ручной работе, а также опирались на общедоступные утилиты и легитимные инструменты. Среди наиболее заметных изменений — освоение группой контейнерной инфраструктуры. Эксперты «Лаборатории Касперского» обнаружили Mythic-агент группы внутри Linux-контейнера. Злоумышленники уже ранее атаковали Unix-среды, однако перенос операций непосредственно в контейнерную инфраструктуру встречается впервые.
«Запуск Mythic-агента в контейнерной среде, вероятнее всего, означает, что злоумышленники планируют использовать её как площадку для своих операций. Кроме того, группа использовала необычно богатый для неё набор процедур постэксплуатации, в том числе с активной работой „руками”, опорой на легитимные утилиты и такими нетривиальными приёмами, как передача данных через HTTP-заголовок User-Agent. Также мы фиксируем расширение географии атак: помимо российских целей, в поле зрения GOFFEE попала Беларусь. Всё это говорит о том, что группировка развивается и продолжает пополнять свой инструментарий, а также осваивать новые тактики. GOFFEE остаётся серьезной угрозой для организаций, и мы продолжим следить за её активностью», — отметили аналитики разведки киберугроз (Cyber Threat Intelligence) в «Лаборатории Касперского».
Полный отчёт опубликован на сайте securelist.ru.
Решения «Лаборатории Касперского», такие как Kaspersky Endpoint Detection and Response Expert и Kaspersky NGFW, успешно обнаруживают вредоносную активность в рамках описанных атак.
Для защиты от подобных угроз эксперты «Лаборатории Касперского» рекомендуют организациям: регулярно повышать уровень цифровой грамотности сотрудников. В этом помогут специализированные курсы или тренинги, например, на онлайн-платформе Kaspersky Automated Security Awareness Platform. Для расширения навыков ИБ-специалистов подойдут продвинутые тренинги от экспертов «Лаборатории Касперского»; разработать план по реагированию на инциденты. Он должен включать в себя сценарии работы сотрудников при наступлении того или иного ИБ-события, список необходимых ресурсов, перечень применяемых инструментов, права и обязанности команды реагирования; предоставлять ИБ-специалистам возможность доступа к свежей информации о новейших тактиках, техниках и процедурах злоумышленников, например, с помощью решений Threat Intelligence; установить надёжное защитное решение, которое автоматически будет отправлять подозрительные письма в спам, например, Kaspersky Secure Mail Gateway; применять комплексные защитные решения, такие как Kaspersky Symphony, которые позволят выстроить гибкую и эффективную систему безопасности.