StingyBasilisk: группировка действовала в инфраструктуре организации с апреля 2022 года
Команда расследования инцидентов обнаружила в начале 2026 года атаку группировки StingyBasilisk. По данным исследователей, группа действует как минимум с апреля 2022 года и долго удерживала контроль над заражённой инфраструктурой.
Главное в цифрах
- Группировка активна как минимум с апреля 2022 года
- Атака обнаружена в начале 2026 года
- CunningDoor доставляется с февраля 2026 года
Злоумышленники действовали скрытно и маскировались под легитимные средства защиты, которые использовала сама организация. Первоначальный вектор проникновения установить не удалось.
Исследователи нашли разветвлённую сеть собственных агентов, которыми злоумышленники управляли через именованные каналы Windows. Все обнаруженные образцы вредоносного ПО были DLL-библиотеками. Они ожидали и выполняли полезную нагрузку в памяти процесса Windows.
Техники закрепления и перемещения
Для закрепления в системе использовали COM Hijacking, с помощью которого запускался SilentCOM, и Time Providers для TediousLoader. Перемещение по сети шло через протокол SMB, а удалённый запуск выполнялся через планировщик заданий Windows.
С февраля 2026 года группировка доставляла загрузчик CunningDoor.
Возможная цель
Исследователи допускают, что целью атаки был шпионаж. Именно на это указывает широкий набор техник сокрытия присутствия в системе.
