Хактивистские кластеры нередко кооперируются со злоумышленниками с другой мотивацией. Так, группировка Insolent Hyena получала доступ в инфраструктуру жертв от других кластеров, а затем использовала данные для развития атаки. Об этом CNews сообщили представители Bi.Zone.

Как правило, хактивисты атакуют организации ради широкой огласки. После успешного взлома они публикуют похищенные чувствительные данные компании и ее клиентов либо сообщают о самом факте компрометации. Чтобы реализовать атаку, злоумышленники могут получить первоначальный доступ в инфраструктуру жертвы самостоятельно или обратиться к другим группировкам.

Олег Скулкин, руководитель Bi.Zone Threat Intelligence: «Мы наблюдаем тенденцию к кооперации хактивистов с кластерами различной мотивации. Такая практика позволяет обмениваться ценными данными о жертвах. Подтверждение этому — серия атак хактивистов Insolent Hyena с начала 2026 г. по июль. Мишенями стали российские организации из научной, образовательной и государственной сфер, а также ИT-сегмента, ритейла и инженерии. Предположительно, злоумышленники покупали или получали доступ к инфраструктуре жертв бесплатно от группировок с другими типами мотивации. Это связано с тем, что некоторые кластеры могут прибегать к кооперации для достижения общих стратегических целей».

В своих атаках кластер Insolent Hyena также использовал технику социальной инженерии ClickFix для проникновения в инфраструктуру организации. Предположительно, атакующие распространяли письма с фишинговой ссылкой, якобы ведущей на сайт одного из регуляторов. Переходя по ссылке, жертва попадала на страницу, где требовалось подтвердить, что она не робот (пройти фейковую CAPTCHA), а затем нажать сочетание клавиш, указанное на экране. Тем самым пользователь запускал вредоносную активность.

Помимо социальной инженерии, кластер использовал целый набор инструментов. Для скрытого управления скомпрометированными системами применялся самописный троян удаленного доступа NightWire, а для кражи данных — стилер Excalibur. Также злоумышленники использовали легитимное средство удаленного администрирования NetSupport для маскировки своих действий под работу системных администраторов, троян CapDoor — для закрепления в системе, а фреймворки постэксплуатации AdaptixC2 и Cobalt Strike — в качестве основных платформ для координации и управления атакой.

Чтобы защитить организацию от кибератак, важно знать, какие методы и инструменты применяют злоумышленники. Подробную информацию об этом предоставляют порталы киберразведки. Там пользователи могут найти свежие данные об актуальных угрозах, злоумышленниках, тактиках, техниках и инструментах.

• Подобрать оптимальный тариф на IaaS с GPU-ускорителями на ИТ-маркетплейсе CNewsMarket