Предполагаемые российские хакеры злоупотребляют Google OAuth и привязкой WhatsApp для взлома аккаунтов.

[zender]

Было выявлено три отдельных кластера предполагаемых угроз кибершпионажа со стороны России, использующих легитимные процессы аутентификации для выявления лиц, работающих в академических кругах, аэрокосмической и оборонной отраслях, государственных учреждениях и аналитических центрах по всей Европе, а также в академических кругах и аналитических центрах США.


В число этих кластеров входят UNC6293 , UNC7005 и UNC5976 .


«Эти группы занимаются постоянными, адаптивными фишинговыми кампаниями, используя сложные методы социальной инженерии для взлома личных учетных записей на различных платформах», — заявили исследователи Google Threat Intelligence Group (GTIG) Габби Ронконе и Уэсли Шилдс в опубликованном сегодня отчете.


Анкета UNC6293, впервые описанная технологическим гигантом и Citizen Lab в июне 2025 года, считается субкластером Ice Relic (ранее APT29), который также отслеживается под названиями Cozy Bear и Midnight Blizzard. Ранее эта хакерская группа была связана с кампанией, в ходе которой использовалась функция учетных записей Google, называемая «пароли для конкретных приложений», для захвата контроля над учетными записями жертв.


С тех пор злоумышленник продолжает проводить фишинговые кампании, как правило, небольшого масштаба, нацеленные на менее чем пять пользователей одновременно, выдавая себя за сотрудников Госдепартамента для фишинга паролей приложений. Названия приложений и приманки связаны с дипломатической тематикой и предстоящими конференциями или встречами, некоторые из которых были упомянуты компанией Volexity в декабре 2025 года.


Еще в июне 2026 года Google сообщила о случаях фишинга с использованием OAuth, когда злоумышленники запрашивали у жертв либо полный URL-адрес, либо код подтверждения после успешной авторизации у внешнего провайдера. После предоставления запрошенного кода подтверждения злоумышленники получают доступ к учетной записи жертвы.


Было обнаружено, что UNC5976, вторая группа угроз, ориентированная на аутентификацию, использует методы фишинга OAuth и автоматизирует сбор токенов, злоупотребляя облачной инфраструктурой. Считается, что эта группа активна как минимум с марта 2026 года.

«Для проведения этих фишинговых кампаний с использованием OAuth UNC5976 приобрела домены, обычно используя доменные имена, связанные с обменом файлами, а затем создала облачный проект, связанный с этим доменом», — сообщила компания GTIG. «На этих доменах размещается поддельная страница обмена файлами. После того, как жертва посетит страницу в течение нескольких секунд, на ней отобразится всплывающее диалоговое окно входа в систему».

Всплывающее окно содержит кнопку «Продолжить с Google», при нажатии на которую жертва перенаправляется на легитимную страницу входа в Google OAuth, где ей предлагается войти в систему для продолжения. После успешной аутентификации жертва перенаправляется на URL-адрес проекта Google Cloud, на котором размещены вредоносные скрипты, предназначенные для получения токена аутентификации с этого URL-адреса и его последующего использования.


По оценкам, с марта 2026 года злоумышленник создал не менее 12 новых доменов и связанной с ними инфраструктуры, все из которых впоследствии были взломаны компанией Google. Сообщается, что эти действия побудили UNC5976 отказаться от инфраструктуры Google и перейти к другим провайдерам для размещения своих фишинговых страниц.

[td]

UNC7005 Компрометирующий поток WhatsApp​

[/td]​

Кроме того, было замечено, что UNC5976 использует вредоносный плагин для Excel под кодовым названием HEADRUSH, который применяется для распространения загружаемого HTML-приложения (HTA). Вредоносная программа, обнаруженная в апреле 2026 года, распространяется через поддельный домен, имитирующий украинский научно-исследовательский институт. Есть признаки того, что этот артефакт мог быть использован для атаки на украинскую аэрокосмическую и фототехническую компанию, хотя полный масштаб заражения остается неизвестным.
«В основном, ее оперативная деятельность сосредоточена на военных, аэрокосмических, оборонно-промышленных компаниях, а также на НПО и аналитических центрах», — заявили в Google. «Значительная часть географической таргетинговой деятельности группы сосредоточена на Украине и Армении».

Курс UNC7005 использует множество тактик​

Основной объектом исследований GTIG стал субъект угроз UNC7005 (также известный как Storm-2945), идентифицированный в феврале 2026 года. Было установлено, что он в основном нацелен на сотрудников академических кругов, дипломатов и некоммерческих организаций в Украине, Западной Европе и США.
Считается, что UNC6293 и UNC7005 связаны с подгруппой в составе Ice Relic, которая специализируется на операциях первоначального доступа, используя коммерческие резидентные прокси для действий после взлома. Как и UNC6293, UNC7005 проводила высокоизбирательные фишинговые операции по подделке паролей приложений, направленные на лиц, представляющих интерес для Кремля.
Группа хакеров также занималась с использованием кода устройств, фишинговыми операциями нацеленными на учетные записи Microsoft и WhatsApp, причем Microsoft использовала фишинговые электронные письма с приглашениями на дипломатические мероприятия и конференции. В сообщениях содержится ссылка на контролируемый злоумышленниками сайт, который составляет профиль посетителя и затем предлагает ему подтвердить свое участие в мероприятии, а также указать свои предпочтения в отношении основного блюда и вина.
Стоит отметить, что использование приманок, связанных с вином, является повторяющейся темой в атаках Ice Relic, начиная с апреля 2023 года . Некоторые аспекты этой деятельности получили кодовое название SPIKEDWINE от Zscaler.
«В мае и июне 2026 года UNC7005 проводила операции по социальной инженерии, имитируя WhatsApp», — сообщила Google. «Распространяемые злоумышленником фишинговые страницы заманивают жертв, заставляя их связать свои учетные записи WhatsApp с устройством, контролируемым злоумышленником, чтобы присоединиться к защищенному звонку, чату или обмену документами в WhatsApp. После связывания устройства злоумышленник также пытается использовать множество других методов взлома».
После доступа к странице целевому лицу предлагается указать номер телефона. Затем этот номер используется для создания легитимного запроса на привязку устройства WhatsApp к устройству злоумышленника, после чего... дисплеи тот легитимный QR-код а также код, связывающий устройство с целевым устройством, и инструкции для пользователя по подключению его устройства.
После успешной привязки учетной записи жертвы к устройству WhatsApp злоумышленника, фишинговая страница предлагает пользователю дополнительно присоединиться к голосовому звонку, зашифрованному чату или загрузить файл. Если жертва присоединяется к голосовому звонку, запускается выполнение JavaScript для записи ее аудио и видео, а запись отправляется на управляющую точку (C2).
Если выбран вариант зашифрованного чата, JavaScript предложит получателю скопировать предоставленные ему имя пользователя и пароль для входа в систему по дополнительному URL-адресу. Точная природа загрузки файла остается неизвестной.
По имеющимся данным, примерно в мае 2026 года UNC7005 также расширила свои методы работы, используя вредоносные программы для кражи информации, такие как Vidar и Atomic (также известные как AMOS), для сбора данных с компьютеров под управлением Windows и macOS в рамках фишинговых атак, направленных на американских ученых, дипломатов и исследователей, занимающихся вопросами России и бывших советских республик. Электронные письма содержали ссылки на вредоносные URL-адреса. URL-адрес вел на веб-страницу, имитирующую саммит, посвященный «резолюции в поддержку Украины», и призывающую загрузить сопутствующее приложение для ознакомления с полным текстом резолюции.
«В начале августа 2026 года UNC7005 начала фишинговые операции с использованием учетной записи Google OAuth и облачной инфраструктуры», — сообщила GTIG. «Начиная с 31 июля 2026 года, UNC7005 зарегистрировала домены, имитирующие легитимный Финский оперативный центр (FOC), который оказывает поддержку финским компаниям на рынках обороны и безопасности, в частности, в контексте Организации Североатлантического договора (НАТО)».
«В период с 6 по 13 августа 2026 года UNC7005 рассылала целевые фишинговые электронные письма со ссылками на контролируемый злоумышленником домен целям, связанным с европейской оборонной промышленностью или имеющим к ней отношение».
Пользователи, перешедшие на этот домен, попадают на легитимную страницу входа в Google OAuth, где им предлагается войти в свою учетную запись. После успешной аутентификации жертвы перенаправляются на контролируемый злоумышленником непроверенный облачный проект, где они могут украсть токены аутентификации и получить доступ к своим учетным записям.
сообщили Эти усилия также перекликаются с кампанией под названием CaptiveCrunch, о которой ReliaQuest и Microsoft в конце прошлого месяца. Эта деятельность направлена на перенаправление пользователей на контролируемые злоумышленниками Wi-Fi-порталы в таких местах, как отели, конференц-центры и аэропорты в США и других странах, с целью скрытого перенаправления пользователей на инфраструктуру, контролируемую злоумышленниками, для кражи учетных данных.
Эта деятельность включает в себя получение административного доступа к Wi-Fi-шлюзам для изменения конфигураций устройств и использование отравления DNS для перенаправления обычного веб-трафика на легитимные домены через контролируемую злоумышленниками инфраструктуру. По данным Microsoft, атаки с манипулированием трафиком продолжаются с начала мая 2026 года.
«Часть этой деятельности использует домены-двойники, имитирующие онлайн-сервисы Microsoft, для проведения последующих фишинговых операций типа «злоумышленник посередине» (AitM), которые злоупотребляют процессом аутентификации по коду устройства в Microsoft Entra ID», — отметила Microsoft.
Помимо перенаправления пользователей через контролируемую злоумышленниками фишинговую инфраструктуру, хакеры используют свое положение в качестве агентов атаки на цель (AitM) для распространения вредоносного ПО, выдающего себя за обновления браузера или операционной системы, в ответ на автоматические проверки подключения, выполняемые браузерами жертв.
Это может привести либо к развертыванию трояна удаленного доступа на основе Go под названием CornFlake RAT, либо к полезной нагрузке PowerShell под названием ChocoShell (или CHERRYPIE), которая распространяется через приманку ClickFix. Троян предназначен для перечисления систем, сбора файлов и нажатий клавиш, кражи учетных данных и токенов сеансов, ведения аудио- и видеомониторинга, мониторинга съемных носителей и запуска удаленной оболочки на зараженных системах.

С другой стороны, ChocoShell — это основанный на PowerShell инструмент для кражи информации, используемый для хищения сессионных файлов cookie браузера путем получения защиты Chrome от шифрования приложений ( ABE ), сохраненных паролей, токенов единого входа (SSO) Microsoft 365 и учетных данных Wi-Fi из скомпрометированных систем. Имеющиеся данные указывают на то, что вредоносное ПО, вероятно, было создано с помощью большой языковой модели (LLM).


Вся операция управляется с помощью централизованной веб-панели управления (C2), известной как FruitStone. Она позиционируется как "CloudSync Console" и связана с "Acuity Systems, Inc.", вероятно, в попытке выдать себя за легитимное программное обеспечение для управления облаком, чтобы избежать обнаружения.


«FruitStone, реализованный в виде одностраничного приложения (HTML и JavaScript), служащего интерфейсом для C2-сервера, со всей функциональностью, доступной без аутентификации, предоставляет централизованную панель управления для контроля скомпрометированных конечных точек, создания и развертывания новых полезных нагрузок для кампаний, а также для анализа всех собранных данных (таких как скриншоты, нажатия клавиш, учетные данные браузера)», — заявила Microsoft.


Последние данные GTIG указывают на то, что CaptiveCrunch не возник "на пустом месте" и что UNC7005 проводила несколько кампаний одновременно, чтобы получить доступ к учетным записям жертв.

CaptiveCrunch и возможная атака на цепочку поставок​

Более того, постоянное отслеживание этой же кампании компанией Lumen Black Lotus Labs выявило вероятность того, что злоумышленник скомпрометировал несколько поставщиков управляемых услуг (MSP), а затем злоупотребил доверительными отношениями с их клиентами, совершив атаку на цепочку поставок.


«Попав в сети клиентов, они могли атаковать путешественников, перехватывая DNS-запросы на скомпрометированном Wi-Fi-роутере; жертвы перенаправлялись на поддельные порталы аутентификации для сбора токенов OAuth, или же злоумышленник использовал программу для кражи информации», — говорится в отчете компании, предоставленном изданию The Hacker News.


Компания Lumen сообщила изданию The Hacker News, что взлом MSP-провайдеров мог позволить злоумышленникам получить доступ к управляемым ими Wi-Fi-шлюзам. «MSP-провайдеры управляют этими порталами, поэтому мы предполагаем, что они выбрали легкий путь доступа — вероятно, просто используя учетные данные, полученные от MSP, — и таким образом смогли осуществить перехват DNS. Мы видим, что они отслеживают эти отели и могут выбирать, кого перенаправлять на AitM», — добавили в компании.

[td]

Компания CaptiveCrunch, вероятно, нацелена на поставщиков управляемых ИТ-услуг (MSP).​

[/td]​

Американская телекоммуникационная компания также заявила о сотрудничестве с Google, отметив, что исследование было сосредоточено на двух различных аспектах операции CaptiveCrunch: поддельных страницах аутентификации, которые позволяли понять, кто стал целью атаки и как это произошло.
Данные телеметрии от Lumen позволили идентифицировать приблизительно 70 IP-адресов жертв, из которых 40 уникальных IP-адресов отправляли DNS-запросы на серверы управления и контроля, связанные с CaptiveCrunch. «Мы оценили, что эти местоположения указывают на места, где злоумышленник имел доступ, и провели некоторое перечисление, вероятно, перенаправляя DNS-запросы на их резолверы, чтобы определить, представляют ли отдельные путешественники в этих местах дальнейший интерес», — добавлено в сообщении.
Было обнаружено еще 30 уникальных IP-адресов, которые взаимодействовали с инфраструктурой AitM (атака на цель) злоумышленника для сбора токенов, а также один IP-адрес, взаимодействовавший с сервером управления и контроля ChocoShell.
«Эти группы российских кибершпионажей, ориентированных на аутентификацию, нацелены на различные типы аутентификации с использованием легитимных функций и инфраструктуры, от паролей приложений до привязки устройств», — заявили в GTIG. «В частности, их изощренное использование легитимных функций для компрометации учетных записей делает отслеживание доступа к легитимным и злонамеренным учетным записям более сложной задачей».
«Сочетание этих тактик не только позволяет злоумышленнику быстро проводить операции по извлечению данных, но и предоставляет возможности для дальнейшего фишинга, направленного на интересующие его цели, с использованием скомпрометированных, легитимных учетных записей».

Источник