🎯 Целевая кибератака на структуры Минобороны РФ (ВАИ)

На ANY[.]RUN загружен свежий вредоносный образец, нацеленный на Вооруженные силы РФ. В качестве вектора используется классический фишинг с маскировкой под официальный документ от Военной автомобильной инспекции (ВАИ).

Как устроена атака:

1. Жертве подсовывают 7-Zip SFX-архив исх1051_от_20.04.2026_сл паспорт.exe с иконкой PDF-файла.
2. При запуске архив распаковывает два файла: легитимную приманку Vppq.pdf и обфусцированный вредоносный пейлоад Baresl.exe.
3. Документ-приманка (см. скриншот) представляет собой якобы телеграмму Начальникам ВАИ (территориальных) Центрального и Московского военных округов касательно сроков действия и оформления служебных паспортов военнослужащих до мая-декабря 2026 года.

Технические детали:
В ходе отладки пейлоада выявлено создание мьютекса 301525677, а также процедура расшифровки строк, содержащих адреса управляющих (C&C) серверов.

Индикаторы компрометации (IoCs):

Хэши (MD5):
509F19417E20A960A031B9B4F0676E54 - исх1051_от_20.04.2026_сл паспорт.exe (дроппер)
66F3E59650EC2CC430EF4CE2F82A448B - Vppq.pdf (приманка)
29D8E6D9FB9C7775C54247832AE5B3A6 - Baresl.exe (пейлоад)

C&C:
dezinsekciya-top[.]ru:443
ahmetgurses[.]net:443
94.232.248[.]34:443
194.190.153[.]182:443

Мьютекс:
301525677

#CyberSecurity #CTI #ThreatIntelligence #MalwareAnalysis #ReverseEngineering #InfoSec #APT #CyberWar