🔥Томирис выходит в люди: как APT научилась маскироваться под Telegram-чат и доставку мемов

🛰 Что вообще произошло

🔵Последние дни порадовали прям учебниковым кейсом: русскоязычная APT-группа Tomiris обновила арсенал и начала активно использовать публичные сервисы вроде Telegram и Discord как инфраструктуру командования и управления (C2) в атаках на госорганы, МИДы и межгосорганизации, включая цели в России и странах ЦА.

🔵Идея проста и гениальна: трафик к Telegram/Discord выглядит как жизнь, а не как APT, поэтому классические системы мониторинга и фильтрации начинают нервно курить в сторонке.

🧬 Новая биология Tomiris: малварь как конструктор

😜Tomiris перешла на мультиязычные модульные вредоносы: разные компоненты написаны на нескольких языках и отвечают за отдельные стадии — от первоначального доступа до устойчивого закрепления.

🔵Это не только усложняет анализ, но и позволяет гибко собирать «боевой комплект» под конкретную жертву, заменяя части без полного переезда инфраструктуры.

📡 C2 через публичные сервисы

🔵Вместо «палящегося» собственного хостинга Tomiris использует публичные сервисы как прокси-командный центр: запросы к Telegram и Discord сливаются с обычным пользовательским трафиком, усложняя детект по сетевым индикаторам.

🔵Фактически SOC теперь должен отличать «пользователь читает чатик» от «злой имплант стягивает команды с того же домена», и делает это не по IP-адресам, а по поведенческим аномалиям и контексту.

🎯 Кого именно бьют и чем это чревато

🔵Более половины фишинговых писем и приманок в текущей кампании используют русские имена и текст, что указывает на прицельный интерес к русскоязычным пользователям и организациям.

🔵При этом атаки зафиксированы и в отношении структур Туркменистана, Кыргызстана, Таджикистана и Узбекистана, где контент адаптирован под национальные языки — локализация как сервис.

🏛 Госорганы под прицелом

😵Цели — в первую очередь министерства иностранных дел, межгосударственные структуры и другие правительственные организации, включая российские.

🔵Для таких жертв подобные кампании означают не просто риск шифрования пары серверов, а долгую скрытую работу с возможностью шпионажа, манипуляции документами и подготовки к геополитическим операциям.

🎣 Фишинг 2025: не «Поздравляем, вы выиграли айфон»

📧 Очень целевой spear-phishing

🔵Tomiris использует тщательно подготовленный spear‑phishing: письма и документы выглядят как реальные дипломатические ноты, служебные переписки и рабочие материалы, часто с актуальным политическим или региональным контекстом.

🛡 Как защищаться, когда APT прячется в Telegram

- Пересмотреть правила фильтрации и мониторинга трафика к публичным сервисам: Telegram, Discord и другим платформам должна сопутствовать поведенческая аналитика, а не «заведомое доверие» по домену.
- Усилить контроль почты для привилегированных и чувствительных подразделений: строгие политики вложений, песочницы для офисных файлов и изоляция потенциально опасного контента.
- Централизовать логирование и аномалитику по рабочим станциям сотрудников, внешнеполитических и регуляторных органов, где подобные атаки наиболее вероятны.


🧠 Экспертный вывод

🔵Tomiris наглядно показывает, в какую сторону эволюционируют серьёзные угрозы: не в сторону «магических 0‑day ради красоты», а в сторону качественной маскировки под обычный цифровой шум и привычные сервисы вроде Telegram.

🔵В такой реальности выживают не те, у кого «самый толстый файрвол», а те, кто умеет сочетать технику, процессы и обученных людей в одну систему — и кто перестал считать, что трафик к любимым мессенджерам по умолчанию безопасен.

#кибербезопасность #APT #Tomiris #инфобез_для_своих #SOC_в_истерике

📝Автор: Беляев Дмитрий

➡️[ПОДДЕРЖАТЬ ПОДПИСКОЙ]⬅️🔚

🎙 [Проект BST] |  | 📺 [Rutube] | 📺 [VK] | 🎵 [Мои подкасты] | 💰 [Буст Канала] | 💬 [Откомментировать] | 🎙[Участие в подкасте]

🤖Совершенный ИИ:
как мы незаметно подписались на новый класс угроз


🛡 Если коротко - ИИ уже не «где-то там в Кремниевой долине», он сидит в вашем фишинге, в скриптах атакующих и потихоньку просачивается в ваши SOC-плейбуки.

🛡 2025 действительно стал годом проверки на киберустойчивость, и тем, кто продолжает жить в моделях угроз образца 2018 года, сейчас особенно больно.

🤖 Новый профиль рисков: ИИ по обе стороны баррикад

🎩 С одной стороны ИИ честно помогает: фильтрует аномалии, подсвечивает подозрительные действия, автоматизирует разбор инцидентов и даже пишет приличные корреляционные правила.

😎 С другой стороны те же самые технологии пишут фишинговые письма без орфографического ада, генерируют правдоподобные легенды и помогают быстро перебирать сценарии атак.

🥷 Раньше атакующим нужно было «уметь», теперь достаточно «уметь спрашивать» - хорошо составленный промпт к модели становится новым скиллом, а неумелый junior-атакующий превращается в весьма неприятного противника.


🎃 Фишинг, OSINT и автопилот атак

😷 Фишинг перестал быть смешным - письма стали стилистически аккуратными, без «уважаемый пользователь, вы выиграли случайный бонус», и всё чаще маскируются под реальные процессы компании и общение конкретных людей.

🔎 OSINT разогнан до абсурда: ИИ быстро собирает из открытых источников информацию о структуре компании, технологиях, должностях и привычках сотрудников, а потом под это подгоняет сценарии атак.

📞 Вся та рутина, которую раньше делали вручную, теперь едет на автопилоте, снижая порог входа для атакующих и увеличивая плотность атак.


🏗 Почему старые модели угроз не работают

❗️ Большинство моделей угроз, которыми живут организации, написаны в эпоху «классических» АРТ и массового фишинга с примитивными вложениями.

🙂 В них почти нет явного учёта ИИ как инструмента усиления атак - от генерации кода до обхода защит, что создаёт разрыв между документацией и реальными инцидентами.

🔲 В итоге мы видим забавный диссонанс: на бумаге у компании всё прекрасно, а в реальности SOC ловит ИИ-сгенерированный фишинг, сложные социальные сценарии и автоматизированные атаки, которых в модель угроз просто не включили.


🎩 Что делать уже сейчас (для пользователей, ИБ и руководителей)

😱 Для пользователей важно перестать верить тексту «потому что он выглядит профессионально» и проверять контекст: ожидаете ли вы это письмо, тот ли это канал, можно ли перепроверить другим способом.

🛡 Для ИБ-команд нужно обновить модель угроз с явным блоком про ИИ (фишинг, deepfake, генерацию кода, автоматизацию OSINT и атак), пересобрать playbook-и SOC с учётом новых сценариев и добавить тренинги по распознаванию ИИ-усиленных атак.

🔐 Для руководителей стоит закладывать ИИ-угрозы в риск-реестр наравне с ransomware и утечками, инвестировать не только в инструменты, но и в обучение людей, и смотреть на AI-security как на обязательный элемент архитектуры, а не просто хайп .


#кибербезопасность #ИИ #рискменеджмент #SOC #фишинг


📝Автор: Беляев Дмитрий

📝 Связаться с Дмитрием: @BELYAEV_SECURITY_bot

➡️[ПОДДЕРЖАТЬ ПОДПИСКОЙ]⬅️🔚

🎙 [Проект BST] |  | 📺 [Rutube] | 📺 [VK] | 🎵 [Мои подкасты] | 💰 [Буст Канала] | 💬 [Откомментировать] | 🎙[Участие в подкасте]