🔥Томирис выходит в люди: как APT научилась маскироваться под Telegram-чат и доставку мемов

🛰 Что вообще произошло

🔵Последние дни порадовали прям учебниковым кейсом: русскоязычная APT-группа Tomiris обновила арсенал и начала активно использовать публичные сервисы вроде Telegram и Discord как инфраструктуру командования и управления (C2) в атаках на госорганы, МИДы и межгосорганизации, включая цели в России и странах ЦА.

🔵Идея проста и гениальна: трафик к Telegram/Discord выглядит как жизнь, а не как APT, поэтому классические системы мониторинга и фильтрации начинают нервно курить в сторонке.

🧬 Новая биология Tomiris: малварь как конструктор

😜Tomiris перешла на мультиязычные модульные вредоносы: разные компоненты написаны на нескольких языках и отвечают за отдельные стадии — от первоначального доступа до устойчивого закрепления.

🔵Это не только усложняет анализ, но и позволяет гибко собирать «боевой комплект» под конкретную жертву, заменяя части без полного переезда инфраструктуры.

📡 C2 через публичные сервисы

🔵Вместо «палящегося» собственного хостинга Tomiris использует публичные сервисы как прокси-командный центр: запросы к Telegram и Discord сливаются с обычным пользовательским трафиком, усложняя детект по сетевым индикаторам.

🔵Фактически SOC теперь должен отличать «пользователь читает чатик» от «злой имплант стягивает команды с того же домена», и делает это не по IP-адресам, а по поведенческим аномалиям и контексту.

🎯 Кого именно бьют и чем это чревато

🔵Более половины фишинговых писем и приманок в текущей кампании используют русские имена и текст, что указывает на прицельный интерес к русскоязычным пользователям и организациям.

🔵При этом атаки зафиксированы и в отношении структур Туркменистана, Кыргызстана, Таджикистана и Узбекистана, где контент адаптирован под национальные языки — локализация как сервис.

🏛 Госорганы под прицелом

😵Цели — в первую очередь министерства иностранных дел, межгосударственные структуры и другие правительственные организации, включая российские.

🔵Для таких жертв подобные кампании означают не просто риск шифрования пары серверов, а долгую скрытую работу с возможностью шпионажа, манипуляции документами и подготовки к геополитическим операциям.

🎣 Фишинг 2025: не «Поздравляем, вы выиграли айфон»

📧 Очень целевой spear-phishing

🔵Tomiris использует тщательно подготовленный spear‑phishing: письма и документы выглядят как реальные дипломатические ноты, служебные переписки и рабочие материалы, часто с актуальным политическим или региональным контекстом.

🛡 Как защищаться, когда APT прячется в Telegram

- Пересмотреть правила фильтрации и мониторинга трафика к публичным сервисам: Telegram, Discord и другим платформам должна сопутствовать поведенческая аналитика, а не «заведомое доверие» по домену.
- Усилить контроль почты для привилегированных и чувствительных подразделений: строгие политики вложений, песочницы для офисных файлов и изоляция потенциально опасного контента.
- Централизовать логирование и аномалитику по рабочим станциям сотрудников, внешнеполитических и регуляторных органов, где подобные атаки наиболее вероятны.


🧠 Экспертный вывод

🔵Tomiris наглядно показывает, в какую сторону эволюционируют серьёзные угрозы: не в сторону «магических 0‑day ради красоты», а в сторону качественной маскировки под обычный цифровой шум и привычные сервисы вроде Telegram.

🔵В такой реальности выживают не те, у кого «самый толстый файрвол», а те, кто умеет сочетать технику, процессы и обученных людей в одну систему — и кто перестал считать, что трафик к любимым мессенджерам по умолчанию безопасен.

#кибербезопасность #APT #Tomiris #инфобез_для_своих #SOC_в_истерике

📝Автор: Беляев Дмитрий

➡️[ПОДДЕРЖАТЬ ПОДПИСКОЙ]⬅️🔚

🎙 [Проект BST] |  | 📺 [Rutube] | 📺 [VK] | 🎵 [Мои подкасты] | 💰 [Буст Канала] | 💬 [Откомментировать] | 🎙[Участие в подкасте]