В январе текущего года группа киберразведки TI‑департамента PT ESC разоблачила ранее неизвестную финансово мотивированную APT‑группировку DarkGaboon, кибератаки которой в отношении российских компаний удалось отследить до весны 2023 года. Изучению подверглись эволюция вредоносного арсенала, миграция инфраструктуры и TTP группировки, но для полного восстановления kill chain не хватало инструментов и техник конечного импакта.

Однако уже весной этого года сбылись прогнозы PT ESC о сохранении активности и наступательности со стороны DarkGaboon, а недостающие элементы пазла были обнаружены департаментом комплексного реагирования на киберугрозы в ходе расследования инцидентов в инфраструктуре российских компаний. Ими оказались сетевой сканер обнаружения доступных сетевых шар N.S. и шифровальщик LockBit.

Kill chain, TTP, инструменты

В качестве вектора проникновения группировка продолжает использовать email‑рассылку c текстом на русском языке с таргетом на сотрудников финансовых подразделений и акцентом на срочности изучения документов во вложении. Прилагаемые к письмам архивы содержат документы‑приманки RTF и.scr‑файлы, являющиеся обфусцированными Themida и.NET Reactor PE билдами RAT‑троянов Revenge и XWorm, использующими названия‑омоглифы, изображение PDF‑документа и невалидные Х.509-сертификаты, якобы выпущенные на имя российских компаний либо имеющие бухгалтерский подтекст.

Обнаруженные экземпляры документов‑приманок RTF, используемые DarkGaboon в текущих кибератаках, загружены группировкой с легитимных ресурсов с шаблонами финансовых документов и стабильно используются с 2023 года.

Проникнув в атакуемую сеть и закрепившись с использованием RAT‑троянов, DarkGaboon проводит горизонтальную разведку узлов внутренней сети, доступных с зараженного хоста. Упакованный с использованием UPX дроппер расшифровывает с помощью алгоритма AES‑ECB (ключ шифрования — MD5-хеш строки «oKuQzNc8L6QcYdrA5»), извлекает и запускает на зараженном хосте два инструмента:

• NS.exe: сетевой сканер N.S., обнаруживает и монтирует доступные сетевые шары;

• 1.exe: командой cleanmgr /sagerun:1 запускает утилиту очистки жесткого диска от временных файлов.

Используемый DarkGaboon экземпляр сетевого сканера N.S. скомпилирован в сентябре 2018 года, а в феврале 2019 года впервые замечен в реальной кибератаке. В настоящее время используется в арсенале многих киберпреступных группировок.

Завершив монтирование доступных сетевых шар, DarkGaboon зашифровывает LockBit-ом доступные файлы и оставляет записку с инструкцией на русском языке по их расшифровке, в которой в качестве контактов указаны два адреса электронной почты. Следы предварительной эксфильтрации зашифрованных данных на инцидентах не выявлены.

Используемая DarkGaboon версия шифровальщика LockBit 3.0 (LockBit Black) в 2022 году попала в открытый доступ и в настоящее время используется многими группировками.

В завершение кибератаки DarkGaboon зачищает цифровые следы, демаскирующие управляющую инфраструктуру, путем запуска BAT‑файла, который удаляет RAT‑троян с сессией удаленного подключения к зараженному хосту и самого себя.

Сетевая инфраструктура

В отличие от предыдущих кибератак, в которых DarkGaboon для рассылки вредоносных писем использовала ранее скомпрометированные email, в рамках текущей киберкампании рассылка вредоносных писем осуществляется с расположенного в России SMTP‑сервера с PHPMailer и 53 делегированных ему доменов в российской доменной зоне.ru, часть из которых была зарегистрирована еще в августе 2024 года.

Инфраструктура для управления RAT‑сессиями на зараженных хостах претерпела незначительные изменения: DarkGaboon продолжает использовать группы доменов Dynamic DNS, в том числе созвучные с африканским гигантом Килиманджаро, и виртуальный Windows‑хост с RDP‑подключением, как и прежде арендованный в сетях американского провайдера хостинга Nybula LLC, однако на этот раз также получивший африканскую прописку на Сейшельских островах.

Указанный в инструкции домен room155[.]online не является публичным сервисом и, вероятнее всего, принадлежит группировке. Домен и соответствующий ему TLS‑сертификат впервые были зарегистрированы в марте 2023 года, что совпадает с периодом начала активности DarkGaboon. Сервер, указанный в DNS‑записях домена, является проксирующим: ему одномоментно делегированы порядка 500 доменных имен, на 53-м сетевом порте функционирует программное обеспечение PowerDNS, а сам домен неоднократно менял записи DNS (A), первая из которых относилась к серверу в сети украинского провайдера хостинга. Анализ DNS‑записей позволил обнаружить активные субдомены, связанные с веб‑интерфейсом электронной почты и хранилищем WebDav.

Артефакты

Адреса электронной почты, указанные в обнаруженных на инцидентах записках, ранее фигурировали в кибератаках с использованием шифровальщика LockBit на финансовые подразделения российских компаний в марте — апреле 2023 года, что так же, как и период регистрации домена и TLS ‑сертификатов, совпадает с периодом начала активности DarkGaboon. Текст записок 2025 года в целом схож с текстом записок 2023 года, однако был убран TOX‑идентификатор злоумышленников и добавлен комментарий о нежелательности использования для коммуникации российских почтовых сервисов, Gmail и Proton.

Заключение

В целом DarkGaboon продолжает придерживаться тактики использования опенсорс‑решений: RAT‑троянов Revenge, XWorm, шифровальщика LockBit и сетевого сканера N.S. — что позволяет группировке затеряться на общем фоне многочисленных кибератак с использованием этих инструментов.

Однако артефакты, обнаруженные в рамках киберразведки и реагирования на инциденты, позволили PT ESC связать DarkGaboon с целой серией кибератак 2023–2025 годов на российские компании с использованием шифровальщика LockBit, целью которых является извлечение финансовой выгоды путем шифрования компьютерной информации компаний и вымогательства денежных средств за ее расшифровку.

При этом DarkGaboon не является клиентом RaaS‑сервиса LockBit и действует самостоятельно, на что указывают такие факты, как использование попавшей в открытый доступ версии шифровальщика LockBit, отсутствие в атакованных компаниях следов эксфильтрации данных и традиционных угроз опубликовать украденную информацию на DLS‑портале.

PT ESC, как и ранее, прогнозирует сохранение высокой активности APT‑группировки DarkGaboon в отношении российских компаний, продолжит отслеживать ее активность и своевременно предупреждать жертв о готовящихся кибератаках.

Виктор Казаков

Ведущий специалист группы киберразведки PT ESC Threat Intelligence