Специалисты «Лаборатории Касперского» раскрыли детали новой киберкампании группировки Stan Ghouls, также известной под названием Bloody Wolf. Согласно исследованию, с конца 2025 года злоумышленники активизировали атаки на организации в странах СНГ, сосредоточив основные усилия на Узбекистане, а также на России и Казахстане.
По данным экспертов, хак-группа действует в регионе как минимум с 2023 года и традиционно выбирает в качестве целей компании из финансового сектора, промышленности и ИТ-сферы. Если ранее ключевым инструментом атак был коммерческий троян удалённого доступа STRRAT (Strigoi Master), то в 2025 году Stan Ghouls изменила тактику, перейдя на использование легитимного программного обеспечения NetSupport для удалённого администрирования. Такой подход позволяет маскировать вредоносную активность под обычный корпоративный софт, снижая вероятность обнаружения и избавляя атакующих от необходимости разрабатывать и поддерживать собственный RAT.
Исследователи отмечают, что группировка располагает разветвлённой и гибкой инфраструктурой. Для разных этапов кампаний зарегистрировано свыше 35 доменов, которые регулярно меняются. При этом сам набор вредоносных инструментов остаётся стабильным: уникальный загрузчик на Java и NetSupport RAT. Использование Java в современных атаках встречается всё реже, поэтому данный элемент фактически стал «подписью» Stan Ghouls.
Основным способом проникновения в сети жертв остаётся целевой фишинг. Злоумышленники рассылают письма на местных языках — в частности, на узбекском и кыргызском — маскируя их под официальные уведомления от судов или прокуратуры. Во вложениях содержатся PDF-документы с нейтральными названиями вроде «Материалы дела», внутри которых размещена ссылка на скачивание. Получателю предлагается установить Java Runtime Environment и открыть файл, который на самом деле является вредоносным JAR-загрузчиком.
После запуска вредонос показывает фиктивное сообщение об ошибке, проверяет количество попыток установки (не более трёх), а затем загружает компоненты NetSupport RAT с серверов злоумышленников. Для закрепления в системе программа добавляет себя в автозапуск сразу несколькими способами — через папку Startup, системный реестр и планировщик задач.
После успешного заражения операторы получают полный удалённый контроль над компьютером жертвы. Учитывая профиль атакуемых организаций, эксперты считают основной мотивацией финансовую выгоду, однако не исключают и элементы кибершпионажа.
Отдельный интерес у исследователей вызвал тот факт, что на одном из доменов, ранее использовавшихся Stan Ghouls, были обнаружены образцы вредоносного ПО Mirai — известного ботнета для атак на IoT-устройства. Пока неясно, применяет ли группировка Mirai самостоятельно или же предоставляет свою инфраструктуру третьим лицам.
Согласно оценкам «Лаборатории Касперского», в рамках последней кампании пострадали около 50 организаций в Узбекистане и порядка 10 — в России. Единичные случаи заражений также зафиксированы в Казахстане, Турции, Сербии и Беларуси, вероятно, как побочный эффект рассылок.
Комментируя ситуацию, эксперт по кибербезопасности Алексей Шульмин отметил, что атака более чем на 60 целей является значительным показателем для одной таргетированной кампании. По его словам, это указывает на наличие у группировки серьёзных ресурсов для ручного управления десятками заражённых систем. При этом злоумышленники сохраняют прежний инструментарий, делая ставку на регулярное обновление инфраструктуры и доменной базы.
Видите беспорядок или несправедливость в своём районе? Не проходите мимо! Присылайте нам фото, видео или новости в наш Telegram-чат. Ваши новости помогают нам отслеживать нарушения и информировать жителей вовремя.