Обе группировки атаковали одну и ту же компанию в Казахстане с разницей в неделю.
Специалисты «Лаборатории Касперского» обнаружили связь между группировками GreyEnergy и Zebrocy.
Русскоязычная группировка GreyEnergy является преемником BlackEnergy (также известна как Sandworm). Группировка активна по меньшей мере 3 года. GreyEnergy неоднократно проводила кампании по разведке и кибершпионажу, направленные на организации в энергетической и транспортной сфере, в основном в Польше и Украине.
GreyEnergy использует модульную вредоносную программу с широким спектром функций, в том числе возможностью кражи данных. Ни один из модулей вредоносного ПО не предназначен специально для атак на промышленные системы, однако мишенями группировки неоднократно становились промышленные рабочие станции и SCADA-системы.
Zebrocy – троян, используемый предположительно русскоязычной группировкой Sofacy (она же Fancy Bear, Sednit, APT28, Tsar Team, Pawn Storm и Strontium). С 2017 года Zebrocy применяется в атаках на организации в странах Ближнего Востока, Азии и Европы.
По данным специалистов ЛК, в ходе одной из фишинговых кампаний участники GreyEnergy использовали два сервера в Швеции и Украине, с которых при открытии прикрепленного к письму документа загружались вредоносные файлы. В то же время группировка Zebrocy использовала те же серверы в качестве центров управления своим вредоносным ПО.
Предположение о связях GreyEnergy и Sofacy подтверждается тем фактом, что обе группировки атаковали одну и ту же компанию в Казахстане с разницей в неделю. В ходе обеих атак злоумышленники рассылали фишинговые письма якобы от имени Министерства энергетики Республики Казахстан со схожими вложениями. “Использование обеими группировками скомпрометированной инфракструктуры говорит о том, что злоумышленники не только говорят на русском языке, но и сотрудничают друг с другом”, – отметила аналитик «Лаборатории Касперского» Мария Гарнаева.
