Специалисты Positive Technologies раскрыли ранее неизвестную APT-группировку StingyBasilisk, которая почти четыре года оставалась незамеченной в сети государственного учреждения. По результатам расследования, злоумышленники получили доступ к инфраструктуре не позднее апреля 2022 года. До обнаружения прошло 1398 дней. Для удержания доступа они использовали редко встречающиеся механизмы Windows, скрытые модули и внутренние каналы связи, из-за чего вредоносная активность долго походила на обычную работу системных компонентов.
Как обнаружили многолетнее присутствие
Команда реагирования PT ESC IR выявила угрозу в начале 2026 года, расследуя инцидент в государственном учреждении. Специалисты восстановили хронологию по следам работы вредоносных модулей, сетевым артефактам и данным реестра. Самая ранняя подтвержденная активность относится к апрелю 2022 года. Название StingyBasilisk исследователи присвоили группе самостоятельно: атрибуции к известному оператору или конкретному государству они не установили.
В открытом отчете не указана страна пострадавшего учреждения. Первоначальный способ проникновения тоже остался неизвестным. Утверждать, что была взломана российская госструктура или что злоумышленники похитили определенный объем секретных документов, на основании публикации нельзя.
Чем атакующие закреплялись в Windows
Для скрытого запуска группа использовала COM hijacking — изменение ссылок на системные COM-компоненты так, чтобы при обращении к ним загружалась подставная библиотека. В исследованных образцах этот подход применялся к компонентам управления сетью Windows, а вредоносный модуль передавал штатные вызовы исходной библиотеке. Это позволяло избежать типичных ошибок и сбоев, которые могли привлечь внимание администраторов.
Вторым механизмом стал Time Providers: сторонняя DLL регистрировалась как поставщик времени для службы W32Time. Такая библиотека могла загружаться вместе со штатной службой с высокими привилегиями. При обычной проверке списка установленных программ оба способа легко пропустить; для обнаружения нужны контроль изменений системных компонентов и анализ автозапуска.
Как работали SilentCOM, TediousLoader и CunningDoor
Инструментарий StingyBasilisk включал SilentCOM, TediousLoader и CunningDoor. Они принимали дополнительную нагрузку, расшифровывали ее и выполняли в памяти процессов Windows. Для координации между зараженными узлами группа активно использовала именованные каналы Windows, то есть механизм связи между локальными и удаленными процессами, который сам по себе является штатной частью ОС.
С февраля 2026 года исследователи заметили активное перемещение внутри сети: атакующие использовали SMB для передачи компонентов, а планировщик задач Windows — для удаленного запуска. Они также маскировали часть своих инструментов под продукты безопасности, применявшиеся в организации. Такой набор приемов позволял долго удерживать доступ и работать даже в сегментах, где прямой выход в интернет ограничен.
Что в истории важнее громкого срока
1398 дней — продолжительность обнаруженного присутствия в одном расследованном случае, а не универсальная средняя «незаметность» APT. В расследовании не восстановлен весь путь от первоначального проникновения до каждого действия операторов. Однако именно многолетний горизонт показывает ограниченность проверок только последней недели: организация может устранить свежую точку входа, но оставить в сети старые механизмы закрепления.
Исследователи советуют уделять особое внимание контроллерам домена, системам централизованного управления, событиям запуска служб и изменениям системного реестра. Проверка таких признаков помогает искать не только недавно доставленные файлы, но и длительное скрытое присутствие.
Читайте также: HOOKEDGE скрывал команды в трафике Edge
Вопросы и ответы (FAQ)
Как долго StingyBasilisk скрывалась в сети?
Positive Technologies оценила обнаруженный период присутствия в 1398 дней.
Где находилось учреждение?
Страна пострадавшей организации публично не названа.
Как злоумышленники проникли впервые?
Начальный вектор атаки расследователи не смогли определить.
Связана ли группа с известной APT?
Надежной атрибуции к ранее известной группировке нет.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
