В РФ обнаружена новая хакерская группировка, атакующая оборонные предприятия

В 2026 году группа киберразведки PT ESC (экспертный центр безопасности компании Positive Technologies) зафиксировала серию атак на предприятия ОПК, военные структуры, банки, финансовые и консалтинговые организации России. Ключевая техническая особенность кампании — использование легитимной среды выполнения Deno для запуска вредоносного JavaScript- и TypeScript-кода и получения последующих компонентов от C2-сервера.

Как указывается в отчете компании, выявленная группировка получила название DENOmination Group. Связь между исследованными эпизодами подтверждается пересечениями в сетевой инфраструктуре, логике построения цепочек, сходством кодовой базы и конфигурационных параметров. Данных для уверенной атрибутации группировки к ранее известным кластерам на текущем этапе недостаточно.

В исследованных цепочках используется официальный deno.exe, запускаемый с флагом -A (allow-all), который предоставляет JavaScript-коду доступ к сети, файловой системе, переменным окружения, запуск дочерних процессов и вызов нативных функций через FFI. По оценке компании, такой сценарий может быть менее привычен для стандартных профилей мониторинга, чем классические схемы с mshta.exe или wscript.exe.

Целями атак стали предприятия ОПК, военные структуры, банки, финансовые и консалтинговые организации. В качестве фишинговых приманок используются документы военной и финансово-кредитной тематики.

Группировка Core Werewolf перешла на собственный RAT CoreRAT в атаках на российский госсектор

Ветки доставки

Специалисты PT ESC описали три ветки первоначального доступа. MSI-ветка, выявленная в рамках фишинговой рассылки с финансовой тематикой, использовала письмо с темой «FW: Срочно! Оплатите просроченный кредит» и запароленный архив с файлом с двойным расширением .pdf.msi. После запуска MSI создавал PowerShell-скрипт Juliet_widget15.ps1, который проверял наличие deno.exe, при отсутствии скачивал Deno с официального ресурса и запускал загрузчик DinDoor — Uniform_system17.js. Загрузчик идентифицировал зараженный хост, проверял доступность C2 по маршруту /health и получал по маршруту /event основной модуль m.js — полнофункциональный агент удаленного доступа DenoRAT.

LNK-ветка фиксировалась с конца июня 2026 года. Образцы маскировались под документы, в том числе под файл «2026-08-15-16-40-10-Анкета обучение программа ВГК”.docx.lnk». Для затруднения визуального обнаружения аргументов командной строки перед параметрами PowerShell помещалась последовательность из 203 управляющих пробельных символов (102 перевода строки и 101 табуляция). Декодированная PowerShell-команда загружала PS1-установщик, который отправлял телеметрию, открывал DOCX-приманку, устанавливал Deno 2.7.14 и запускал загрузчик DinDoor. Документ-приманка представлял собой анкету военнослужащего — оператора БПЛА с вопросами о летном опыте, работе с РЭБ, РЭР и тепловизорами.

Ветка DeltaScan использовала многостадийную цепочку EXE → MSI → JavaScript/WSH → Deno → <BuildID>.js. Первоначальный EXE на .NET проверял доступность C2 по маршруту /<BuildID>/health-install, при наличии предыдущей установки удалял ее через msiexec.exe /x и разворачивал встроенный MSI. Встроенный MSI содержал JScript-сценарий для Windows Script Host, PowerShell-компонент, встроенный дистрибутив Deno и NSIS-установщик DeltaScan 1.4.1, отображающий страницу petrel.live.

Функциональность DenoRAT

По данным компании, DinDoor выполняет роль промежуточного загрузчика: идентифицирует узел, проверяет C2 и получает следующую стадию. DenoRAT реализует удаленное выполнение команд через cmd.exe и PowerShell, интерактивную PTY-сессию, сбор системной информации, обнаружение антивирусов и EDR-систем, захват экрана, кражу данных браузеров, менеджеров паролей, криптовалютных кошельков, Telegram Desktop и Discord, поиск SSH-ключей и VPN-конфигураций, перенаправление сетевого трафика через TCP-туннель и загрузку дополнительных TypeScript-модулей через /agent-modules/<n>.ts.

В LNK-ветке загрузчик закрепляется в системе через ключ автозапуска HKCU\Software\Microsoft\Windows\CurrentVersion\Run, используя conhost.exe —headless для запуска Deno. Для чтения MachineGuid применяется Deno FFI с прямым вызовом Windows Registry API (advapi32.dll) без запуска сторонних исполняемых файлов. Вместо Win32-мьютекса используется Deno.listen на локальном порту.

Группировка Karakurt использовала базы данных российских силовых структур для давления на жертв

Инфраструктура и возможный MaaS

Как сообщили в компании, для LNK-ветки характерна регулярная ротация 16-символьных шестнадцатеричных идентификаторов сборки при относительно стабильных пулах C2. Пятого августа 2026 года операторы перешли на новый пул C2 — 46.29.166[.]104, 188.253.24[.]154 и 94.103.2[.]76, который использовался как минимум до 26 августа. Сборки DeltaScan Setup 1.4.1.exe пересекаются с LNK-инфраструктурой по адресам 13.140.8[.]25 и 141.105.68[.]185.

В компании рассматривают модель malware-as-a-service или иной формы многоарендного доступа как рабочую гипотезу. В открытых исследованиях аналогичные компоненты фигурируют в активности других кластеров. В частности, в апреле 2026 года Hunt.io проанализировала два образца DinDoor, во втором из которых обнаружен встроенный JWT с инфраструктурой serialmenot[.]com, ранее фигурировавшей как многоарендная платформа. В июне 2026 года eSentire Threat Response Unit наблюдала цепочку с DinDoor и DenoRAT, отнесенную к активности TAG150, с получением следующего компонента NightshadeC2.

Название DENOmination Group в рамках исследования относится к конкретному кластеру активности, нацеленному на российские организации, а не к разработчикам DinDoor и DenoRAT или всем операторам этого инструментария.