«Лаборатория Касперского» раскрыла инструментарий «Хакерского кота»: пророссийский хакер обозначил его как «комбайн из чужих кусков»

«Лаборатория Касперского» разобрала инструментарий украинской хакерской группировки «Хакерьский кiт». Компания отметила, что поначалу хактивисты занимались дефейсами сайтов, утечками и инструментами для пентеста, однако позже переключились на шифрование и уничтожение данных, указано на странице исследования.

Ранее SecPost писал об атаке «Хакерского кота» на краснодарский завод, производящий оборудование для атомных станций. Хактивисты заявили, что находились в системе несколько месяцев, захватили учетные записи, уничтожили 300 ТБ данных и похитили еще 6 ТБ, которые угрожают выложить в открытый доступ.

В материале указано, что «Хакерский кiт» активно сотрудничает с другими хактивистами: Cyber Anarchy Squad и Ukranian Cyber Alliance. Именно поэтому, как указала компания, атрибуция отдельных инструментов группировки осложнена. Несмотря на это, в «Лаборатории Касперского» подчеркнули, что для первоначального доступа группировка использует уязвимости в Exchange-серверах. В качестве предположительных уязвимостей были выделены CVE-2021-26855 и CVE-2026-42897. Использование уязвимостей позволяет хакерам развернуть «самописанный» инструмент.

К таким исследование относит один из ключевых инструментов хактивистов — Gorilla RAT, не упоминавшийся ранее и встречавшийся только в атаках группировки. Ранее инструмент был «классической обратной оболочкой» (reverse shell), написанной на языке Go (Golang) с использованием сетевого протокола WebSocket. Сам вредонос, по заявлению исследователей, проверяет продолжительность сна, а в случае, если проходит более 120 мс, считает проверку проваленной.

При этом образец, упоминаемый в материале, оценивает минимальный объем физической памяти. При провале любой из проверок вредонос завершает работу. Также ПО перебирает запущенные процессы для выявления инструментов анализа и отладки и ищет в имени хоста следующие подстроки:

• sandbox
• malware
• sample
• vmware
• virtual
• qemy

В исследовании указано, что ПО использовалось недолго, а позже, после января 2026 года, было переписано в инструмент для полноценного удаленного доступа с расширением функциональности, который и превратился в GorillaRAT. После переработки вредонос также содержал C2-адрес и проверку продолжительности сна, а также остался написанным на Go с использованием WebSocket. В «Лаборатории Касперского» указали, иногда GorillaRAT распространялся в UPX-архивах, а в некоторых случаях — в виде несжатого исполняемого файла.

После запуска вредонос расшифровывал адрес С2 и пытался подключиться к нему. Исследование подчеркнуло: если подключение не удается, ПО повторяет попытку каждые 12 секунд. При успешном же соединении GorillaRAT отправляет С2 информацию о зараженной системе, в которую входят идентификатор жертвы, количество ядер процессора, объем оперативной памяти, имя устройства и внешний IP-адрес. После этого один поток ожидает команды от С2, другой же каждые 27–36 секунд проверяет состояние соединения.

C2-адрес — это IP-адрес или доменное имя сервера, который принадлежит хакерам. Через этот адрес вредоносное ПО (вирус), попавшее на компьютер, связывается со своими создателями, чтобы получать команды или отправлять украденные данные

Отдельно в «Лаборатории Касперского» выделили, что инструмент позволяет «Хакерскому коту» выполнять много функций, среди которых выполнение команды через командную строку, получение списков процессов, скачивание файлов с зараженной системы, загрузка файлов на зараженную систему, а также создание TCP-туннелей, их закрытие и передача через них данных.

TCP-туннель — защищённый виртуальный «коридор», который позволяет безопасно передавать данные между двумя устройствами через интернет.

По мнению исследователей, благодаря TCP-туннелированию злоумышленники могут подключаться через зараженный компьютер к другим конечным точкам внутри сети жертвы. Также было отмечено, что в некоторых образцах присутствовало управление системой через VNC (технология удаленного доступа через интернет). В качестве же С2 GorillaRAT чаще всего использовал IP 179.43.186[.]239, на котором была обнаружена административная панель Lissa C2. Использовались и другие IP — 31.7.58[.]226 и khinkal[.]net.

В качестве еще одного ключевого инструмента группировки был выделен шифровальщик Monkey Ransomware, обнаруженный во многих вариациях на системах жертв. При этом разные версии были написаны на разных языках.

Первая версия, написанная на языке Rust, появилась в конце лета — начале осени 2025 года и сосредоточена на Windows. Исследование указало, что она имеет расширения файлов .monkey, .xoxol и .benzona. Версия генерирует 32-байтовый ключ и использует криптографический шифронабор ChaCha20-Poly1305 для шифрования файлов. «Лаборатория Касперского» подчеркнула, что некоторые варианты нигде не сохраняют ключи, что превращает их в вайпер, однако они все равно оставляют записку с требованием выкупа. Другие варианты же сохраняют ключ, но не оставляют в записке контактов для связи.

Версия на Rust перед шифрованием повышает привилегии и отключает процессы, кроме тех, которые явно разрешены в коде шифровальщика. Также эта версия отключает восстановления системы.

Версия на .Net распространяется как приложение .NETCoreApp и генерирует 32-байтовый ключ, после чего отправляет его на С2. Исследователи отметили, что эта версия шифрует файлы при помощи AES-256-CBC, повышает привилегии, отключает механизмы восстановления Windows, а также умеет закрепляться в системе. Отличными от других версий функциями в материале названы извлечение учетных данных Outlook и их отправка на С2, удаление файлов с расширениями .bak, .backup, .bkf, .bck и последующее самоудаление после выполнения.

Особенностью же другой версии, написанной на языке C++, был назван более широкий набор функций. Так, «Лаборатория Касперского» выделила, что на этой версии вредонос умеет закрепляться через планировщик задач и через определенные ветки реестра, может повышать привилегии, очищать журналы System, Security и Application, отключать логирование и удалять историю PowerShell и командной строки.

Среди других функций также были выделены обход AMSI и отключение ETW, добавление своих файлов в исключения Windows Defender, отключение диспетчера задач и командной строки, а также отключение различных служб, включая SQL и Exchange.

Последняя версия, написанная на Golang, предназначена для устройств на системах Linux и ESXi. Исследователи назвали основные возможности версии: создание сервиса Monkey.Service, закрепление через crontab, отключение защиты на уровне ОС, а также определение IP и страны устройства. Материал подчеркивает, что версия содержит функцию удаления Shadow Volume Copy, которая не имеет смысла в Linux и ESXi. «Лаборатория Касперского» связывает это с невнимательностью разработчиков и с возможным использованием ИИ при разработке инструментария. В пользу последней версии, по мнению исследователей, фигурирует факт появления большого количества версий за короткий период — с конца лета 2025 до конца весны 2026 года.

Еще один шифровальщик, который использует группировка, — Hydra Ransomware. Вредонос использует другие алгоритмы шифрования и добавляет к файлам расширение .hydra_ransomware. При этом исследователи подчеркнули, что оформление этого ПО похоже на Monkey Ransomware — в обоих разработках похожий текст на обоях рабочего стола, записки о выкупе и одна и та же уникальная ссылка на чат с жертвой в Simplex.

В «Лаборатории Касперского» подчеркнули, это может говорить о том, что у вредоносов один и тот же автор. Указанный же в записке Telegram-канал Hydra найти не удалось, поэтому исследователи предположили, что найденная версия могла находиться на тестировании.

Помимо этого, в материале разобраны совместные атаки с другими группировками. Так, в одном из инцидентов «Хакерский кот» поблагодарила Cyber Anarchy Squad за помощь. На зараженной системе исследователи нашли BAT-файл, который скачивал с удаленного сервера ClearWater и запускал его. Также была обнаружена попытка загрузить и запустить ClearWater через PowerShell-скрипт, который был закодирован в Base64, однако это не сработало из-за опечатки в IP-адресе.

Также в источнике указано, что ClearWater — один из популярных шифровальщиков, которые используют проукраинские хакеры. Предполагается, что его создатели распространяют его по модели Ransom-As-Service.

Другая атака группировки, совместная с Ukranian Cyber Alliance, показала наличие в инфраструктуре жертвы Gorilla RAT и несколько других файлов, которые были связаны с другой цепочкой заражения. Исследователи выделили, что цепочка похожа на ту, что ранее была в атаках группировок 4BID и BO Team, однако в ней были изменения: вместо шифровальщика цепочка доставляла вайпер. При этом в скрипте появилась поддержка разных архитектур Windows за счет двух DLL.

Исследование подчеркивает, после загрузки системы запускалась цепочка, которая приводила к запуску Nemo Wiper, в то время как для отвлечения пользователя создавалось полноэкранное окно, которое имитирует обновление Windows и блокирует взаимодействие с системой. В это же время запускался скрипт update.dat, который содержал файл Nemo Wiper.

По поводу вайпера в материале отдельно указано, что перед удалением данных он останавливает процессы различных СУБД, контейнеров и систем виртуализации. Исследователи заявили, что это делалось для того, чтобы файлы без данных, контейнеров и виртуальных машин не оставались заблокированными. После этого вайпер проверял файлы на соответствие списку исключений, а потом уничтожал содержимое файлов путем перезаписи случайными байтами.

«Лаборатория Касперского» подчеркнула, что в такой ситуации файл не удается уничтожить полностью: его содержимое физически перезаписывается фрагментами по всей длине файла, а доля перезаписываемых данных зависит от размера. Например, в файле до 50 МБ доля перезаписываемых данных будет составлять 90%, от 50 МБ до 1 ГБ — 40%, от 1 до 10 ГБ — 30%, от 10–100 ГБ — 20%, а более 100 ГБ — 10%.

После обработки файлов вредонос заполняет свободное место на диске файлами со случайными именами и расширением .lock, что, в свою очередь, также затрудняет восстановление данных.

При этом, изучив инфраструктуру «Хакерского кота», исследователи заявили, что у нескольких IP-адресов, связанных с Gorilla RAT и ClearWater, обнаружился одинаковый SSH-отпечаток. Часть этих адресов использовались как С2 для разных инструментов. Например, «Лаборатория Касперского» выделила, что один из них использовался в 2025 году как С2 для Cobalt Strike, который группировка применяла до появления Gorilla RAT.

«Хакерський кiт» отреагировал на исследование, заявив, что Hydra Ransomware никак не связан с группировкой. При этом проукраинские хакеры подчеркнули, что хоть в материале и есть инструменты, принадлежащие им, указанные локеры никак с ними не связаны.

Пророссийский хакер PalachPro в комментарии SecPost указал, что инструментарий «Хакерского кота» типичен для проукраинских хактивистов. Собеседник редакции объяснил, что представленная группировка взяла открытые RAT’ы и билдеры LockBit/Babuk, которые уже год как публичны, переименовала функции и назвала их «своими».

«Gorilla RAT — это просто типичный комбайн из чужих кусков, заимствования стандартных техник persistence, C2 и шифрования, слабая обфускация или ее отсутствие и паттерны ИИ», — отметил хактивист. При этом PalachPro оценил вредонос Gorilla RAT «на троечку с минусом», отметив, что ПО имеет базовый функционал. Monkey Ransomware хактивист оценил еще ниже.

«Если бы они реально хотели делать больно, а не пиариться, то хотя бы нормальный шифровальщик с нормальным C2 и без явных косяков написали бы. А так, поиграли в «кибервойну» и побежали в телегу скрины кидать», — отметил хакер. Собеседник подчеркнул, что такой подход типичен для украинских хакеров, обозначив его как «много шума, но мало толку».