Злоумышленники распространяют ВПО под видом приложения для отслеживания дронов «Баба-яга»
Выявлена группировка Mimbrob, которая с апреля 2026 года распространяет ВПО через фишинговые письма и фальшивое приложение Dronner, маскирующееся под средство отслеживания дронов «Баба-яга». ВПО проверяет язык системы и заражает только десктопные устройства, вероятная цель — шпионаж. Помимо военных, под атакой находятся российские промышленные предприятия и ИТ-компании.
Выявлена новая вредоносная активность, получившая название Mimbrob. Злоумышленники распространяют вредоносное ПО через фальшивое приложение Dronner, предназначенное якобы для отслеживания дронов типа «Баба-яга» и мест минирования. Об этом SecPost сообщили в компании F6.
Для распространения приложения в мае 2026 года был создан сайт в зоне .ru. При запуске программа проверяет язык системы, предпочитаемые языки интерфейса и установленные раскладки клавиатуры. В списке проверяемых — раскладки для русского языка, языков стран СНГ и Румынии. При обнаружении хотя бы одной из них приложение продолжает работу, в остальных случаях переходит в режим сна и через 3 минуты выключается. ВПО предназначено для десктопных устройств.
Первые следы деятельности группировки зафиксированы 22 апреля 2026 года. Как сообщили в F6, атакующие направили фишинговое письмо на российское промышленное предприятие. Отправитель письма предположительно был скомпрометирован — домен принадлежит легитимной компании, занимающейся оптоэлектронными системами измерения. Письмо было замаскировано под служебную записку о необходимости метрологической проверки продукции и обновления ПО. Вредоносный файл находился в архиве.
4 мая 2026 года системой F6 Business Email Protection были заблокированы рассылки в адрес другого промышленного предприятия. Рассылка велась с домена, маскирующегося под российского разработчика в авиационной сфере. Во всех случаях использовался ВПО-загрузчик FBULoader (Fake Browser Update Loader), при этом применялся легитимный файл Яндекс Браузера, а домены мимикрировали под его инфраструктуру.
Фишинговые атаки с использованием FBULoader зафиксированы с 22 апреля по 8 мая 2026 года. Новая волна началась 3 сентября и продолжается. В сентябре были заблокированы письма в адрес нескольких ИТ-компаний с вложениями-архивами «Судебное_разбирательство[дата].rar», отправленные с домена, маскирующегося под российское научно-производственное предприятие. Все три домена, созданные атакующими для отправки писем, зарегистрированы 16 апреля 2026 года.
Параллельно группировка распространяла ВПО RAT-Go. Цепочка атаки начиналась с фишингового письма с архивом от имени научного института, замаскированного под предложение о сотрудничестве.
Как отмечается в исследовании, вероятная цель атакующих — шпионаж. Точные выводы о мотивации остаются в области предположений, поскольку финальная нагрузка в ходе исследования получена не была. Помимо атак на военных, группировка нацелена на российские промышленные предприятия и ИТ-компании.
Читайте также
