В выпуске за 10 ноября – фишинговая кампания Arra Ghouls против организаций России и Беларуси, лабораторная техника BluePhishing для идентичностей ИИ-агентов и свежая статистика компрометации учётных записей в Бельгии.
Россия и Беларусь: Arra Ghouls атаковала 18 организаций
Kaspersky 9 ноября раскрыла кампанию Arra Ghouls, также известной как Mimbrob, против 18 организаций России и Беларуси [1]. Исследователи наблюдали переход группы от атак на частных пользователей к организациям с начала апреля 2026 года. Среди целей были телекоммуникационные, промышленные, фармацевтические, ИТ-, торговые и финансовые компании. Названия пострадавших не опубликованы.
Злоумышленники рассылали письма с доменов-двойников и скомпрометированных почтовых серверов. Темы имитировали судебное разбирательство или поверку, а RAR-архивы выглядели как деловая переписка. Внутри находились переименованный Chromium и DLL-дроппер browser_elf.dll. При запуске браузера DLL загружалась в его процесс, проверяла региональные настройки и административные права, сохраняла компоненты в каталоге AppData и создавала запланированную задачу.
Второй канал использовал фишинговые сайты с установщиком DronnerInstaller.msi. Пользователь видел приложение-приманку на Flutter, пока тот же дроппер разворачивал загрузчик. Командные узлы открывались только на время атаки, после чего на компьютер поступал модульный Arra RAT.
К маю–июню троянец получил TCP-туннель, функции загрузки и выгрузки файлов. В связанных атаках исследователи также обнаружили Havoc, RootRat, Metasploit, кейлоггер и перехват буфера обмена. Возможности инструментов подтверждают риск удалённого управления и кражи данных, но Kaspersky не раскрывает последствия для каждой из 18 организаций.
Независимый пересказ cbunit совпадает с первичным отчётом по дате публикации, числу целей и каналам заражения [2]. Собственного технического подтверждения он не приводит, поэтому атрибуция остаётся оценкой Kaspersky. Компания не нашла пересечений с известными группами и выделила Arra Ghouls в отдельный киберпреступный кластер; государственная связь не заявлена.
Защитникам стоит отслеживать домены-двойники, архивы с неожиданными исполняемыми файлами, запуск browser.exe и DLL из пользовательских каталогов, а также частые запланированные задачи. Если письмо пришло с легитимного корпоративного сервера, этого недостаточно для доверия: отчёт прямо указывает на использование скомпрометированных почтовых систем.
BluePhishing переносит OAuth-consent phishing на ИИ-агентов
Proofpoint 9 ноября представила BluePhishing – лабораторный сценарий злоупотребления Microsoft Entra Agent ID [3]. Это proof of concept: компания не обнаружила реальных атак и не сообщает о пострадавших организациях. До публикации исследователи уведомили Microsoft.
Атакующий создаёт в своём tenant многоарендный agent blueprint, добавляет client secret и наследуемые разрешения, затем убеждает пользователя или администратора перейти по ссылке и согласиться с этим blueprint. После согласия в tenant жертвы появляется blueprint principal с правом AgentIdentity.CreateAsManager. Используя tenant ID и object ID пользователя-спонсора, злоумышленник может создавать локальные agent identities, получать для них Microsoft Graph token и действовать с выданными разрешениями.
Один blueprint поддерживает до 250 идентичностей агентов. Унаследованные разрешения, по данным Proofpoint и документации Microsoft, не отображаются в Entra portal или Microsoft Graph и видны только в токене во время выполнения. При этом права приложения требуют согласия администратора. Пользовательское согласие даёт делегированные права и может потребовать дополнительный on-behalf-of flow; в тестах скрытое наследование для такого согласия наблюдалось только у делегированных разрешений.
BitMAT независимо пересказала цепочку и сохранила главное ограничение: BluePhishing пока не наблюдался в реальных атаках [4]. Для снижения риска организациям нужно ограничить согласие на сторонние приложения и agent blueprints, классифицировать допустимые разрешения, применять минимальные права и Conditional Access, а также отслеживать события Add application и Add service principal в журнале аудита.
CCB: захват учётных записей дал около 30% подтверждённых инцидентов
Центр кибербезопасности Бельгии 9 ноября опубликовал анализ компрометации идентичности [5]. В 2025 году эта категория составила 26% подтверждённых инцидентов, о которых сообщили CCB. В первом полугодии 2026 года доля выросла примерно до 30%.
Показатель охватывает человеческие и машинные учётные записи. Он относится только к подтверждённым инцидентам в выборке CCB, а не ко всем бельгийским организациям или пользователям. Краткая публикация не приводит абсолютное число случаев и не позволяет рассчитать успешность отдельных методов.
CCB по-прежнему считает почтовый фишинг важным входным вектором, но отдельно отмечает ClickFix, кражу данных инфостилерами, device-code phishing и OAuth-consent phishing. Захваченная учётная запись затем используется для внутреннего фишинга, атак на деловую переписку, дальнейшего проникновения, развёртывания шифровальщика или перепродажи доступа.
При расследовании таких случаев одной смены пароля недостаточно. Необходимо отзывать активные сессии и токены, проверять новые OAuth-согласия, внутреннюю рассылку и изменения способов аутентификации. Для чувствительных учётных записей нужна фишинг-устойчивая многофакторная аутентификация.
Источники
[1] https://securelist.ru/tr/new-cyber-threat-arra-ghouls-attacks-russian-organizations/117588
[2] https://cbunit.ru/n/2026-11-09-arra-ghouls-atakuet-organizatsii-v-rf-i-belarusi-fishingom-i
[3] https://www.proofpoint.com/us/blog/threat-insight/BluePhishing-Initial-Access-via-Third-Party-Agent-Blueprint-Consent
[4] https://www.bitmat.it/sicurezza/bluephishing-sfrutta-gli-agenti-ai-di-microsoft-per-violare-le-aziende/
[5] https://ccb.belgium.be/fr/news/la-menace-croissante-liee-la-compromission-didentite