Kaspersky: группа Tomiris усилила атаки на госструктуры в России и странах СНГ

"Лаборатория Касперского" выявила продолжающуюся с начала года кампанию кибершпионажа, организованную APT-группой Tomiris. Основными целями атак стали государственные учреждения и дипломатические службы в России и странах СНГ, рассказали в компании "Газете.Ru".

Для первичного доступа злоумышленники используют целевые фишинговые рассылки с вредоносными архивами.

Вложенные исполняемые файлы маскируются под официальные документы, содержание которых адаптируется под конкретную организацию и страну. Одной из зафиксированных приманок стали письма с просьбой дать отзыв на проекты, якобы связанные с развитием российских регионов. Запуск файла приводит к инфицированию устройства.

Анализ показал, что более половины писем и файлов-приманок в кампаниях 2025 года содержат тексты на русском языке, что указывает на приоритетную ориентацию атак на русскоязычные организации. Остальная часть рассылок была адаптирована для Туркменистана, Кыргызстана, Таджикистана и Узбекистана с использованием национальных языков.

Для закрепления в системах Tomiris применяет многоуровневую инфраструктуру. На начальном этапе используются реверс-шеллы, написанные на разных языках программирования, после чего разворачиваются дополнительные инструменты, включая фреймворки AdaptixC2 и Havoc. В ряде случаев в качестве командных серверов злоумышленники используют общедоступные платформы Telegram и Discord. Вредоносное ПО ориентировано на поиск и эксфильтрацию конфиденциальных данных, включая файлы форматов .jpg, .jpeg, .png, .txt, .rtf, .pdf, .xlsx и .docx.

"Тактики Tomiris в новых кампаниях явно эволюционировали: они направлены на то, чтобы максимально скрыть вредоносную активность, а также долгосрочно закрепиться в системе.

Этому, в том числе, способствует использование вредоносных имплантов на разных языках. Группа стала чаще полагаться на инструменты, которые используют в качестве командных серверов общедоступные сервисы, такие как Telegram и Discord. Вероятнее всего, так злоумышленники пытаются скрыть вредоносный трафик среди легитимной активности этих сервисов", — заявил эксперт по кибербезопасности в "Лаборатории Касперского" Олег Купреев.

Впервые о деятельности Tomiris специалисты компании сообщили в 2021 году. Ранее группа также фокусировалась на атаках на государственные структуры в СНГ, основной целью которых была кража внутренних документов.