Привет! На связи Яков Филевский, и сегодня я разбираю схему по ремонту бытовой техники, которая приносит мошенникам неплохую прибыль, ведь они отлично знают, что такое «сарафанное радио» на современный лад.

Сломалась стиральная машина, посудомойка перестала отмывать посуду, а любимый пес затоптал ковер в спальне? Куда идет современный человек за помощью и поддержкой в таких случаях? У кого просят контакты специалистов по ремонту и чистке? Конечно, в соцсети. Ведь только соседи знают заветный номер «дяди Васи», который не раз выручал. Эту особенность соотечественников отлично изучили мошенники и активно используют «сарафанное радио» в своих целях.

Как это было

«Я на днях спрашивала о мастере по ремонту стиралки, так вот постучался этот персонаж в личку @EvgeniyRemontnikи, развел меня на покупку детальки, и ни детальки, ни гугу от "мастера". Не знаю, откуда он вдруг взялся, но, на всякий случай, будьте бдительны», — такое сообщение появилось в большом соседском чате мессенджера Telegram. Об этом персонаже написал и другой участник группы. К нему пришел в личные сообщения @Master Evgeniyyy и предлагал услуги по ремонту сломавшейся кофемашины — вопрос по починке также был в группе. Третьему соседу, искавшему спеца по ремонту холодильника, ссылку на профиль «мастера» скинул в личные сообщения кто-то из участников группы — найти доброхота не удалось.

В ходе бурного обсуждения деятельности «экспертов по ремонту» выяснилось, что пострадавшая зашла в профиль написавшего ей мастера, изучила отзывы на рекламируемом им YouTube-канале и узнала порядок работы специалиста: компания зарегистрирована на Кипре, магазин запчастей работает в Telegram, оплата производится через карту банка одного из маркетплейсов. В процессе переписки «мастер» провел онлайн-диагностику техники и поиск запчастей по артиклю, жертва произвела оплату в рублях по курсу Банка России.

В сентябре 2025 года исследователи из Angara MTDR обнаружили, что фреймворк AdaptixC2 стал использоваться в атаках на организации в Российской Федерации.

Сегодня мы, Лада Антипова и Александр Гантимуров, расскажем, что представляет собой фреймворк постэксплуатации AdaptixC2, как выявлять следы его использования и чем отличается выявленный способ эксплуатации фреймворка от всех описанных публично ранее.

В результате расследования компьютерного инцидента был выявлен инструмент злоумышленников, который использовался для закрепления в скомпрометированной системе. Он выгодно отличался от других видов типового и самописного ВПО, которые эти же злоумышленники использовали в ходе атаки. Образец обладал обширным набором команд, был хорошо спроектирован, а также имел широкие возможности по конфигурации. После непродолжительного исследования стало ясно, что перед нами агент Beacon от фреймворка постэксплуатации AdaptixC2.

AdaptixC2 — это фреймворк для постэксплуатации, который часто сравнивают с такими известными инструментами, как Cobalt Strike и Brute Ratel. В отличие от них, AdaptixC2 полностью бесплатен и доступен на GitHub.

Ранее о его применении в кибератаках на другие страны сообщали Symantec, Palo Alto и «Лаборатория Касперского». Поэтому появление AdaptixC2 в арсенале злоумышленников, атакующих организации в России, было лишь вопросом времени.

Всем привет!

Специалисты Angara MTDR выявили и исследовали новую волну кибермошенничества с установкой вредоносных приложений на телефон. В этот раз злоумышленники предлагают получить бонус от банка и предоставить доступ к своему телефону. Сегодня Александр Гантимуров, руководитель направления обратной разработки Angara Security расскажет, как это выглядит со стороны пользователя, чем грозит и как это работает внутри.

Введение

В настоящее время банковский сектор остается одной из наиболее привлекательных целей для злоумышленников, в связи с чем банки и их клиенты постоянно сталкиваются с различными угрозами. Одна из таких угроз — вредоносное программное обеспечение (ВПО). Атаки с использованием ВПО могут проводиться при помощи рассылок в мессенджерах, SMS-сообщениях, по электронной почте, а также при помощи фишинговых сайтов, схожих с официальными банковскими ресурсами, где жертв под различными предлогами убеждают установить «официальное» приложение.

В результате установки такого приложения на устройство пользователя внедряется вредоносная программа. Она может позволить злоумышленникам не только украсть личные данные и денежные средства со счета, но и получить полный доступ к управлению устройством. Так, по данным Банка России, в 2024 году атаки на клиентов финансовых организаций в 58% случаев проводились при помощи фишинговых ресурсов, на которых в том числе распространялось и вредоносное программное обеспечение.

В последнее время был зафиксирован всплеск активности сайтов, на которых клиентам предлагали принять участие в опросе об удовлетворенности работой и услугами определенных банков. За прохождение подобного опроса пользователям обещали денежное вознаграждение в размере 6 тыс. руб.

Привет! Это Камиль Камалетдинов и Егор Григорьев, специалисты Angara SOC. Мы обнаружили и изучили вредоносное ПО, которое злоумышленники распространяют в тематических группах, посвященных поиску пропавших в зоне СВО.

По подсчетам экспертов Отдела защиты бренда Angara SOC, на 43% каналов, посвященных поиску пропавших в зоне СВО, распространяются APK-файлы, содержащие вредоносное ПО.

С начала 2025 года в мессенджереTelegram все чаще стали появляться тематические группы с названиями «Поиск пропавших на СВО», «Пропавшие без вести СВО», созданные для помощи родственникам и волонтерам. Этим воспользовались злоумышленники, которые быстро придумали новую схему обмана пользователей.

Мошенники создают каналы с похожими названиями. На первый взгляд, такие ресурсы выглядят как каналы для помощи в поиске пропавших людей или как обычные информационные сообщества. В группах публикуются новостные посты о ходе СВО и списки пропавших военнослужащих в виде фотографий, PDF-и Excel-файлов с фамилиями и данными пропавших.

Но спустя некоторое время в этих же группах начинают появляться APK-файлы с названиями: «Списки действующих бойцов», «Список СВО», «Список погибших», «Список пленных». Также в группах могут публиковаться ссылки для скачивания этих файлов. Данные файлы, как утверждают авторы, содержат «расширенные списки» или «приложение с интерактивным поиском пропавших людей». Как правило, данные сообщения сопровождаются отзывами о работоспособности данного «приложения».

Друзья, всем привет! Сегодня в эфире Яков Филёвский, эксперт по социотехническому тестированию Angara Security, и мы хотим поговорить о тревожном тренде, который уже успел навредить многим семьям.

МВД предупреждает о новом виде мошенничества в России: преступники звонят или пишут подросткам, выдавая себя за школьных или вузовских психологов. 

Схема многоступенчатая и продуманная. Сначала злоумышленники под предлогом психологического тестирования присылают фишинговые ссылки. Затем жертве сообщают, что её персональные данные похищены, и в дело вступают «сотрудники полиции». Под мощным психологическим давлением подростков вынуждают снимать и переводить деньги со счетов родителей, передавать наличные и даже вовлекают в преступные махинации. 

Обман по нарастающей

Преступники мастерски используют методы социальной инженерии: выдают себя за других людей и отыгрывают роли. В работе с подростками они выбирают персонажей, которым жертва охотно поверит. Одна из самых распространённых сейчас схем — «звонок психолога». 

Образ психолога предполагает безусловное доверие и авторитет, а также создает ощущение безопасности, ведь к такому специалисту мы обращаемся за помощью, считаем его надёжным человеком. Особенно велика вероятность, что подросток поверит мошеннику под такой маской, если он недавно обращался к психологу или в его учебном заведении проводили опросы и анкетирование. В качестве второго этапа преступники подключают следующую, более весомую роль «сотрудника правоохранительных органов» или «следователя». Этот переход создает эффект эмоциональных качелей: спокойное и доверительное общение с «психологом» переходит к стрессовому общению с «правоохранителем» в угрожающем тоне. Иногда «психолог» используется для постепенного погружения в тревогу, где жертву уже подхватывает следующий персонаж.

Привет! Это команда отдела защиты бренда Angara SOC. В прошлой части мы рассмотрели сценарий мошеннической схемы, разобрали связь между веб-страницами и Telegram-ботами. В этой части мы рассмотрим, как злоумышленники пытаются скрыть фишинговый контент.

Раньше домены, созданные для мошеннической активности, содержали страницу авторизации портала «Госуслуги», но для увеличения времени обнаружения таких страниц мошенники начали прятать контент, например, под простой игрой «Угадай правильную ячейку». Пользователю, который зашел случайно на такой ресурс, не будет понятно, для чего конкретно служит страница.

Рассмотрим пример с доменом sort-center135523.icu, на котором содержится игра.

Привет! Это команда Отдела защиты бренда Angara SOC. Мы поговорили со злоумышленниками, которые хотели прислать нам ценные отправления, и изучили методы их работы. Делимся выводами.

C прошлого года мошенники начали массово использовать Telegram-боты для кражи данных от федеральной государственной информационной системы «Госуслуги». Авторизация в таких ботах происходит через фишинговые сайты. С начала 2025 года команда Отдела защиты бренда Angara SOC выявила и отправила на блокировку свыше 50 таких доменов.

Ссылки на боты, которые используют злоумышленники, распространяются посредством звонков или сообщений в мессенджерах. Под предлогом уточнения информации о посылке пользователю необходимо воспользоваться ботом, а также пройти авторизацию через фейковую форму Госуслуг. 

Как все начинается для жертвы

Всем привет! На связи снова Яков Филевский, эксперт по социотехническому тестированию Angara Security, поделился опытом общения с мошенниками

Telegram остается одним из наших основных мессенджеров, а аккаунт в нем — рабочим и социальным активом. Уверены, что сможете не потерять его при атаке мошенников? Представим человека, который увереннее среднего пользователя ориентируется в крипте и цифровой безопасности. Пара неверных действий — и даже он теряет доступ к своему аккаунту. Минус активы, минус аккаунт, а с ним — все переписки и половина рабочей/социальной жизни. Яков Филевский, эксперт по социотехническому тестированию Angara Security, рассказывает, как выглядит «угон „телеги“» с точки зрения социальной инженерии.

Как социальный инженер сразу скажу: обмануть можно кого угодно, мошеннику нужно лишь оказаться в нужное время в нужном месте. Зачастую это не так сложно, как кажется. Здесь будет история человека, которая, надеюсь, убедит вас внимательнее относиться к безопасности в Telegram. Особенно если вы решились на эксперименты с криптой.

 Всем привет! У нас новый автор - Виктор Дрынов, руководитель отдела безопасной разработки Angara Security. Сегодня он расскажет, как стандарты могут помочь минимизировать риски и повысить качество разработки

Немного о требованиях регуляторов

С чего стоит начать подход к безопасной разработке? С изучения требований национальных стандартов и иных нормативно-правовых документов (НПА), разработанных регуляторами.

В России разработаны и приняты национальные стандарты по разработке безопасного программного обеспечения (РБПО), а именно:

Всем привет! На связи снова Яков Филевский, эксперт по социотехническому тестированию Angara Security, поделился опытом общения с мошенниками

В разгар рабочего дня вам звонят с мобильного номера (в моём случае — оператор «Сбер Мобайл»). Голос уверенный, деловой, даже слегка фамильярный: 

— «Здравствуйте, я представляю вашу страховую компанию. Сейчас идёт массовый обмен старых ОМС-полисов на новый образец с QR-кодом. Подтвердите, пожалуйста: у вас полис пластиковый или электронный?». 

Затем собеседник мгновенно называет ваши ФИО и дату рождения — данные, которые должны быть известны только официальным структурам… или мошенникам. 

Первый крючок: эффект авторитета 

Когда незнакомец свободно оперирует вашими персональными данными, срабатывает автоматическое доверие: «Раз знает такие детали — наверное, действительно из страховой». Но это ловушка. Персональные данные давно не признак легитимности — их сливают из баз или получают через утечки. 

Давление и управление разговором 

Мошенник говорит быстро, сыпет терминами, не оставляет времени на раздумья: 

— «Новый полис будет пластиковым, но с QR-кодом, он позволит получать часть лекарств безоплатно. Вам всё понятно?». 

Ответ ждут только «да» или «нет». Если вы говорите «ну, допустим», собеседник раздражённо переспрашивает: «Значит, да?» — и продолжает. Это не случайно: последовательные «да» создают иллюзию согласия. 

Фиктивный выбор и ложное ощущение контроля 

— «Где вам удобнее получить полис: в МФЦ или в страховой?».

Вопрос бессмысленный — замены полисов нет. Но он вовлекает вас в процесс, закрепляя доверие. 

Всем привет! Angara Security снова на связи.

Сегодня в нашем эфире еще один новый автор — Георгий Семенов, эксперт по кибербезопасности Angara Security.

Хаотичные нападки киберпреступников в попытках попасть в уязвимое место инфраструктуры в последние годы сменились сложными и продуманными целевыми атаками — такой тренд кибербеза мы наблюдаем в Angara Security. Основные хакерские «хиты» этих лет — проникновение с использованием средств социальной инженерии и человеческого фактора, а также атаки через доверенные стороны. Злоумышленники стали дорожить временем: стремятся максимально сократить период от получения учетных данных пользователей до закрепления на периметре компании и последующей атаки. Проще всего им это удается через фишинг. По оценке Angara Security, доля MITRE ATT&CK Т1566 в общем объеме атак сейчас составляет 30%, причем за 2024 год число фишинговых атак резко выросло на 41% по сравнению с 2023 годом. Самым эффективным средством защиты против фишинга в кибербезопасности все еще считаются песочницы SandBox или мультисканеры. Проводим несколько тестов для Anti-APT Sandbox и разбираемся, насколько мощно они держат оборону информационной безопасности.

АРТ-атаки против Anti-APT Sandbox

АРТ-атака тестирует устойчивость к враждебным воздействиям, ищет слабое звено системы. Обычно это многоуровневая и длительная целевая кибератака с маскировкой и проникновением в сеть компании, с продолжительным нахождением «под прикрытием». Хакеры имитируют стандартные системные процессы, обманывают систему, отслеживают перемещение данных и действия ключевых пользователей — все, лишь бы обнаружить уязвимость для сбора конфиденциальной информации и чувствительных данных.

Против АРТ-атак используется Anti-APT Sandbox — программное обеспечение для выявления и анализа сложных и продвинутых угроз (какой, безусловно, является АРТ). Anti-APT Sandbox изолирует подозрительные файлы и анализирует их активность в виртуальной среде. Это безопасное пространство, где можно исследовать поведение программ без риска для реальных систем (к слову, здесь же можно выявить попытки эксплуатации уязвимостей «нулевого дня»).

В данной статье предложим новый взгляд на работу Red Team для создания самых изощрённых симуляций атак, в которых код заменяется эмоциями, а уязвимости скрываются не в ПО, а в человеческой психике.