Google (подразделение Threat Intelligence Group и Mandiant) выпустила отчёт о трёх шпионских кластерах, которые аналитики связывают с Россией: UNC6293, UNC7005 и UNC5976. Их цели — люди, представляющие интерес для российского государства: учёные, дипломаты, сотрудники НКО и оборонных структур в Украине, Западной Европе и США. Но самое полезное в отчёте не «кто», а «как». Эти группы массово обходят двухфакторную аутентификацию, при этом даже не пытаясь украсть ваш пароль. И вот эту часть стоит разобрать всем, кто отвечает за защиту учётных записей.
Три группы коротко
Все три кластера объединяет российская привязка, но действуют они по-разному. UNC6293 и UNC7005 аналитики считают ответвлениями старой группировки ICE RELIC (ранее известной как APT29), а UNC5976 стоит особняком и, судя по целям, может работать на другую спецслужбу. Различия в деталях, а вот приёмы во многом общие.
| Кластер | Цели | Главные приёмы |
|---|---|---|
| UNC6293 | академия, оборонка, дипломатия, критики Кремля (Европа, США) | пароли приложений и коды подтверждения через фальшивые формы |
| UNC7005 | академия, дипломаты, НКО (Украина, Европа, США) | пароли приложений, коды устройств, привязка WhatsApp, стилеры |
| UNC5976 | военные, аэрокосмос, оборонка, НКО (Украина, Армения) | кража OAuth-токенов через поддельные облачные проекты, малварь |
Главный приём: обойти 2FA, не трогая пароль
Классический фишинг воровал логин и пароль, но с распространением двухфакторной аутентификации этого стало мало. Разобранные группы пошли дальше и научились обходить второй фактор, эксплуатируя не дыры, а легальные механизмы самих сервисов. Три их излюбленных способа стоит знать в лицо.
Первый — пароли приложений. Это специальные пароли, которые почта и другие сервисы выдают для старых программ, не умеющих в двухфакторку. Такой пароль по определению обходит второй фактор. Жертву под видом «настройки доступа к конференции» или «подтверждения участия» убеждают создать пароль приложения и ввести его в поддельную форму. Дальше злоумышленник заходит в почту напрямую, и никакая 2FA ему не мешает, ведь этот пароль как раз и создан, чтобы её не спрашивать.
Второй — фишинг кодов устройств и выдача прав через OAuth. Жертву проводят через настоящую страницу входа Microsoft или Google, а затем просят «поделиться кодом подтверждения» или нажать «разрешить» в согласии, которое привязывает аккаунт к приложению или устройству злоумышленника. Пароль остаётся при владельце, но атакующий получает действующую сессию. UNC5976, например, гнала жертв на легальный вход Google, а тот перенаправлял на неопубликованный, «тестовый» облачный проект злоумышленников, который тихо забирал токены доступа.
WhatsApp и захват через «привязку устройства»
Отдельного внимания заслуживает трюк UNC7005 с мессенджерами. Работает он на функции привязки нового устройства к аккаунту WhatsApp. Жертве показывают легитимный QR-код или код привязки и под каким-нибудь предлогом просят его подтвердить — после чего аккаунт оказывается привязан к устройству злоумышленника, и тот читает переписку, звонит и качает файлы.
Но исследователи нашли деталь ещё неприятнее. На поддельной странице «звонка» работал скрытый скрипт, который через браузер запрашивал доступ к камере и микрофону и записывал аудио и видео жертвы, отправляя запись на сервер атакующих. То есть под видом обычного созвона у человека тихо снимали и голос, и изображение. Классические механизмы защиты почты такое не ловят вовсе — здесь атакуют не пароль, а доверие и привычку нажимать «разрешить».
Малварь и почерк
Помимо фишинга, группы раздавали и вредоносное ПО под конкретную систему: стилер VIDAR под Windows и ATOMIC под macOS выгребали пароли из браузеров, куки, платёжные данные. Часть инструментов, вроде PowerShell-стилера CHERRYPIE, судя по артефактам в коде, была сгенерирована языковой моделью, ещё один пример того, как ИИ пишет вредонос, о чём мы подробно рассказывали в разборе отчёта Anthropic. Инфраструктуру же группы поднимали и через захват Wi-Fi-порталов в отелях и конференц-центрах, перенаправляя гостей на фишинг.
Любопытна и подпись почерка. В поддельных регистрационных формах на конференции злоумышленники дотошно спрашивали даже про выбор вина — характерная деталь, по которой аналитики и связали часть операций со старой ICE RELIC. Для постатаки группы прятались за резидентными прокси, чтобы вход выглядел как обычный трафик обычного пользователя. Всё это складывается в почерк аккуратной, терпеливой шпионской работы, а не шумного массового взлома.
Почему это касается не только дипломатов
Легко отмахнуться: мол, это про шпионаж за учёными и дипломатами, а нас не касается. На деле касается напрямую. Приёмы здесь универсальные и не привязаны к геополитике: пароль приложения точно так же открывает корпоративную почту, поддельное OAuth-согласие точно так же привязывает рабочий аккаунт к приложению злоумышленника, а привязка мессенджера работает у кого угодно. Меняется только вывеска на письме.
Более того, именно бизнес часто уязвимее. В компании десятки сотрудников, у каждого почта, облако и мессенджеры, а многие до сих пор уверены, что «раз включена двухфакторка, то всё под защитой». Эти группы наглядно показывают, что включённой 2FA мало: важно, какой именно у вас второй фактор и можно ли его обойти легальным путём. Один сотрудник, создавший пароль приложения по просьбе из письма, сводит на нет всю настроенную защиту.
Что из этого следует для защиты
Хорошая новость: раз атакуют легальные механизмы, то и защита строится вокруг них, а не вокруг экзотики. Практический минимум:
- Откажитесь от паролей приложений там, где это возможно, и никогда не создавайте их «по просьбе» из письма или формы. Старые пароли приложений отзовите.
- Переходите на устойчивые к фишингу способы входа: аппаратные ключи (FIDO2) и passkeys вместо кодов из SMS и приложений. Для высокорисковых сотрудников включайте усиленные программы защиты аккаунта.
- Не делитесь кодами подтверждения и внимательно читайте, чему вы даёте доступ в окне OAuth-согласия. «Поделитесь кодом» — почти всегда признак атаки.
- Регулярно проверяйте список привязанных устройств в почте и мессенджерах, включите в WhatsApp двухфакторную защиту и блокировку регистрации.
- Готовьте людей и проверяйте их на прочность. Целевой фишинг такого уровня отрабатывается обучением персонала и учениями красной команды с имитацией фишинга, а OSINT-мониторинг ловит поддельные домены под ваш бренд и бренды сервисов до того, как по ним кликнут.
Вывод
Отчёт Google полезен не столько ярлыками с названиями групп, сколько напоминанием: фишинг давно перерос кражу паролей. Сегодня охотятся за сессиями и правами доступа, обходя двухфакторку через её же легальные механизмы — пароли приложений, коды устройств, OAuth-согласия, привязку мессенджеров. Против этого не помогает вера в то, что «у нас же включена 2FA»: важно, какая именно и как её можно обойти. Переходите на устойчивые к фишингу ключи, наведите порядок с привязанными устройствами и правами приложений и проверьте своих людей до того, как это сделает за вас настоящий злоумышленник. О том, как в целом ускорились атаки, мы писали в заметках из наших расследований, а как массовое внедрение ИИ меняет работу мониторинга — в разборе нагрузки на SOC. Начать разумно с проверки устойчивости к фишингу: закажите тест на фишинг или общий пентест и подготовьте план реагирования.