Краткий обзор отчета
В начале октября 2026 года Центр исследования угроз Atos обнаружил C2-сервер, принадлежащий Eclipse — финансово мотивированной группировке Ransomware-as-a-Service, появившейся в середине августа 2026 года на форумах даркнета. Сервер не был одноразовым C2-узлом — это был общий набор инструментов, содержащий полный рабочий инвентарь группировки: шифровальщики для трех платформ, эксплойт-скрипты, инструменты для сбора учетных данных, инфраструктуру эксфильтрации и свидетельства активных атак против семи организаций в пяти странах.
Такая степень прозрачности в отношении деятельности программ-вымогателей встречается крайне редко. Большая часть того, что защитникам известно об этих группировках, основана на фрагментах, собранных уже после того, как ущерб нанесен. Здесь же все находилось в одном месте.
"Streamer" — кастомный фреймворк для постинъекционной деятельности
Самым значительным артефактом является ранее не документированный фреймворк на языке Rust под названием "Streamer" — единый бинарный файл размером 21 МБ, содержащий более 250 атакующих модулей, охватывающих кражу учетных данных, разведку Active Directory, атаки Kerberos, латеральное перемещение, внедрение процессов, обход средств защиты и пивотинг. Встроенный скриптовый движок LuaJIT позволяет операторам расширять возможности во время выполнения. Ни один C2-фреймворк с таким названием не упоминается ни в одной общедоступной аналитике угроз. Автономные копии Mimikatz, Rubeus и Chisel, обнаруженные рядом с ним, судя по всему, являются уставешими резервными инструментами, которые в значительной степени утратили актуальность благодаря встроенному функционалу Streamer.
Милитаризованные бинарные файлы Trend Micro
Три различных продукта Trend Micro были перепрофилированы в качестве носителей полезной нагрузки: в их секции ресурсов были внедрены зашифрованные маяки Streamer. Группировка Eclipse меняла продукты Trend Micro по мере роста показателей обнаружения — с 23/71 на VirusTotal для самого раннего варианта до нулевого количества отправок для самого последнего. Два кастомных кейлоггера дополняли цепочку доставки, причем один из них был нацелен конкретно на ПО автомобильных дилеров CDK Global.
Нацеленность на инфраструктуру резервного копирования и виртуализации
Эксплойты для VMware ESXi (CVE-2021-21974) и Veeam Backup Enterprise Manager (CVE-2024-29849) были обнаружены вместе со скриптами PowerShell, которые извлекают и расшифровывают учетные данные из базы данных SQL компании Veeam. Оба инструмента адаптированы из общедоступного кода доказательства концепции (PoC). Компрометация этой инфраструктуры расширяет доступ за счет украденных учетных данных и одновременно лишает жертву возможностей восстановления до начала шифрования.
Структурированная эксфильтрация данных
Кража данных построена на базе облачного хранилища Wasabi S3 с выделенными бакетами для каждой жертфы, ограничением скорости передачи данных во избежание сетевых оповещений и автоматизированными скриптами-сторожами, которые перезапускают эксфильтрацию до 50 раз. Были восстановлены три полные кампании, нацеленные на организации в Чили, США и Бразилии. Украденный ключ учетной записи службы Google Workspace выявил четвертую жертву в Ирландии.
Постквантовое шифрование — уязвимостей не обнаружено
Все три варианта шифровальщика — для Windows, Linux и ESXi — реализуют алгоритмы Kyber768 + ChaCha20 с использованием случайных ключей для каждого файла. Никаких закрытых ключей обнаружено не было, равно как и уязвимостей в реализации. Вариант для Windows самостоятельно распространяется через WMI, создание удаленных служб и запланированные задачи на основе GPO, при этом стратегически сохраняя работоспособность vCenter, pfSense и контроллеров домена для поддержания инфраструктуры распространения.
Почему это важно
Полный 26-страничный анализ включает подробный разбор каждого инструмента и метода, обнаруженных на сервере, а также исчерпывающие индикаторы компрометации (IoC) на сетевом уровне, уровне журналов событий Windows, EDR/Sysmon, Active Directory и Linux/ESXi — все, что необходимо защитникам для выявления вторжения Eclipse до начала шифрования.
Read the full research (opens in a new tab)
